Un client vous félicite pendant un appel, accepte volontiers de témoigner, et vous voilà prêt à publier son nom, sa fonction, sa photo et ses mots sur votre site. Avant de cliquer sur « publier », une question revient souvent dans les équipes marketing : un témoignage client est-il concerné par le RGPD, et que faut-il avoir en main pour être tranquille ?
La réponse courte : oui, dès qu'une personne est identifiable. La bonne nouvelle, c'est que les règles à suivre sont simples à appliquer quand on les prévoit dès le départ. Cet article fait le point sur ce qu'il faut réunir avant de publier : un accord clair, une information transparente, une trace datée et une façon simple de retirer le témoignage. Il s'agit d'un panorama pratique, qui ne remplace pas l'avis de votre DPO ou d'un juriste.
Pourquoi un témoignage client relève du RGPD
Le RGPD s'applique à toute information qui se rapporte à une personne physique identifiée ou identifiable. Un témoignage en contient presque toujours plusieurs :
- le prénom et le nom du témoin ;
- sa fonction et le nom de son entreprise, qui permettent souvent de le retrouver même sans nom ;
- sa photo, sa voix ou sa vidéo ;
- ses propos, qui reflètent son opinion et parfois des informations sur son travail.
Publier ces éléments sur un site, dans un PDF ou sur LinkedIn constitue donc un traitement de données personnelles. Le fait que le client soit une entreprise ne change rien : c'est la personne qui s'exprime, et c'est elle que le RGPD protège.
À l'inverse, un témoignage vraiment anonyme (sans nom, sans photo, sans détail qui permette de reconnaître la personne) sort en grande partie du champ. En pratique, un témoignage anonyme convainc moins, et un « directeur marketing d'un éditeur lyonnais de 40 personnes » reste souvent identifiable. Mieux vaut donc partir du principe que le RGPD s'applique.
Le consentement : la base la plus simple pour un témoignage
Le RGPD prévoit plusieurs bases légales pour traiter des données. Pour publier un témoignage nominatif à des fins de communication, le consentement du témoin est la base la plus naturelle et la plus facile à défendre : la personne accepte explicitement que ses propos et son identité soient publiés.
Pour être valable, ce consentement doit réunir quatre qualités définies par le texte :
- Libre. Le témoin peut refuser sans conséquence. Conditionner une remise commerciale ou un avantage contractuel à un témoignage fragilise ce caractère libre.
- Spécifique. L'accord porte sur un usage précis : ce texte, pour ces supports. Un accord pour une citation sur le site ne vaut pas automatiquement pour une campagne publicitaire payante.
- Éclairé. Le témoin sait qui publie, où, pendant combien de temps, et comment revenir sur sa décision.
- Univoque. Il résulte d'un acte positif : un clic sur « J'accepte », une signature, une réponse écrite. Un silence ou une case précochée ne suffisent pas.
Un « oui, bien sûr » lancé à l'oral pendant un appel est un excellent point de départ. Il ne constitue pas, à lui seul, une preuve exploitable. L'étape suivante consiste à transformer cet enthousiasme en accord écrit sur le texte final.
Ce que le témoin doit savoir avant de donner son accord
Le devoir d'information est souvent la partie la plus négligée, alors qu'il tient en quelques lignes. Au moment de la demande d'accord, indiquez clairement :
- Qui publie : le nom de votre entreprise et un moyen de vous contacter.
- Ce qui sera publié : le texte exact, avec le nom, la fonction, l'entreprise et, le cas échéant, la photo ou le logo.
- Où : site web, PDF envoyé aux prospects, réseaux sociaux, présentations commerciales, salons.
- Combien de temps : une durée indicative ou « jusqu'à retrait de votre part ».
- Comment retirer son accord : une adresse email ou un lien, avec un délai de traitement raisonnable.
- Ses droits : accès, rectification, effacement, et un renvoi vers votre politique de confidentialité.
Ces informations peuvent figurer directement dans l'email ou la page de validation. Plus elles sont lisibles, plus le témoin valide sereinement, et plus son accord est solide.
Garder une preuve de l'accord
Le RGPD demande à celui qui s'appuie sur le consentement d'être en mesure de le démontrer. Pour un témoignage, une preuve utile contient au minimum :
- l'identité du témoin et son adresse email ;
- la date et l'heure de l'accord ;
- la version exacte du texte approuvée, pour pouvoir prouver que ce qui est publié correspond à ce qui a été validé ;
- les supports couverts par l'accord ;
- le moyen utilisé (clic sur un lien, signature, email de réponse).
Si le texte est modifié après validation, même légèrement, la version modifiée doit être soumise à nouveau. C'est particulièrement vrai pour les chiffres : un « 30 % de temps gagné » transformé en « 40 % » change le sens des propos du client.
Côté conservation, gardez cette preuve tant que le témoignage est diffusé, puis le temps nécessaire pour répondre à une éventuelle contestation. Fixez une durée dans votre registre des traitements et appliquez-la.
Photo, logo et nom de l'entreprise : des accords à part
Le RGPD n'est pas le seul texte en jeu. Trois éléments méritent une attention particulière.
