Quelles données avez-vous le droit de demander à un visiteur qui prend un ticket ?
Pour donner un numéro, il n’en faut aucune. Un ticket est un numéro, et un écran d’affichage appelle un numéro, jamais un nom. Le nom, le téléphone ou le motif n’apparaissent que si vous ajoutez vous-même le champ au formulaire, et chaque champ ajouté est une décision qui vous engage, pas un réglage par défaut.
Un ticket est un numéro
C’est le point de départ, et il est souvent oublié dans les discussions sur les données : pour tenir une file d’attente, il faut savoir qui est arrivé avant qui. Rien d’autre. Un numéro le dit parfaitement, et il a une qualité qu’aucun nom n’a : il ne désigne personne en dehors de l’heure suivante.
Chez nous, le chemin par défaut est donc vide de données : le visiteur scanne le QR code, la page de la file s’ouvre dans son navigateur, il appuie sur un bouton et obtient un numéro. Pas de compte, pas d’inscription, pas d’application, pas de formulaire. L’écran de la salle annonce ce numéro et le guichet, à l’écrit et à voix haute.
Trois questions avant d’ajouter un champ
Le formulaire d’une file se remplit vite, champ après champ, chacun ajouté pour une bonne raison locale. Posez ces trois questions à chaque fois, et la moitié des champs ne survit pas.
- Qui s’en sert, et quand ? Si personne ne lit ce champ pendant la visite, il ne sert pas à la file : il sert à un fichier, et un fichier se construit ailleurs, avec le consentement de la personne et une raison claire.
- Que se passe-t-il si la personne refuse de le remplir ? Si la réponse est « elle n’obtient pas de numéro », vous venez de transformer l’accès à un guichet en contrepartie de données. C’est la situation la plus inconfortable qui soit, et elle se règle en rendant le champ facultatif.
- Où cette donnée existe-t-elle déjà ? Le numéro de dossier est dans votre système, la pièce d’identité est dans la main du client au guichet. Recopier une donnée sensible dans un deuxième endroit multiplie le risque sans rien ajouter au service.
Ce que change chaque champ, concrètement
Le formulaire de prise de ticket accepte jusqu’à trois champs, et leur type se choisit : texte, téléphone, adresse e-mail, nombre, date, liste de choix. Voici ce que chacun apporte, et ce qu’il vous met sur les bras.
| Champ | Ce qu’il permet | Ce qu’il vous met sur les bras |
|---|---|---|
| Rien du tout | donner un numéro, tenir l’ordre, appeler, mesurer la journée | rien |
| Service ou motif | aiguiller vers le bon guichet, séparer les dossiers longs | un motif de visite, parfois révélateur dans une clinique |
| Prénom ou nom | accueillir la personne par son nom au guichet | une identité, et la tentation de l’afficher sur l’écran |
| Téléphone | rappeler quelqu’un qui n’est pas venu, reconnaître un habitué | une donnée de contact, qui vaut la peine d’être justifiée |
| Adresse e-mail | confirmations et rappels par e-mail, avec le forfait Business Pro | une donnée de contact et une promesse de ne pas en faire une liste de diffusion |
| Numéro de dossier ou de compte | préparer le dossier avant l’appel | une donnée sensible recopiée dans un deuxième endroit |
L’écran de la salle est le vrai point de fuite
Un téléviseur accroché dans une salle d’attente est lu par tout le monde : les visiteurs, les accompagnants, le livreur qui passe, la personne qui attend quelqu’un dehors et voit l’écran par la vitre. C’est le seul endroit de la chaîne où une donnée sort de votre système pour entrer dans une pièce.
- Par défaut, l’écran n’affiche pas de nom. Numéro et guichet, rien d’autre.
- Le nom abrégé garde de quoi se reconnaître soi-même sans permettre à un inconnu de recopier une identité complète. L’abrégement est fait par le serveur : la forme complète ne part pas vers l’écran.
- Le nom entier existe pour les cas où il est vraiment nécessaire. Dans une clinique, il l’est rarement, et le numéro fait le même travail.
Combien de temps tout cela reste
Une file vivante est un objet du jour. La numérotation repart à un chaque matin, les tickets de la veille ne traversent pas la nuit, et vous pouvez clore la journée d’un geste pour repartir propre. Ce qui survit à la journée, ce sont les chiffres agrégés qui vous servent à décider : combien de gens, combien de temps, à quelle heure. Ils ne contiennent ni nom ni téléphone.
