Ticket de caisse dématérialisé : le QR code, la solution que la CNIL préfère
Vous entrez dans un commerce et la caisse n'imprime plus rien. On vous demande si vous voulez un ticket ; si vous dites non, la transaction s'arrête là. Demandez la version dématérialisée et l'on vous réclamera peut-être une adresse e-mail. C'est à cet instant qu'une règle sur le papier se transforme, sans prévenir, en question de données personnelles.
Ce mécanisme est franco-français, et il possède une bonne réponse technique qui passe par un code. Autant comprendre les deux moitiés du sujet avant de concevoir quoi que ce soit.
Ce que la loi AGEC a réellement interdit
La loi n° 2020-105 du 10 février 2020, dite loi anti-gaspillage pour une économie circulaire ou loi AGEC, a inscrit la règle au IV de l'article L. 541-15-10 du code de l'environnement. Ses modalités d'application ont été fixées par le décret n° 2022-1565 du 14 décembre 2022, modifié par le décret n° 2023-237 du 31 mars 2023, pour une entrée en vigueur le 1er août 2023.
Quatre objets ont cessé d'être imprimés d'office :
- Les tickets de caisse dans les surfaces de vente et les établissements recevant du public.
- Les tickets de carte bancaire.
- Les tickets délivrés par des automates.
- Les tickets promotionnels et bons de réduction distribués en magasin.
Lisez le verbe avec attention. Rien n'a été interdit purement et simplement. Ce qui est interdit, c'est l'impression et la remise systématiques. Si le client demande, le commerçant imprime. Cette nuance est toute la contrainte de conception : vous ne remplacez pas le papier, vous remplacez le comportement par défaut.
Ce qui s'imprime malgré tout
L'article D. 541-371 du code de l'environnement maintient une liste de cas où l'impression systématique reste exigée. Pour l'essentiel :
- Les biens dont la vente s'accompagne de l'information sur la garantie légale de conformité prévue par le code de la consommation : électroménager, informatique, téléphonie, photo, outillage, jeux et jouets, articles de sport, horlogerie, luminaires, ameublement et assimilés.
- Les tickets issus d'une opération de pesage automatique.
- Les documents dont l'impression est imposée par d'autres réglementations, ainsi que les tickets de carte bancaire pour les opérations annulées, refusées ou faisant l'objet d'un crédit ou d'une préautorisation.
- Les tickets nécessaires pour obtenir un bien ou un service, ou pour calculer le montant dû.
L'hôtellerie-restauration échappe au sujet pour une autre raison. En application de l'arrêté n° 83-50/A du 3 octobre 1983, une prestation d'un montant égal ou supérieur à 25 euros TTC impose la remise d'une note dès que la prestation est rendue et avant le paiement, et en dessous de ce seuil la note doit être remise sur demande. La note de restaurant est donc imposée par un autre texte : le restaurateur continue d'imprimer.
La CNIL est arrivée avant les enseignes
Le régulateur a publié sa propre position sur la fin de l'impression systématique, et elle se lit comme un cahier des charges plus que comme un avertissement. Sa préférence affichée va aux solutions qui permettent aux personnes de récupérer leur ticket sans transmettre leurs données de contact. Lorsqu'un serveur intervient, elle cite le jeton d'accès et la limitation de durée comme moyens de sécuriser le dispositif.
Dès qu'une adresse e-mail ou un numéro de téléphone est collecté, les obligations habituelles suivent : minimisation des données, conservation limitée au strict nécessaire, mesures de sécurité, et un dispositif permettant à la personne de consentir ou de s'opposer. Réutiliser cette adresse pour de la prospection est une autre finalité, qui exige sa propre base, et la CNIL a été explicite : dématérialiser un ticket ne la justifie pas. Elle a par ailleurs mené des contrôles sur ce terrain, ce n'est donc pas une hypothèse d'école.
Autrement dit, l'option conforme par construction est celle qui ne collecte rien. Un code fait exactement cela.
