Les dérives commerciales

Protection de la vie privée: l'é-commerce à du pain sur la planche!

De plus en plus d'entreprises offrent aux visiteurs de leurs sites la possibilité, en remplissant un formulaire électronique, de s'inscrire à une lettre d'information électronique gratuite, de passer commande ou de poser des questions sur les produits & services offerts. Quand une entreprise récolte des données via de tels formulaires en ligne, elle devient responsable du traitement de ces données personnelles, en vertu de la Loi Belge sur la Protection de la Vie Privée.

Cette loi est-elle réellement respectée par les sites internet commerciaux, et ceux-ci affichent-ils des règles de conduite en la matière? D'après une recherche effectuée sur 250 sites commerciaux belges, il semble qu'une majorité d'entre eux ne remplissent pas les obligations de base de cette Loi sur ce qu'on se permettra d'appeler ici la "privatie" (terme en usage au Québec) lorsque des données personnelles sont rassemblées en ligne.

Les droits qui garantissent la protection de la vie privée

La loi en cette matière confère certains droits spécifiques à chaque individu dont les données personnelles sont récoltées (nom, adresse E-mail, tél, etc). Le consommateur doit être tenu au courant de la finalité de la base de données à laquelle il accède, et disposer de l'information sur les responsables du traitement des données (nom de l'entreprise et adresse), comme sur les droits qui lui sont légalement garantis. Ainsi chacun a le droit de contrôler les données qui le concernent, de corriger les fautes et dans certains cas précis d'enlever des données. La nouvelle loi qui entre en application cette année, offre un droit supplémentaire: la possibilité de s'opposer à l'utilisation des données personnelles à des fins de marketing direct.

Les sites scannés

La recherche du professeur Michel Walrave de la KUL a constitué en un examen de ces 250 sites au moyen d'un questionnaire de 90 points portant sur la manière dont la protection de la vie privée des visiteurs de sites est respectée.

Walrave a établi que 93% des sites visités rassemblent d'une façon ou d'une autre des données personnelles. Moins de la moitié (43%) font état de dispositions prises en vue du respect de la vie privée. Ce qui est visé ici est un texte, incorporé au formulaire électronique ou sur une autre page web, explicitant la politique de l'organisme qui récolte les données. Un tel texte doit alors être conforme à la loi, communiquer des informations précises sur la responsabilité du traitement des données, l'objectif de celui-ci et les droits des personnes concernées.

Les promesses de protection de la vie privée

Dans ces sites qui affichent de telles informations, 47% lui consacrent une page internet spécifique. 53% les intègrent dans un cadre plus large (disclaimer, page internet consacrée aux aspects juridiques, conditions générales, partie de formulaire, etc). Cette information est parfois difficile à trouver et souvent elle n'est pas directement en lien avec le formulaire dans lequel le consommateur fournit ses données.

Pour ce qui concerne la politique de privatie, 45% communiquent le nom des responsables du traitement. 85% des sites qui affichent ces dispositions communiquent le but du traitement des données. De telles informations sont essentielles, sans celles-ci le consommateur n'est pas en mesure de décider s'il livrera ses données à l'entreprise en toute confiance. Mais cette finalité est souvent formulée de façon assez vague: "usage interne", "actions commerciales et contractuelles"...

68% des dispositions affichées mentionnent le droit de regard. Celui-ci confère au consommateur le droit de consulter les données qui le concernent, telles qu'elles sont enregistrées dans la base de données de l'entreprise. 46% de ces sites indiquent également comment l'on peut exercer pratiquement ce droit. Y figurent également une adresse E-mail, postale ou un tél. auquel on peut s'adresser directement. 15% donnent la possibilité de consulter ces données en ligne. La majorité laisse le consommateur dans l'ignorance de la procédure à suivre.

Parmi les sites affichant ces dispositions, 71% informent les visiteurs de leur droit de corriger les fautes figurant dans les données qui les concernent. 50% indique comment faire, ce qui n'est possible en ligne que dans 16% des cas, alors qu'il s'agit là vraiment d'une procédure basique.

