Quel RGPD pour les domaines viticoles | guide conformité données

Les obligations issues du Règlement Général sur la Protection des Données (Règlement UE 2016/679) ne sont pas réservées aux grandes entreprises du numérique. Ce guide pratique présente les obligations essentielles, les bonnes pratiques à adopter et les risques à éviter pour protéger vos clients et votre exploitation.

Quel RGPD pour les domaines viticoles | guide conformité données

Temps de lecture : ~11 min

1. Le RGPD s’applique-t-il vraiment aux domaines viticoles ?
2. Quelles données un domaine viticole collecte-t-il ?
3. Le registre des traitements, première priorité
4. Durées de conservation et consentement marketing
5. Site web, cookies et politique de confidentialité
6. Droits des clients et gestion des demandes
7. Risques et sanctions en cas de non-conformité
8. Aller plus loin avec la conformité RGPD domaine viticole
9. Questions fréquentes

Le RGPD s’applique-t-il vraiment aux domaines viticoles ?

Champ d’application du RGPD pour un domaine viticole

La réponse est sans ambiguïté : oui. Toute organisation publique ou privée qui traite des données personnelles dans le cadre d’une activité professionnelle ou commerciale est soumise au RGPD. Une donnée personnelle désigne toute information permettant d’identifier directement ou indirectement une personne physique : nom, prénom, adresse email, numéro de téléphone, historique d’achats ou préférences de dégustation.

Pour un domaine viticole, les traitements concernés sont nombreux. Le fichier clients constitué lors de la vente directe au caveau, les formulaires de réservation pour des visites ou des ateliers, les abonnements à une newsletter, les données de facturation, les cookies déposés sur le site web, les données RH des salariés permanents et des travailleurs saisonniers : tous ces traitements relèvent du champ d’application du règlement européen. Seuls les traitements à titre strictement personnel, sans lien avec une activité commerciale, échappent à cette obligation.

La Commission Nationale de l’Informatique et des Libertés (CNIL) est l’autorité de contrôle compétente en France. Elle publie des guides, des modèles et des outils pratiques pour accompagner les TPE-PME dans leur mise en conformité. La DRAAF (Direction Régionale de l’Alimentation, de l’Agriculture et de la Forêt) a également diffusé des ressources spécifiques à destination des exploitations agricoles et viticoles.

Quelles données un domaine viticole collecte-t-il ?

Catégories de données personnelles collectées au domaine

Avant de parler de conformité RGPD cave vin, il faut cartographier précisément les données traitées. Un domaine viticole collecte généralement des informations appartenant à plusieurs catégories distinctes.

Les données clients particuliers comprennent la civilité, le nom, le prénom, l’adresse postale, l’adresse email, le numéro de téléphone, parfois la date de naissance (notamment pour vérifier la majorité dans le cadre de la vente d’alcool), l’historique des achats et les préférences de vin. Ces informations alimentent les fichiers caveau, les programmes de fidélité et les outils de prospection commerciale.

Les données liées à l’œnotourisme concernent les visiteurs qui réservent des visites et des dégustations guidées, des ateliers ou des séjours. Dans ce cadre, le RGPD impose des obligations spécifiques, notamment lorsque des mineurs participent à des activités pédagogiques : le consentement parental est requis et aucun profilage marketing ne peut être réalisé sur ces profils.

Les données de facturation (adresse de livraison, moyen de paiement, numéro de commande) sont soumises à la fois au RGPD et aux obligations comptables légales. Enfin, les données RH couvrent les salariés permanents, les saisonniers viticoles et les stagiaires : fiches de paie, contrats, coordonnées, données bancaires pour le virement des salaires.

Bon à savoir : le RGPD impose le principe de minimisation des données. Vous ne devez collecter que les informations strictement nécessaires à la finalité poursuivie. Demander la date de naissance d’un client pour lui envoyer une offre d’anniversaire est acceptable si cette finalité est clairement annoncée au moment de la collecte.

Le registre des traitements, première priorité

Contenu et rôle du registre des traitements

Le registre des traitements est le document central de toute démarche de conformité RGPD. Il recense l’ensemble des activités de traitement de données personnelles réalisées par votre exploitation, en qualité de responsable de traitement.

Concrètement, ce registre doit décrire pour chaque traitement : la finalité (gestion des commandes, envoi de newsletters, gestion de la paie), la base légale retenue (contrat, obligation légale, intérêt légitime ou consentement explicite), les catégories de données collectées, les destinataires des données (prestataires, sous-traitants comme un hébergeur ou une plateforme de réservation), et la durée de conservation prévue.

La CNIL met à disposition un modèle de registre simplifié adapté aux TPE-PME, accessible via la plateforme France Num. Ce document n’est pas destiné à être transmis à la CNIL, mais il doit être tenu à jour et présenté en cas de contrôle. Il constitue la preuve de votre démarche de conformité et reflète le principe d’accountability (responsabilisation) au cœur du RGPD.