Quatre conceptions possibles, une seule qui tient
| Dispositif | Ce que le client obtient | Données collectées | Verdict |
|---|---|---|---|
| Code fixe collé sur la caisse | Une page générique, ou un compte à créer | Aucune | Inutile : un ticket est propre à une transaction |
| Code fixe plus un numéro à saisir | Le bon ticket, après saisie | Aucune | Fonctionne, lentement, et l'on se trompe de chiffre |
| Code par transaction sur l'afficheur client | Le bon ticket, en un scan | Aucune | C'est celui-là |
| Code ouvrant un formulaire d'e-mail | Un e-mail, plus tard | Adresse e-mail | Le pire des deux mondes : de la donnée et de la friction |
La troisième ligne est celle vers laquelle pointe la préférence de la CNIL. La caisse connaît déjà la transaction : elle génère un jeton à usage unique, affiche un code sur l'écran tourné vers le client, et le téléphone récupère ce ticket et rien d'autre. Pas de compte, pas d'adresse, pas de fichier de prospection, pas de demande d'accès à traiter dans deux ans.
Le jeton est un secret, traitez-le comme tel
Un ticket est un document sur un achat : ce qui a été acheté, où, quand, et souvent avec quelle carte se terminant par quatre chiffres. Une URL qui l'ouvre sans authentification équivaut fonctionnellement à un mot de passe. Le jeton doit donc en avoir les propriétés.
- Imprévisible. Aléatoire et long. Un identifiant de transaction séquentiel dans l'URL permet à n'importe qui de parcourir les ventes de la journée.
- De courte durée. Le scan a lieu à la caisse ou sur le chemin de la sortie. Une heure est déjà généreuse, et la CNIL cite explicitement la limitation de durée.
- À usage unique et à finalité unique. Il ouvre un ticket. Il n'identifie pas un client, n'alimente pas un profil de fidélité et ne dépose rien de durable dans le navigateur.
- Dépourvu de ce que le papier n'aurait pas porté. Si le ticket n'imprimait pas le numéro de carte complet, la page ne doit pas l'afficher davantage.
Une deuxième question se cache derrière celle-là : la redirection qui résout le code produit une ligne de journal avant même que la page existe, si bien qu'un bandeau de consentement sur la page ne peut pas la couvrir. Notre article sur le suivi des scans, le consentement et la conservation traite le sujet en général, et il s'applique ici avec une arête supplémentaire : la requête est rattachée à un achat précis.
Le papier que vous imprimez encore, et le code dessus
Beaucoup de tickets continuent de sortir de l'imprimante, soit parce que le client l'a demandé, soit parce qu'ils relèvent de la liste D. 541-371. Un code sur ce papier ne fait pas le même travail que celui de l'écran : le client conserve le ticket, parfois le temps d'une garantie, et le scannera peut-être dans plusieurs mois.
Les exigences changent donc. La destination doit encore exister, ce qui plaide pour un code que vous pouvez réorienter plutôt qu'une URL figée dans un gabarit de caisse. La ligne de texte imprimée dessous compte plus que d'ordinaire : c'est le seul recours quand l'impression thermique a pâli au fond d'un portefeuille.
L'impression thermique est la vraie contrainte. Basse résolution, points qui bavent, contraste qui se dégrade avec la chaleur, la lumière et le temps. Conséquences pratiques : gardez le code largement dimensionné au lieu de le tasser en pied de ticket, laissez toute sa zone de silence libre de la ligne de découpe et du texte au-dessus, et ne le placez jamais sur une perforation ou un pli. Notre guide sur la résolution d'impression et les DPI explique pourquoi un code impeccable à l'écran se dissout sur une bobine thermique.
Un test rapide avant de déployer
- Achetez quelque chose. Scannez le code de l'afficheur avec l'appareil photo d'origine d'un téléphone ancien, debout là où se tient un client, sans vous pencher sur le terminal.
- Réutilisez le même jeton deux fois, puis une heure plus tard. Vérifiez qu'il se comporte comme vous l'avez décidé.
- Modifiez un caractère de l'URL et vérifiez que vous n'obtenez rien, et surtout pas le ticket de quelqu'un d'autre.
- Imprimez un ticket, laissez-le une semaine dans une poche, rescannez-le.
- Demandez à un collègue qui n'a jamais vu cette caisse de récupérer son ticket sans explication. S'il finit par donner une adresse e-mail, la conception a échoué précisément là où la CNIL attendait mieux.
La règle qui a tout déclenché portait sur le papier. La raison de la traiter avec un code plutôt qu'avec un champ d'adresse, c'est qu'elle vous évite de détenir des données dont vous n'avez jamais voulu.
