Le RGPD en galerie : protéger les données de ses collectionneurs

01Ce que le RGPD change pour les galeries

Le RGPD repose sur plusieurs principes fondamentaux que le galeriste doit intégrer dans ses pratiques quotidiennes. Le premier est le consentement : toute collecte de données personnelles doit reposer sur une base légale, qui dans le cas d'une galerie sera le plus souvent le consentement de la personne concernée ou l'intérêt légitime lie à la relation commerciale. Un collectionneur qui confie son adresse email pour recevoir les invitations de la galerie consent implicitement à cette utilisation, mais ce consentement ne s'étend pas automatiquement à des usages que le collectionneur n'a pas anticipés, comme la transmission de ses coordonnées à un partenaire commercial.

Le deuxième principe est la finalité : les données ne doivent être collectées que pour des objectifs précis et ne doivent pas être utilisées à d'autres fins. Une galerie qui collecte les adresses de ses collectionneurs pour envoyer des invitations ne peut pas utiliser cette base pour prospecter au nom d'un tiers ou vendre la liste à un prestataire. Ce principe de finalité oblige le galeriste a réfléchir en amont à l'usage qu'il fera des données collectées.

Le troisième principe est la minimisation : la galerie ne doit collecter que les données nécessaires à l'objectif poursuivi. Demander la date de naissance, la situation familiale et les revenus d'un collectionneur lors d'une simple inscription à la newsletter constitue une collecte excessive qui contrevient à ce principe. Le formulaire d'inscription doit se limiter aux informations réellement utiles : nom, prénom, adresse email, et éventuellement préférences artistiques si la galerie segmente ses envois.

02Les fichiers de collectionneurs : un trésor à protéger

Le fichier de collectionneurs constitue l'un des actifs les plus précieux d'une galerie. Il contient des informations qui, entre de mauvaises mains, pourraient nuire aux collectionneurs eux-mêmes : l'adresse d'un collectionneur qui possède des œuvres de grande valeur représente une information sensible du point de vue de la sécurité. Les préférences d'achat, les montants dépenses, les œuvres possédées : ces informations relèvent de la vie privée et méritent une protection rigoureuse.

La sécurisation de ce fichier commence par des mesures techniques. Le stockage dans un tableur Excel non protège sur un ordinateur partagé constitue une pratique à risque que le RGPD condamné implicitement. Le fichier doit être protégé par un mot de passe, idéalement chiffre, accessible uniquement aux personnes habilitees au sein de la galerie. Un système de gestion de la relation client (CRM) professionnel offre un niveau de sécurité supérieur à un fichier bureautique, avec des journaux d'accès, des sauvegardes automatiques et un contrôle granulaire des autorisations.

La sauvegardé du fichier doit être assurée de manière régulière et les copies de sauvegarde doivent bénéficier du même niveau de protection que le fichier principal. Une galerie qui perd son fichier de collectionneurs à la suite d'une panne informatique perd des années de relation commerciale. Une galerie dont le fichier est compromis par un piratage s'expose à des sanctions réglementaires et à une perte de confiance irréparable auprès de sa clientèle. La galerie David Zwirner, qui gère les données de certains des collectionneurs les plus importants au monde, investit nécessairement dans des systèmes de sécurité informatique a la hauteur de cette responsabilité.

03Le droit des collectionneurs sur leurs données

Le RGPD accorde aux personnes concernées un ensemble de droits que le galeriste doit être en mesure de respecter. Le droit d'accès permet à tout collectionneur de demander à la galerie quelles données sont conservées à son sujet. La galerie doit être en mesure de fournir cette information dans un délai d'un mois. Le droit de rectification permet au collectionneur de faire corriger les informations inexactes. Le droit à l'effacement, dit "droit à l'oubli", permet au collectionneur de demander la suppression de ses données lorsque leur conservation n'est plus justifiée.

Le droit à la portabilité permet au collectionneur de récupérer ses données dans un format lisible pour les transmettre à un tiers. En pratique, ce droit est rarement exerce dans le contexte des galeries, mais le galeriste doit y être préparé. Le droit d'opposition permet au collectionneur de refuser certains traitements, notamment la prospection commerciale. Un collectionneur qui demande à ne plus recevoir de communications doit être retiré des listes d'envoi sans délai.

La gestion de ces droits impose à la galerie de disposer d'une procédure claire et d'un interlocuteur identifie. Dans une galerie de petite taille, le galeriste lui-même peut assumer ce rôle. Dans une galerie plus importante, la désignation d'un responsable de la protection des données, même à temps partiel, est recommandée. La galerie Hauser & Wirth, qui gère des milliers de contacts internationaux, dispose nécessairement de procédures formalisées pour répondre aux demandes d'exercice de droits. La galerie Gagosian, présente dans de multiples juridictions, doit articuler ces procédures avec les législations locales de chaque pays où elle opère.

04Les pratiques quotidiennes à adapter

La conformité au RGPD ne se résume pas à un document juridique classe dans un tiroir. Elle implique des changements dans les pratiques quotidiennes de la galerie. L'envoi de newsletters doit inclure un lien de desinscription visible et fonctionnel. Les formulaires de contact sur le site internet doivent comporter une mention d'information sur le traitement des données. Les livres d'or des vernissages, où les visiteurs inscrivent leur nom et leur email, constituent une collecte de données qui doit être accompagnée d'une information sur l'usage qui sera fait de ces coordonnées.

