E-commerce & RGPD : le CEPD rappelle que la création obligatoire d’un compte client doit rester l’exception, pas la règle.

Les 2 et 3 décembre 2025, le Comité Européen de la Protection des Données (CEPD) a adopté de nouvelles recommandations sur la base légale permettant d’imposer la création d’un compte utilisateur sur les sites e-commerce.

Pourquoi ce rappel a-t-il été nécessaire ?

Si de nombreux e-commerçants justifient l’obligation de créer un compte pour :

• finaliser une vente,
• permettre un abonnement à des services,
• accéder à des offres exclusives,
• faciliter le suivi des commandes,

… le CEPD indique que cette pratique expose inutilement les personnes concernées  à des risques supplémentaires pour leurs droits et libertés.

Ce que disent les nouvelles recommandations (Recommandations 2/2025)

Le CEPD analyse les conditions pour justifier légalement l’obligation de créer un compte client (articles 6, 1, b), 6, 1, c) et 6,1, f) du RGPD) et conclut qu’elle n’est licite que dans un nombre très limité de situations comme l’offre d’un service par abonnement ou l’accès à des offres exclusives.

Dans la plupart des cas courants — achat unique, achat conditionnel, suivi de commande, gestion des modifications de commande, services après-vente, fidélisation de la clientèle, prévention de la fraude— la création obligatoire d’un compte ne satisfait pas au test de nécessité exigé par l’article 6 du RGPD.

Pourquoi cette limitation ?

Parce que des alternatives moins intrusives existent comme le suivi de l’état de la commande via un numéro de suivi et un lien hypertexte, les modifications de commande en ligne, par téléphone ou par courrier et l’utilisation de mécanismes anti-fraude qui ne reposent pas sur la création d’un compte client.

Le CEPD rappelle que le simple intérêt commercial des e-commerçants ne suffit pas à justifier la collecte et la conservation accrue de données.

L’option recommandée : le mode “invité”

Offrir aux utilisateurs la possibilité de créer un compte ou d’acheter en tant qu’invité constitue, selon le CEPD, l’approche la plus conforme aux principes de transparence, de minimisation des données, et à l’obligation de protection des données dès la conception et par défaut (article 25 du RGPD).

Pour plus d’information concernant ces recommandations : https://www.edpb.europa.eu/our-work-tools/documents/public-consultations/2025/recommendations-22025-legal-basis-requiring_fr