RGPD et données clients en garage : ce qu’il faut savoir

Article de blog · 7 minutes de lecture · Catégorie : Automobile

Un garage manipule au quotidien des données personnelles : nom, adresse, téléphone, pièces d’identité, justificatifs de domicile, plaques d’immatriculation, kilométrage, historique d’entretien. Tout cela relève du RGPD, le règlement européen sur la protection des données. La plupart des garages le savent vaguement mais peinent à appliquer concrètement les règles. Voici un tour d’horizon des obligations qui pèsent sur un garage automobile.

📌 À retenir

Le garage est responsable de traitement au sens du RGPD.
Information du client, consentement, durée de conservation : trois piliers.
Sécurisation des données obligatoire (organisationnelle et technique).
Sanctions CNIL jusqu’à 4 % du chiffre d’affaires mondial.
Le coffre-fort numérique est un outil de conformité, pas un luxe.

Le garage est un responsable de traitement

Au sens du RGPD, le garage est un responsable de traitement : il décide pour quelles finalités et avec quels moyens il traite des données personnelles. Cette qualification déclenche un ensemble d’obligations directes.

Les données concernées

La notion de donnée personnelle est large. Pour un garage, elle couvre notamment :

Identité du client : nom, prénoms, date de naissance, photo sur la pièce d’identité.
Coordonnées : adresse, téléphone, email.
Données financières : numéro de carte bancaire, IBAN, échéances de paiement.
Données automobiles : immatriculation, numéro VIN, kilométrage.
Historique d’intervention : factures, rapports de diagnostic, photos.
Justificatifs administratifs : carte grise, attestation d’assurance, justificatif de domicile.

Les finalités de traitement

Pour qu’un traitement de données soit licite, il doit avoir une finalité précise et légitime. Pour un garage, les principales finalités sont la facturation, le suivi de la relation client, la gestion du SAV, les campagnes de rappel constructeur, l’immatriculation pour le compte du client, la garantie commerciale, la lutte contre la fraude.

L’information du client

Avant de collecter des données, le garage doit informer le client. C’est le principe de transparence du RGPD.

Le contenu de l’information

L’information doit être claire, complète et accessible. Elle comprend :

L’identité du responsable de traitement (le garage).
Les finalités de chaque traitement.
La base juridique (contrat, obligation légale, intérêt légitime).
Les destinataires des données (assureurs, constructeurs, prestataires).
La durée de conservation.
Les droits du client (accès, rectification, opposition, effacement, portabilité).
Le cas échéant, la possibilité de retirer son consentement.

Comment l’information est-elle délivrée

L’information se fait à travers une politique de confidentialité, accessible au client. En pratique, plusieurs supports cohabitent : panneau d’affichage en accueil, mention sur le devis, document remis avec la facture, lien vers une page web dédiée. L’important est que le client puisse y accéder facilement à tout moment.

Le consentement, quand et pourquoi

Tous les traitements ne nécessitent pas un consentement formel. Un garage peut collecter et traiter les données du client sans consentement explicite lorsque le traitement est nécessaire à l’exécution du contrat (réparation du véhicule, facturation) ou à une obligation légale (livre de police, archivage SIV).

Le consentement est en revanche requis pour les traitements qui sortent de ce cadre, par exemple :

L’envoi de newsletters et offres promotionnelles.
Les campagnes SMS commerciales.
Le partage de données avec des partenaires non liés à la prestation.
Le ciblage publicitaire.

Le consentement doit être libre, éclairé, spécifique et univoque. Une case précochée n’est pas un consentement valable.

Les durées de conservation

Le RGPD impose de ne pas conserver les données plus longtemps que nécessaire à la finalité poursuivie. Plusieurs durées coexistent dans un garage.

Type de donnée	Durée	Base légale
Données du dossier d’immatriculation (SIV)	5 ans	Arrêté du 1er juillet 2025
Livre de police (négociants VO)	10 ans	Code pénal art. 321-7
Factures et pièces comptables	10 ans	Code de commerce art. L. 123-22
Données de prospection commerciale	3 ans après le dernier contact	Recommandation CNIL
Historique d’entretien et SAV	Durée de la relation + 5 ans	Garantie biennale, vices cachés
Données de paiement	13 mois maximum	Recommandation CNIL
Vidéosurveillance des locaux	1 mois maximum	Doctrine CNIL

Au terme de chaque durée, les données doivent être détruites ou anonymisées de manière sécurisée. Une suppression manuelle improvisée n’est pas conforme : il faut une procédure tracée, idéalement automatisée par le coffre-fort numérique.