La transmission de données à des tiers nécessite une attention particulière. Quand une galerie communique les coordonnées d'un collectionneur à un transporteur pour la livraison d'une œuvre, elle effectue un transfert de données qui doit être encadré par un contrat de sous-traitance conforme au RGPD. Quand elle partage sa liste d'invités avec une foire ou un partenaire événementiel, elle doit s'assurer que ce tiers respecte également les règles de protection des données.

La galerie Gagosian, qui opère dans plusieurs juridictions avec des législations différentes en matière de protection des données (RGPD en Europe, CCPA en Californie, PIPL en Chine), a dû développer une politique de données qui respecte simultanément ces différents cadres réglementaires. Pour une galerie opérant uniquement en France, la situation est plus simple, mais la conformité reste une obligation légale que la CNIL peut contrôler à tout moment.

Les équipes de vente doivent être formées aux bonnes pratiques. Un collaborateur qui note les coordonnées d'un collectionneur sur un post-it colle à son écran ou qui transfère le fichier de collectionneurs sur une clé USB non chiffrée pour travailler à domicile crée des failles de sécurité que le RGPD sanctionné. La galerie Perrotin, avec ses équipes réparties sur plusieurs continents, doit assurer une formation cohérente de l'ensemble de son personnel aux principes de la protection des données.

05Le registre des traitements

Le RGPD impose aux entreprises de tenir un registre des traitements de données personnelles. Pour une galerie, ce registre recense les différents traitements effectués : gestion du fichier de collectionneurs, envoi de newsletters, gestion des ventes, comptabilité, suivi des prêts d'oeuvres, gestion des assurances. Pour chaque traitement, le registre précise les catégories de données traitées, les personnes concernées, la finalité du traitement, la durée de conservation et les mesures de sécurité mises en oeuvre.

Ce registre, qui peut prendre la forme d'un document simple, constitue la pièce maîtresse de la conformité. Il oblige la galerie à cartographier ses flux de données et à identifier les points de risque. La CNIL met à disposition des modèles de registre que les galeries peuvent adapter à leur activité.

La durée de conservation des données est un point souvent négligé. Le RGPD impose de ne pas conserver les données au-delà de la durée nécessaire à l'objectif pour lequel elles ont été collectées. Les coordonnées d'un collectionneur actif peuvent être conservées tant que la relation commerciale se poursuit. Les coordonnées d'un visiteur qui a signé le livre d'or il y a cinq ans et n'a jamais donné suite doivent être supprimées si aucune relation n'a été établie. Cette obligation de nettoyage périodique du fichier est contraignante mais salutaire : elle garantit que le fichier refllete la réalité de la clientèle active et ne conserve pas de données obsolètes.

06La notification des violations de données

En cas de violation de données — piratage, perte d'un ordinateur contenant des données, envoi accidentel d'un fichier à un mauvais destinataire —, le RGPD impose au responsable du traitement de notifier la CNIL dans un délai de 72 heures si la violation est susceptible de présenter un risque pour les droits et libertés des personnes concernées. Si le risque est élevé, les personnes concernées doivent également être informées directement.

Cette obligation de notification pousse les galeries à mettre en place des procédures de gestion des incidents. Qui faut-il prévenir en interne ? Comment évaluer la gravité de la violation ? Qui contacte la CNIL ? Ces questions doivent avoir des réponses préparées avant que l'incident ne survienne. La galerie White Cube, la galerie Thaddaeus Ropac et les autres enseignes qui traitent les données de collectionneurs parmi les plus importants au monde ne peuvent se permettre le moindre laxisme dans ce domaine.

La prévention reste la meilleure stratégie. La formation du personnel aux bonnes pratiques informatiques — mots de passe robustes, vigilance face au hameconnage, verrouillage des ordinateurs, chiffrement des supports amovibles — réduit considérablement le risque de violation. Un collaborateur qui ouvre une pièce jointe malveillante peut compromettre l'ensemble du fichier de collectionneurs en quelques secondes.

07Se faire accompagner

La mise en conformité au RGPD peut paraitre intimidante pour un galeriste dont le cœur de métier est l'art, pas le droit numérique. Des cabinets d'avocats spécialisés en droit des données proposent des accompagnements adaptés aux PME qui permettent de structurer la démarche : audit initial, rédaction des documents obligatoires, formation de l'équipe, mise en place des procédures. Le coût de cet accompagnement, qui représente généralement quelques milliers d'euros, est dérisoire au regard des sanctions encourues en cas de non-conformité et du préjudice réputationnel qu'une violation de données peut causer.

Les syndicats professionnels du monde de l'art, comme le Comité professionnel des galeries d'art (CPGA) en France, proposent des ressources et des formations sur la conformité RGPD adaptées au contexte spécifique des galeries. Ces ressources sectorielles sont plus pertinentes que les guides généralistes car elles traitent des problématiques propres au marché de l'art : fichiers de collectionneurs, partage d'informations avec les foires, relations avec les transporteurs et assureurs.

Pour les galeries présentes sur Artedusa, la conformité RGPD est d'autant plus importante que la plateforme en ligne multiplie les points de collecte de données. Artedusa assuré pour sa part la protection des données collectées sur la plateforme, mais le galeriste reste responsable des données qu'il collecte et traité dans le cadre de sa propre activité. Cette complémentarité entre la plateforme et la galerie garantit aux collectionneurs une protection cohérente de bout en bout.