C’est une rengaine, devenue presque un passage obligatoire dans de nombreux magasins en France. Au moment de payer, pour profiter d’une remise ou pour créer une carte de fidélité, le client est prié de donner tout un tas de données personnelles. Pourquoi ? Quelles sont les obligations des commerçants ? Et les droits des consommateurs ? Une juriste de la CNIL nous répond.
« Alors, je vais avoir besoin de votre nom, prénom, numéro de téléphone, adresse mail et postale, ainsi que votre date de naissance s’il vous plait. » Cette phrase, on peut l’entendre à la caisse d’une boutique de vêtements, d’un escape game, ou même d’un magasin de produits surgelés.
Pourquoi diantre exiger tant d’informations à un consommateur de plats à réchauffer au micro-ondes ? La réponse est évidente : pour des fins marketing, dans l’immense majorité des cas.
Mais face à l’augmentation significative des cyberattaques et dans un contexte dans lequel les fuites s’accumulent, ne serait-il pas temps de mettre fin à cette fâcheuse habitude ? Des solutions plus respectueuses des données personnelles des clients existent, et commerçants et consommateurs ont leur rôle à jouer dans ce changement.
Aucune interdiction, mais des règles à respecter
Alors oui, une partie de ces informations est parfois nécessaire, notamment l’adresse mail pour transmettre une facture électronique et faire des économies de papier. Toutefois, pourquoi aller au-delà ?
Tout simplement parce que les commerçants y ont le droit, tant qu’ils y trouvent une justification commerciale. « Par principe, ce n’est pas interdit qu’un commerçant demande des informations personnelles sur un client ou sur un prospect, nous explique Margaux Schaeffer, juriste à la CNIL. La difficulté, ça va être le niveau d’information. Est-ce que le commerçant est suffisamment transparent sur ce qui va être fait de ces données ? »
Car oui, dans un monde idéal, le commerçant devrait précisément informer le consommateur de la finalité de la collecte de ses données. En pratique, cette transparence est loin d’être systématique : demander le consentement explicite de chaque client et détailler l’usage futur des données pour créer une carte de fidélité n’est pas une mince affaire en pleine heure de pointe.
Reste donc une question essentielle : quelles données sont réellement nécessaires ? En théorie, le commerçant ne devrait recueillir que celles strictement utiles à sa démarche commerciale.
« Un des principes, c’est la minimisation des données. C’est un principe qui figure à l’article 5 du RGPD. C’est-à-dire qu’on a le droit de traiter des données à caractère personnel uniquement si elles sont nécessaires pour une finalité précise, légitime. »
Vos données méritent d’être mieux protégées.
Les escroqueries, les virus et les ransomwares ne sont plus une fatalité. Protégez votre vie privée et vos données personnelles avec Bitdefender et profitez de votre vie numérique en toute sérénité.
L’ensemble des données n’est pas nécessaire
Et c’est justement sur ce point que le cadre est assez évasif. Pourquoi demander la date de naissance d’un client venu acheter une tarte surgelée ? Offrir un gâteau le jour d’un anniversaire est-il une finalité légitime à recueillir une donnée si personnelle que la date de naissance ? Oui, selon la CNIL, mais le consommateur peut s’y opposer.
« Sur le principe, il (le commerçant) en a le droit, parce que cette chaîne peut avoir un intérêt légitime, économique, et se dire que ça va être une façon de fidéliser mes clients, de leur proposer un gâteau d’anniversaire. Mais, il faut que la personne comprenne que cette donnée n’est pas nécessaire pour obtenir la carte de fidélité. Dans ce cas-là, elle peut faire un choix éclairé de fournir ses données ou non, elle doit avoir le droit de s’opposer à donner cette information. »
Vous n’êtes donc pas dans l’obligation de fournir l’ensemble des données demandées pour souscrire à un compte client, et vous pouvez vous opposer à leur traitement si celui-ci n’est pas nécessaire à la création du compte.
Vos données à des fins de revente commerciales
Les commerçants exploitent donc pleinement les données qui leur sont confiées, mais à quel point : ont-ils le droit de transmettre, voire revendre ces données à des acteurs tiers ?