Pour les domaines qui utilisent des outils numériques de gestion des réservations ou de vente en ligne, chaque prestataire externe qui accède à vos données clients est considéré comme un sous-traitant. Un contrat de sous-traitance conforme au RGPD doit être signé avec chacun d’eux. Chez GDO.wine, nous accompagnons les domaines viticoles dans la structuration de leurs processus de réservation en ligne et de gestion client, en veillant à la traçabilité des données traitées.

Durées de conservation et consentement marketing

La question des durées de conservation est l’une des plus fréquentes dans le cadre de la conformité RGPD cave vin. Le principe est clair : les données personnelles ne peuvent pas être conservées indéfiniment. Chaque finalité doit être associée à une durée précise, au-delà de laquelle les données doivent être supprimées ou anonymisées.

Le tableau suivant synthétise les durées de conservation couramment applicables dans le secteur viticole, sur la base des recommandations de la CNIL et des obligations légales françaises.

Durées de conservation recommandées selon le type de données

Type de données	Finalité	Durée recommandée	Base légale
Données clients actifs	Gestion de la relation commerciale	Durée de la relation + 3 ans après le dernier contact	Intérêt légitime
Données de facturation	Obligations comptables	10 ans	Obligation légale
Données clients inactifs	Prospection commerciale	3 ans sans contact, puis suppression ou anonymisation	Intérêt légitime ou consentement
Données de réservation œnotouristique	Gestion des visites et dégustations	Durée de la prestation + 3 ans	Contrat
Données RH (salariés, saisonniers)	Gestion de la paie et des contrats	5 ans après la fin du contrat	Obligation légale
Logs de connexion (site web)	Sécurité informatique	6 mois à 1 an	Intérêt légitime

Concernant le consentement marketing newsletter vin, la règle est stricte. Pour envoyer une newsletter ou une invitation à une dégustation à un client particulier, vous devez avoir recueilli son consentement explicite au moment de la collecte de son adresse email. Ce consentement doit être libre, éclairé, spécifique et documenté. Une case pré-cochée sur un formulaire de commande ne constitue pas un consentement valide. En revanche, pour les clients professionnels (cavistes, restaurateurs, importateurs), l’intérêt légitime peut constituer une base légale suffisante pour la prospection, sous réserve d’informer les personnes et de leur offrir un droit d’opposition simple.

À retenir : tout abonné à votre newsletter doit pouvoir se désabonner facilement à tout moment, via un lien de désinscription présent dans chaque email. L’absence de ce lien constitue une violation du RGPD et des règles anti-spam établies par la loi Informatique et Libertés.

Site web, cookies et politique de confidentialité

Le site internet du domaine viticole est souvent le premier point de contact avec les visiteurs et les futurs clients. Il est également une source importante de collecte de données personnelles, notamment via les formulaires de contact, les modules de réservation en ligne et les cookies.

Le bandeau cookies doit informer l’internaute des traceurs déposés sur son terminal et lui permettre d’accepter ou de refuser chaque catégorie de cookies avant leur dépôt. Les cookies strictement nécessaires au fonctionnement du site peuvent être déposés sans consentement, mais les cookies analytiques, publicitaires ou de personnalisation nécessitent un accord préalable et explicite.

La politique de confidentialité du site doit быть accessible depuis toutes les pages du site, généralement via un lien en pied de page. Elle doit mentionner l’identité du responsable de traitement, les finalités des traitements, les bases légales, les durées de conservation, les droits des utilisateurs et les coordonnées permettant d’exercer ces droits. Ce document n’est pas une formalité administrative : il engage juridiquement votre domaine et constitue une preuve de transparence vis-à-vis de vos clients.

Pour les domaines qui vendent des coffrets de vin en ligne ou qui proposent des abonnements, le RGPD e-commerce impose en outre de sécuriser les transactions (chiffrement des données de paiement), de limiter la collecte aux seules informations nécessaires à la commande et d’informer clairement les acheteurs de leurs droits.

Droits des clients et gestion des demandes

Les droits clients RGPD domaine viticole sont définis par le règlement européen. Tout client, visiteur ou abonné peut exercer les droits suivants auprès de votre domaine, auxquels vous devez répondre dans un délai maximum d’un mois à compter de la réception de la demande :

• Droit d’accès : demander une copie de toutes les données détenues.
• Droit de rectification : corriger des données inexactes ou incomplètes.
• Droit à l’effacement : supprimer des données non nécessaires ou после retrait du consentement.
• Droit d’opposition : s’opposer à la prospection commerciale ou au profilage marketing.
• Droit à la portabilité : recevoir ses données dans un format structuré et lisible par machine.
• Droit à la limitation du traitement : suspendre temporairement l’utilisation des données.

Pour gérer ces demandes efficacement, le domaine doit disposer d’une adresse de contact dédiée (email ou formulaire), d’un registre des demandes reçues et d’une procédure interne claire. En cas de violation de données (cyberattaque, perte d’un fichier client), vous devez notifier la CNIL dans les 72 heures et informer les personnes concernées si le risque pour leurs droits est élevé.