La photo et la vidéo
En France, le droit à l'image protège chaque personne contre la diffusion de son image sans autorisation. L'accord pour une photo doit donc être explicite, et couvrir les mêmes supports que le texte. Si vous récupérez la photo sur un profil LinkedIn, demandez l'autorisation de l'utiliser : sa présence en ligne ne vaut pas accord pour votre communication.
Le logo et le nom de l'entreprise cliente
Le logo est généralement protégé comme une marque. Afficher le logo d'un client dans un bandeau « Ils nous font confiance » ou en tête d'un PDF suppose l'accord de l'entreprise, pas seulement celui de la personne qui témoigne. Certains contrats clients prévoient d'ailleurs une clause de référence commerciale : relisez-la, elle peut autoriser la citation du nom sans couvrir le logo, ou l'inverse.
La validation par l'employeur
Dans beaucoup d'entreprises, un salarié ne peut pas s'exprimer au nom de son employeur sans l'aval de la communication ou du juridique. Cette validation relève de l'organisation interne du client plutôt que du RGPD ; elle explique pourtant beaucoup de retraits après publication. Demandez simplement au témoin s'il doit faire valider le texte en interne, et laissez-lui le temps de le faire.
Enregistrer un appel pour en tirer un témoignage
De plus en plus de témoignages naissent d'un appel enregistré : un point de suivi sur Zoom, Teams ou Meet, une démonstration analysée par Gong ou Modjo, un échange téléphonique sur Aircall. Deux traitements distincts sont alors en jeu.
Le premier est l'enregistrement de l'appel lui-même. Les participants doivent être informés de l'enregistrement et de sa finalité, généralement au début de l'appel ou dans l'invitation. La plupart des outils affichent un bandeau ou émettent un message sonore, mais cette information technique ne dit pas toujours à quoi servira l'enregistrement.
Le second est la réutilisation d'extraits pour rédiger un témoignage. Cette finalité est différente de celle de l'enregistrement initial (suivi commercial, formation, qualité). Le plus sûr est de ne rien publier à partir de l'appel sans soumettre au client le texte qui en est tiré, et sans recueillir son accord explicite sur ce texte. Le client relit ses propres mots, les corrige s'il le souhaite, et décide.
Si un prestataire traite ces enregistrements pour vous (transcription, rédaction), il agit en tant que sous-traitant au sens du RGPD. Un contrat de traitement des données (souvent appelé DPA) doit alors encadrer la relation : finalités, sécurité, lieu d'hébergement, durée de conservation, sort des données en fin de contrat.
Le droit de retrait : prévoir la sortie dès le départ
Un consentement peut être retiré à tout moment, et il doit être aussi simple de le retirer que de le donner. Pour un témoignage, cela signifie en pratique :
- une adresse ou un lien de retrait indiqué dans la demande d'accord ;
- une liste à jour des endroits où chaque témoignage est diffusé (pages du site, PDF, posts, présentations commerciales, widget) ;
- une procédure pour retirer le contenu rapidement de ces supports.
Le retrait vaut pour l'avenir : il ne rend pas illicite la publication faite avant. En revanche, un PDF déjà envoyé à des prospects ou un post partagé ne peuvent pas toujours être rappelés. Mieux vaut le dire honnêtement au témoin dès la demande : c'est un gage de sérieux qui rassure plus qu'il n'inquiète.
Témoignage fidèle : une exigence qui dépasse le RGPD
Reformuler un témoignage pour le rendre plus lisible est courant et légitime. Le texte doit toutefois rester fidèle aux propos et à l'expérience réelle du client. Un témoignage inventé, un chiffre gonflé ou une citation attribuée à quelqu'un qui ne l'a pas prononcée peuvent être regardés comme une pratique commerciale trompeuse, en plus de ruiner la confiance le jour où le client le découvre.
La meilleure protection reste la même : partir des mots du client, lui soumettre la version finale, et ne publier que ce qu'il a validé.
La liste de contrôle avant publication
- Le témoin a reçu le texte final exact, avec son nom, sa fonction et son entreprise.
- Il connaît les supports de diffusion et la manière de retirer son accord.
- Son accord résulte d'un acte positif, daté, lié à cette version du texte.
- La photo et le logo ont fait l'objet d'un accord explicite.
- L'employeur du témoin a validé si c'était nécessaire.
- Les participants à l'appel enregistré en avaient été informés.
- Vos prestataires qui traitent les enregistrements sont couverts par un contrat de traitement.
- Vous savez où le témoignage est diffusé et comment le retirer.
Si vous cochez ces huit points, vous avez l'essentiel. Pour les situations particulières (secteur réglementé, témoin situé hors de l'Union européenne, usage publicitaire payant), rapprochez-vous de votre DPO.
Comment Temonis vous aide à publier en règle
Temonis intègre ces étapes dans la production même du témoignage. La plateforme récupère vos appels clients depuis Zoom, Teams, Meet, HubSpot, Gong, Modjo ou Aircall, et rédige le témoignage à partir des mots du client. Elle envoie ensuite au témoin la demande d'accord sur le texte final, avec les relances : il peut corriger ses citations avant de valider, et son accord est horodaté et conservé. Le témoignage validé sort à votre charte : PDF, visuel, post LinkedIn et widget pour votre site.
Vous choisissez les clients et gardez la main sur le texte. Le premier témoignage est offert.
À lire aussi
Comment demander un témoignage client : 10 modèles d'emails