Sécurité des données : les obligations

Le RGPD impose au garage de mettre en place des mesures techniques et organisationnelles appropriées pour protéger les données des clients.

Mesures organisationnelles

Limiter les accès aux seules personnes ayant besoin d’en connaître.
Former le personnel aux règles de protection des données.
Définir une politique de mots de passe et de gestion des accès.
Tenir un registre des activités de traitement (obligation pour les structures de plus de 250 salariés, mais bonne pratique en deçà).

Mesures techniques

Chiffrement des données sensibles, en transit comme au repos.
Sauvegardes régulières et tests de restauration.
Journalisation des accès et des modifications.
Mises à jour des systèmes et logiciels.
Antivirus et pare-feu sur tous les postes manipulant des données clients.

Un coffre-fort numérique conforme NF Z 42-020 répond à plusieurs de ces exigences : chiffrement, journalisation, traçabilité, contrôle des accès. Pour un garage qui se met en conformité avec l’arrêté SIV, le coffre-fort participe ainsi à la conformité RGPD.

Les droits des clients

Le RGPD donne aux clients un ensemble de droits que le garage doit pouvoir honorer.

Droit d’accès. Le client peut demander à connaître les données détenues sur lui.
Droit de rectification. Il peut demander la correction de données erronées.
Droit à l’effacement. Sous conditions, le client peut demander la suppression de ses données.
Droit d’opposition. Le client peut s’opposer à un traitement, notamment à la prospection commerciale.
Droit à la portabilité. Il peut demander à recevoir ses données dans un format structuré.

Le garage doit répondre à toute demande dans un délai d’un mois maximum. Une procédure interne claire évite les retards qui peuvent dégénérer en plainte CNIL.

Les sanctions en cas de manquement

Les sanctions du RGPD sont parmi les plus lourdes du droit européen.

Les amendes administratives peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé. Pour la plupart des garages, ce ne sont pas les plafonds qui sont appliqués, mais des amendes proportionnées qui peuvent tout de même se chiffrer en dizaines de milliers d’euros.

Au-delà de l’amende, la CNIL peut prononcer des mises en demeure publiques, des injonctions de faire et des restrictions de traitement. La publicité de la sanction est souvent plus dommageable pour la réputation que l’amende elle-même.

Le lien avec l’arrêté SIV de 2025

L’arrêté du 1er juillet 2025 sur l’archivage SIV n’est pas une obligation RGPD à proprement parler, mais il s’inscrit dans la même logique : limiter la conservation des données aux durées strictement nécessaires (5 ans), garantir leur intégrité (coffre-fort NF Z 42-020), encadrer leur destruction (attestation conforme).

Pour un garage, mettre en place un coffre-fort numérique conforme à l’arrêté SIV est aussi une étape majeure de la conformité RGPD globale. Une bonne stratégie consiste à profiter de la mise en conformité 2026 pour rationaliser l’ensemble de la gestion documentaire.

Pour finir

Le RGPD n’est pas un sujet réservé aux grandes entreprises. Un garage indépendant qui collecte chaque jour les pièces d’identité de ses clients, leurs coordonnées et leurs données de paiement est tout autant concerné qu’une concession multimarques. La bonne nouvelle : la mise en conformité ne demande pas un investissement disproportionné, surtout si elle est combinée avec la conformité SIV imposée par l’arrêté du 1er juillet 2025.

Checklist de conformité SIV 2026

15 points de contrôle pour auditer votre situation en 10 minutes.

Rendez-vous avec un expert LegalySpace

30 minutes pour cartographier vos flux, identifier vos risques et définir un plan.

Pour aller plus loin

Arrêté du 1er juillet 2025 : ce qu’il change pour les pros de l’automobile
Livre de police automobile : papier ou numérique, ce qui est obligatoire
Coffre-fort numérique pour les professionnels de l’automobile (page hub)

Sources

Règlement général sur la protection des données (RGPD), CNIL
CNIL, guide RGPD pour les TPE et PME
Recommandations CNIL relatives aux durées de conservation