La gestion des données clients est aussi un levier commercial. Un fichier clients bien structuré, régulièrement mis à jour et exploité dans le respect du RGPD, est un actif précieux pour votre domaine, notamment dans le cadre de la vente directe au domaine.

Risques et sanctions en cas de non-conformité

La non-conformité au RGPD expose les domaines viticoles à des risques à la fois juridiques et commerciaux. La CNIL dispose de pouvoirs de contrôle étendus : elle peut procéder à des vérifications sur place ou à distance, mettre en demeure les organisations non conformes et prononcer des sanctions administratives.

Les amendes prévues par le règlement européen peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les violations les plus graves. Pour une TPE viticole, même une sanction de quelques milliers d’euros peut avoir un impact significatif. Au-delà de l’amende, la publication de la décision de la CNIL peut nuire durablement à la réputation du domaine, en particulier dans un secteur où la relation de confiance avec les clients particuliers et les visiteurs œnotouristiques est centrale.

Les risques commerciaux sont également réels : un client dont les données ont été utilisées sans son consentement peut engager une procédure civile, signaler le domaine à la CNIL ou simplement ne plus revenir. À l’inverse, une démarche de conformité bien communiquée renforce la confiance et peut devenir un argument différenciant, notamment dans le cadre de l’œnotourisme et de la vente directe.

Pour les domaines qui souhaitent structurer leur démarche de réservation en ligne et de gestion client dans le respect de ces obligations, GDO.wine propose des outils adaptés aux spécificités de la filière viticole. Retrouvez nos ressources sur la gestion et la rentabilité des domaines viticoles.

Aller plus loin avec la conformité RGPD domaine viticole

La conformité RGPD d’un domaine viticole n’est pas une contrainte administrative supplémentaire : c’est une obligation légale qui, bien appréhendée, devient un outil de confiance et de professionnalisation de votre relation client. Cartographier vos traitements, définir des durées de conservation adaptées, recueillir le consentement de vos abonnés, sécuriser votre site web et répondre aux demandes de vos clients dans les délais : ces actions concrètes vous protègent et renforcent la crédibilité de votre domaine.

La CNIL met à disposition des ressources gratuites pour accompagner les TPE-PME dans leur démarche de mise en conformité. N’attendez pas un contrôle pour vous mettre en conformité.

FAQ – questions fréquentes sur le RGPD domaine viticole

Un petit domaine viticole de moins de 10 salariés est-il obligé de tenir un registre des traitements ?

Oui. Bien que le RGPD prévoie certaines exemptions pour les organisations de moins de 250 salariés, celles-ci ne s’appliquent pas si les traitements sont réguliers, portent sur des données sensibles ou sont susceptibles d’engendrer des risques pour les personnes. La quasi-totalité des domaines viticoles réalisant de la vente directe ou de l’œnotourisme sont concernés par l’obligation de tenir un registre des traitements.

Faut-il nommer un délégué à la protection des données (DPO) pour un domaine viticole ?

La nomination d’un DPO est obligatoire uniquement dans certains cas précis définis par le RGPD (autorités publiques, traitements à grande échelle de données sensibles, surveillance systématique à grande échelle). La plupart des domaines viticoles n’y sont pas tenus. Il est néanmoins conseillé de désigner en interne un référent RGPD, chargé de piloter la démarche de conformité et de répondre aux demandes des clients.

Peut-on utiliser les données collectées lors d’une visite œnotouristique pour envoyer des offres commerciales ?

Pas automatiquement. Si un visiteur vous a communiqué son adresse email pour recevoir la confirmation de sa réservation, vous ne pouvez pas utiliser cette adresse à des fins de prospection commerciale sans recueillir son consentement explicite. En revanche, si la personne coche une case l’autorisant à recevoir vos actualités et offres au moment de la réservation, cela constitue une base légale valide.

Que faire en cas de cyberattaque ou de perte d’un fichier clients ?

En cas de violation de données personnelles, vous devez notifier la CNIL dans un délai de 72 heures à compter de la découverte de l’incident, si la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes concernées. Si ce risque est élevé (par exemple, vol de données bancaires ou d’identifiants), vous devez également informer directement les personnes affectées dans les meilleurs délais.

Les données des travailleurs saisonniers viticoles sont-elles soumises au RGPD ?

Oui. Les données personnelles des salariés, y compris les saisonniers, relèvent du RGPD au même titre que les données clients. Cela inclut les coordonnées, les données bancaires pour le virement des salaires, les contrats de travail et les informations liées à la santé (arrêts maladie, visites médicales). Ces données doivent être sécurisées, conservées pendant les durées légales applicables et supprimées à l’issue de ces délais.

Est-il possible de conserver indéfiniment les données d’un client fidèle qui achète chaque année au domaine ?

Tant que la relation commerciale est active, les données peuvent être conservées. Cependant, dès lors qu’un client ne donne plus signe de vie pendant trois ans (absence d’achat, d’ouverture d’email ou de contact), ses données doivent être supprimées ou anonymisées pour la partie marketing, même si les données de facturation restent conservées dix ans pour des raisons comptables.