La CNIL approuve le premier code de conduite de portée nationale pour le commerce de détail: un tournant pour la conformité sectorielle

Le 28 avril 2026, la Commission nationale de l'informatique et des libertés (CNIL) a officialisé l'approbation du code de conduite porté par l'Alliance du Commerce, destiné aux acteurs du commerce de détail de l'équipement de la personne.

Fruit d'une délibération en date du 12 février 2026 (délibération n° 2026-013), ce code constitue le premier référentiel de portée nationale approuvé par l'autorité de contrôle française, et le troisième code sectoriel après les codes européens CISPE (cloud, 2021) et EUCROF (recherche clinique, 2024).

Ce nouvel outil pourrait redessiner les contours de la conformité RGPD dans le secteur du retail de l’habillement et de la chaussure.

Un cadre juridique prévu par l'article 40 du RGPD

Aux termes de l’article 40, le Règlement général sur la protection des données (RGPD) encourage, l'élaboration de codes de conduite destinés à préciser les modalités d'application du texte européen dans des secteurs spécifiques.

Ces codes, une fois approuvés par l'autorité de contrôle, constituent des outils de conformité de droit souple, mais au caractère contraignant pour les entités qui y adhèrent volontairement.

La particularité de ce mécanisme réside dans son double niveau de supervision.

En premier lieu, l'approbation par la CNIL, a pour rôle de s’assurer que le code apporte une valeur ajoutée suffisante par rapport au RGPD lui-même.

En second lieu, le contrôle du respect effectif du code par un organisme tiers, distinct de la CNIL, qui doit être agréé à cette fin par cette dernière constitue le second niveau de supervision.

Un outil opérationnel taillé pour le commerce de détail

Le code de l'Alliance du Commerce ne se borne pas à reprendre de façon générique les grands principes du RGPD.

Au contraire, le code les décline de manière concrète à travers huit chapitres couvrant l'ensemble des thématiques critique pour le secteur : bases légales, information des personnes, exercice des droits, durées de conservation, sécurité des données, sous-traitance, transferts de données hors UE, ou encore gouvernance de la conformité.

Le code s'adresse spécifiquement aux enseignes et magasins adhérents à l'Alliance du Commerce, agissant en qualité de responsables de traitement dans leurs activités de vente et distribution aux consommateurs (en magasin comme en ligne), à l'exclusion des relations avec les fournisseurs ou les employés.

Il convient de relever que seules les enseignes dont le centre de décision est situé en France – ou constituant un établissement français de groupes internationaux – peuvent y adhérer.

De la conformité théorique à la conformité par la preuve 

L'apport le plus significatif de ce code réside dans sa capacité à transformer des principes généraux en exigences précises et auditables.

Pour chaque principe du RGPD, le code identifie les points de contrôle et spécifie les éléments de preuve attendus. Une telle structuration permet aux enseignes non seulement d'organiser leur mise en conformité, mais aussi d'en apporter la démonstration – enjeu crucial à l'heure où la CNIL renforce ses contrôles dans le secteur commercial.

Le code fournit par ailleurs des exemples concrets pour en illustrer son application.

Si le code ne crée aucune règle nouvelle, il s'inscrit strictement dans le cadre juridique existant. Toutefois, sa force est ailleurs puisqu’il procure un langage commun, adapté aux réalités opérationnelles du commerce de détail, là où le RGPD reste volontairement généraliste.

Cette approche de conformité par la preuve s'inscrit dans la droite ligne des orientations récentes de la CNIL, qui insiste de plus en plus sur la nécessité pour les organismes de documenter et tracer leurs démarches.

Un mécanisme de contrôle à deux niveaux

L'effectivité du code est garantie par un organisme de contrôle externe, chargé de vérifier son respect tant au stade de l'adhésion qu'en cours d'exécution.

Cet organisme devra être agréé par la CNIL, sur la base d'un référentiel d'agrément publié par l'autorité. Le code ne sera pleinement opérationnel qu'une fois cet agrément délivré.

Il est essentiel de comprendre que les pouvoirs de cet organisme de contrôle ne se confondent pas avec ceux de la CNIL. La CNIL conserve bien entendu l'intégralité de ses prérogatives de contrôle et de sanction, y compris à l'égard des adhérents au code, notamment lorsqu'elle estime que les traitements mis en œuvre ne respectent pas le RGPD.

Un signal pour la normalisation de la conformité et pour les secteurs en quête de structuration

L'approbation de ce code, qui vient compléter une quinzaine de codes déjà mis en place en Europe depuis l'entrée en vigueur du RGPD, envoie un signal fort aux fédérations professionnelles. Elle démontre que la voie de l'autorégulation encadrée est non seulement praticable, mais encouragée par le régulateur.

Pour les enseignes du secteur, l'adhésion à ce code présente un triple intérêt : bénéficier d'un cadre opérationnel clé en main pour structurer leur conformité, valoriser leur engagement à travers un indicateur de conformité opposable aux clients et partenaires, et se préparer aux contrôles avec une longueur d'avance sur les obligations strictement réglementaires.