Supprimer une file efface son contenu. Si vous exportez des données vers un tableur pour les analyser, rappelez-vous que le fichier obtenu, lui, vit sa propre vie sur le poste où il a été téléchargé : c’est presque toujours là que les copies se perdent, pas dans le service.
Ce que nous ne promettons pas
Cette page n’est pas un conseil juridique et ne peut pas en tenir lieu. Nous ne savons pas sous quel droit vous travaillez, ce que votre secteur impose, ni ce que votre conseil vous dira. Trois choses, cependant, se disent sans détour.
- Nous n’écrivons pas « conforme RGPD ». Cette phrase, sur la page d’un fournisseur, ne décrit rien de vérifiable : la conformité dépend de ce que vous collectez et pourquoi, pas du logiciel que vous utilisez pour le faire.
- Nous ne revendiquons aucune décision d’adéquation européenne. C’est vérifiable en une minute, donc autant le dire nous-mêmes. Notre argument est ailleurs : la meilleure protection d’une donnée est de ne pas la collecter, et c’est le réglage par défaut.
- L’autorité compétente est celle de votre pays. CNDP au Maroc, ARTCI en Côte d’Ivoire, CDP au Sénégal, INPDP en Tunisie, APD en Belgique, Commission d’accès à l’information au Québec : c’est à elles, et à votre conseil, que reviennent les réponses sur ce que vous pouvez demander.
La liste de vérification, avant d’ouvrir la file
- Le formulaire de prise de ticket est vide, ou ne contient que le service.
- Chaque champ ajouté a un nom de personne qui s’en sert, et un moment où elle s’en sert.
- Aucun champ n’est obligatoire pour obtenir un numéro.
- L’écran de la salle affiche des numéros ; le nom est absent ou abrégé.
- Le motif de visite ne sort pas sur l’écran.
- Personne n’exporte vers un tableur sans savoir où le fichier finira.
- Ce que vous demandez est écrit quelque part que le visiteur peut lire.
Sept lignes, et la plupart des files n’en cochent que les deux premières parce qu’elles ne demandent rien. C’est la position la plus confortable qui existe, et elle est gratuite.
Questions fréquentes
Non. Par défaut, prendre un ticket ne demande rien : la personne scanne le QR code, appuie sur un bouton et reçoit un numéro. Aucun compte, aucune inscription, aucun champ obligatoire. Le formulaire n’existe que si vous l’ajoutez, et il n’est jamais ajouté à votre place.
Non, sauf si vous l’activez. Par défaut, l’écran affiche le numéro et le guichet. Vous pouvez choisir d’afficher un nom abrégé, où seules les initiales restent visibles, ou le nom entier ; l’abrégement est fait par le serveur, donc la forme complète ne sort pas vers l’écran. Un téléviseur dans une salle d’attente est lu par tout le monde, y compris par ceux qui ne sont pas vos visiteurs.
Non. La page du ticket se met à jour toute seule dans le navigateur, une notification push peut arriver dans ce même navigateur, et un message Telegram si la personne a lié le bot : aucun de ces trois chemins ne demande son numéro. Nous n’envoyons pas de SMS. Les e-mails au visiteur existent avec le forfait Business Pro et supposent, eux, une adresse.
Le temps de la visite, par construction. La numérotation d’une file vivante repart à un chaque matin, les tickets de la veille ne suivent pas, et supprimer une file efface son contenu. Ce qui dure au-delà, ce sont les chiffres agrégés de la journée, qui ne contiennent ni nom ni téléphone.
Nous ne répondons pas oui à cette question, et le fournisseur qui y répond oui en une ligne devrait vous inquiéter. La conformité dépend de ce que vous collectez, pourquoi, et sous quel droit vous travaillez ; nous ne revendiquons aucune décision d’adéquation européenne. Ce que nous pouvons dire est vérifiable : par défaut, un ticket ne contient qu’un numéro, et les champs supplémentaires n’existent que si vous les créez.
Techniquement oui, en ajoutant un champ. Avant de le faire, demandez-vous ce que l’agent ferait sans lui : dans la plupart des agences, il ouvre le dossier au guichet, pièce d’identité en main, et le champ n’a fait que recopier une donnée sensible dans un deuxième endroit. Un champ qui ne change rien au travail de l’agent est un champ à supprimer.