La CNIL dit une nouvelle fois oui, si l’on est informé au préalable : « Il n’y a pas d’interdictions de revente sur le principe. (…) Et s’il y a une sous-traitance des données, l’entreprise sous-traitante ne pourra exploiter les données que ce pour quoi elle a été mandatée. Mais il faut que les personnes soient informées d’où vont leurs données, qui les possèdent et qu’elles puissent être en mesure d’exercer leurs droits. »
Vos données troquées contre un rabais
L’intérêt pour le commerçant peut donc être double. Celui de l’exploitation des données à des fins marketing, mais également la constitution d’une ressource pour des transactions commerciales.
Le consommateur, de son côté, peut également se penser gagnant, l’échange des informations personnelles permettant souvent d’accéder à des rabais, cependant le coût caché est trop souvent sous-estimé, selon Margaux Schaeffer :
« Il va y avoir de la possibilité pour les entreprises de proposer des offres plus ciblées aux personnes, de constituer des profils, d’avoir plus d’informations. Si la personne crée aussi un compte sur l’application, l’entreprise va pouvoir savoir quelles choses elle achète régulièrement, quelles offres elle consulte régulièrement (…), ça donne des informations qui peuvent être très précises sur les préférences, sur la fréquence d’achat, mais aussi sur le budget et qui peuvent permettre d’inférer aussi d’autres informations sur les personnes. »
La collecte d’informations, un risque pour les entreprises
Pratique pour les équipes marketing, la récole d’informations comporte également des risques pour les entreprises, qui peuvent être sous le coup de sanctions administratives lourdes en cas de fuite de ces données personnelles, allant jusqu’à 4% du chiffre d’affaires annuel de l’entreprise.
« C’est en fait toute la logique du RGPD, c’est une logique de responsabilisation des acteurs. L’idée, c’est que lorsqu’ils feront un traitement de données, ils se conforment à la réglementation et s’ils ne sont pas conformes, il y a effectivement des sanctions. Mais, on n’est pas dans un régime déclaratif comme ça a pu être le cas auparavant, donc il n’y a pas de principe d’interdiction en traitement de données. »
Des alternatives à l’échange d’informations personnelles
Le passage à des solutions plus sécurisées et respectueuses des données personnelles des clients pourrait donc avoir un intérêt pour les consommateurs, mais également pour les entreprises qui réduiraient les risques de fuites de données personnelles.
Par exemple, pour l’envoi de factures dématérialisées, la CNIL souligne que « les solutions à privilégier sont celles qui permettent aux personnes de récupérer leurs tickets de caisse sans transmettre leurs données de contact aux commerçants ». Le scan par QR code est notamment une solution que les commerçants peuvent facilement mettre en place.
Des outils open-source, comme Catima, tentent également d’imposer un modèle de carte fidélité basé uniquement sur un scan de code-barre hors ligne, sans partage de données confidentielles.
Du côté des consommateurs, certaines mesures simples peuvent être mises en place pour protéger vos données.
- Par exemple, vous pouvez créer des alias pour votre adresse email, afin d’éviter de transmettre vos nom et prénom lorsque vous la communiquez à un commerçant.
- Des services de messagerie comme Tutanota ou Proton Mail permettent par ailleurs de créer une adresse totalement anonyme.
Vous pouvez aussi refuser l’adhésion aux programmes de fidélité, et encourager les entreprises à adopter des procédés marketing plus respectueux de la vie privée. Rappelez-vous enfin que, dans la plupart des cas, vous n’êtes pas obligés de fournir l’intégralité de vos données personnelles lors de la création d’un compte client.
L’enjeu est majeur, chaque fuite de données permet de nourrir ou d’actualiser les bases de données utilisées à des fins cybercriminelles comme des campagnes de phishing. On vous propose donc une alternative au titre de cet article : par pitié, cessez de donner vos infos personnelles à la caisse !
Toute l’actu tech en un clin d’œil
Ajoutez Numerama à votre écran d’accueil et restez connectés au futur !