Un point positif est que parmi les sites affichant une politique de privatie, et informant les visiteurs de l'utilisation des données pour le marketing direct, 73% fournissent un droit d'opposition pour un tel usage. Comment peut-on exercer son droit d'opposition? Dans 30% des cas, il faut contacter l'entreprise. 13% fournissent la possibilité de cocher une case dans un formulaire électronique, pour donner de manière explicite la permission d'une utilisation des données à des fins de marketing direct (procédure "opting-in"). 30% ont opté pour une procédure "opting-out": les consommateurs peuvent cocher une case pour indiquer qu'ils s'opposent à une telle utilisation. 26% ne précisent pas comment on peut exercer ce droit.

Quand il est clairement précisé que les données seront transmises à des tiers à des fins de marketing, 52% offrent la possibilité d'une opposition.

Ces résultats valent donc uniquement pour les sites qui prennent des engagements de protection de la vie privée. Or 57% des sites visités qui récoltent des données, évitent totalement le sujet. Enfin, ce n'est pas seulement via des formulaires électroniques que des données peuvent être récoltées sur les visiteurs de sites. Les cookies permettent d'enregistrer les données du surfeur. Certaines entreprises utilisent ce moyen, mais en informent-elles les personnes concernées? En réalité, la moitié des sites sondés utilise les cookies (51%), mais 12% seulement en informent les visiteurs. Lorsqu'on n'accepte pas les cookies, on ne peut accéder qu'à 11% des sites concernés.

Le client chouchouté?

Les entreprises enquêtées ont aussi été contactées par E-mail avec une simple question sur leur politique de privatie. 57% n'ont pas répondu. Parmi celles qui ont répondu, 65% l'ont fait de façon concrète et personnelle. 15% ont fourni une réponse standardisée, 17% n'ont pas répondu concrètement. Le rapport d'enquête analyse plus précisément la qualité des réponses.

Plus de la moitié des sites n'a donc pas réagi à une simple requête concernant le traitement de données personnelles.

Cette lacune s'explique notamment par le fait que plus de la moitié des sites n'affiche aucun engagement en matière de privatie. L'information sur cette matière n'est donc sans doute pas communiquée en interne aux personnes chargées de répondre aux courriers électroniques.

On constate aussi que la qualité et la vitesse des réponses est fonction de la qualité et de la précision des engagements affichés. Les engagements en matière de respect de la vie privée ne doivent donc pas être qu'un accessoire dans la devanture életronique des entreprises. Pour créer les conditions de la confiance, la politique de privatie doit être aussi communiquée en interne. Ceci n'est possible que si les membres du personnel chargés de répondre aux E-mails, lettres et appels des clients et prospects, sont dûment informés sur la Loi et son application dans l'entreprise. En la matière, communications interne et externe doivent aller de pair.

Le score final

De tous les sites visités qui récoltent des données personnelles, la majorité est vraiment trop lacunaire dans l'information fournie en matière de privatie:

• 21% identifie le ou la responsible du traitement des données
• 37% informe de l'objet de ce traitement
• 33% informe les personnes concernées sur leur droit de rectification
• 20% offre le droit d'opposition à l'utilisation des données en marketing direct

Le rapport d'enquête émet des hypothèses d'explication à ces lacunes. La nouvelle loi belge sur la protection de la vie privée constitue pourtant pour les entreprises une occasion d'y réfléchir.

La pierre angulaire de la loi est la transparence qui préside à la récolte et au traitement des données et la garantie d'un contrôle possible par les consommateurs. Toute personne ou société qui traite des données, doit préciser au préalable le but et la nécessité d'une telle activité, les droits de privatie des personnes concernées et comment celles-ci pourront les exercer.

Or diverses recherches ont montré que la protection des données et la privatie sur le web, constituent une préoccupation croissante chez les utilisateurs d'internet. C'est pourquoi afficher la formulation claire et simple des engagements de l'entreprise en matière de privatie sur son site, n'est pas seulement une obligation légale (entre autres contraintes réglementaires). C'est aussi une question de confiance aussi bien dans une entreprise donnée via son site, que dans les possibilités futures de l'e-commerce en général.

Sources:

Guide pratique pour la protection de la privatie sur internet: Walrave, M., "e-Marketing & Privacy. Zo geclickt?", Kluwer, Diegem.
Rapport d'enquête: Walrave, M., "e-Privacy in Belgïe: nog werk aan de winkel?", Privacy Papers n°1, Communicatiewetenschap K.U.Leuven.
Info: http://www.kuleuven.ac.be/facdep/social/com/privacy/