Règlement (UE) 2016/679, article 6

DPO externalisé pour les sites e-commerce et places de marché

Un site marchand empile, sur un même parcours d'achat, des traitements qui n'ont ni la même finalité ni la même base légale : exécuter la commande, tenir la comptabilité, relancer un panier, mesurer l'audience, prévenir la fraude, solliciter un avis. Les traiter comme un ensemble homogène est l'erreur d'origine, et c'est elle qui rend ensuite impossible une réponse claire à une demande d'effacement.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Un parcours d'achat, plusieurs traitements

Le découpage n'est pas un exercice formel : c'est lui qui détermine ce qui peut être conservé, ce qui peut être refusé par le client, et ce qui doit être effacé lorsqu'il le demande.

La commande et la livraison

Traitement nécessaire à l'exécution du contrat, au sens de l'article 6.1 b). Le client ne peut pas s'y opposer sans renoncer à l'achat, et les données ne peuvent pas être effacées tant que le contrat produit ses effets, garantie et litige compris.

La comptabilité et la facturation

Traitement nécessaire au respect d'une obligation légale, au sens de l'article 6.1 c). Sa durée est imposée par la réglementation comptable et ne dépend ni de la volonté du client ni de celle du marchand ; c'est pourquoi une demande d'effacement ne l'atteint pas.

La prospection et la relance

Traitement distinct de la commande. La sollicitation d'un particulier par voie électronique repose sur son consentement préalable, avec une tolérance pour les produits analogues auprès d'un client existant, qui suppose une opposition possible dès la collecte et à chaque envoi.

La lutte contre la fraude

Traitement fondé sur l'intérêt légitime du marchand, au sens de l'article 6.1 f), qui suppose une mise en balance documentée. Un dispositif qui bloque seul une commande sans intervention humaine peut par ailleurs relever de l'article 22.

Les traceurs ne relèvent pas du même raisonnement

Les opérations de lecture et d'écriture dans le terminal de l'internaute obéissent à un régime propre, issu de la directive dite vie privée et communications électroniques et transposé en droit français, dont la CNIL assure le contrôle. Ce régime s'applique indépendamment du fait que l'information lue soit ou non une donnée personnelle, et il repose sur le consentement préalable, sauf exemptions limitées.

Deux exigences concentrent les manquements constatés. Refuser doit être aussi simple qu'accepter, ce qui exclut un bandeau où seul le bouton d'acceptation est immédiatement accessible. Et aucun traceur non exempté ne doit être déposé avant le recueil du consentement, ce qui suppose de vérifier le comportement réel du site, et pas seulement le paramétrage annoncé par la plateforme de gestion du consentement.

Paiement, logistique et place de marché

Le prestataire de paiement n'est pas, dans le cas général, un sous-traitant du marchand : il traite les données de paiement pour satisfaire ses propres obligations réglementaires et détermine à ce titre ses propres finalités. Le transporteur, lui, agit le plus souvent pour le compte du marchand sur les données de livraison, et relève de l'article 28.

Une place de marché ajoute une difficulté : l'opérateur et le vendeur tiers poursuivent chacun des finalités propres sur les mêmes données d'acheteur. Lorsqu'ils déterminent conjointement certaines de ces finalités, l'article 26 du règlement leur impose de définir par voie d'accord leurs obligations respectives, notamment quant à l'exercice des droits et à l'information des personnes. Cet accord est rarement rédigé, alors que son absence expose les deux parties.

Durées de conservation : la règle qui rend les autres applicables

Une politique de durées est ce qui permet de répondre à une demande d'effacement sans ouvrir un débat à chaque fois : les données de commande sont conservées le temps du contrat et de la prescription applicable, les données comptables le temps imposé par la réglementation, les données de prospection le temps d'une inactivité définie à l'avance, les traceurs selon une durée de vie propre.

Le compte client dormant est le cas le plus répandu et le moins traité. L'article 5.1 e) du règlement impose une conservation limitée à ce qui est nécessaire ; un compte sans activité depuis plusieurs années n'est plus nécessaire à la finalité pour laquelle il a été créé. La purge doit être effective, programmée, et documentée dans le registre — pas seulement annoncée dans la politique de confidentialité.

Questions fréquentes

Un site e-commerce doit-il désigner un délégué à la protection des données ?

L'obligation de l'article 37.1 b) du règlement suppose un suivi régulier et systématique à grande échelle. Un site marchand qui se borne à traiter des commandes n'y entre pas nécessairement ; un site qui pratique un ciblage comportemental étendu, un suivi de navigation systématique ou une personnalisation continue sur une large audience s'en approche. L'appréciation doit être consignée par écrit.

Peut-on envoyer une newsletter à ses clients sans leur consentement ?

La sollicitation par voie électronique d'un particulier suppose en principe son consentement préalable. Une tolérance existe pour la prospection auprès d'un client existant portant sur des produits ou services analogues à ceux déjà fournis, à condition qu'il ait été mis en mesure de s'y opposer au moment de la collecte, et à chaque envoi. Cette tolérance ne couvre ni un produit sans rapport, ni un prospect qui n'a jamais acheté.

Un client peut-il exiger la suppression de toutes ses données ?

Le droit à l'effacement de l'article 17 du règlement comporte des exceptions, dont le respect d'une obligation légale de conservation et la constatation ou la défense d'un droit en justice. Les pièces comptables ne sont donc pas effaçables avant l'échéance imposée. La réponse correcte consiste à effacer ce qui peut l'être, à expliquer ce qui est conservé et pourquoi, et à restreindre l'accès au reste.

Le bandeau cookies fourni par la plateforme suffit-il ?

Pas automatiquement. Le responsable du site répond de la conformité effective, pas de celle annoncée par son outil. La vérification porte sur le comportement réel : aucun traceur non exempté déposé avant le recueil du consentement, refus aussi simple que l'acceptation, et retrait du consentement possible aussi aisément qu'il a été donné.

Ce que ce régime déclenche ailleurs

Le commerce en ligne est le secteur qui reçoit le plus de demandes d'accès et d'effacement : la procédure de réponse et ses délais sont le premier point examiné en cas de plainte.

Répondre à une demande de droits

Qualifier le rôle de l'agence sur les campagnes de ses clients, sécuriser le ciblage publicitaire, les fichiers de prospection et les opérations d'enrichissement.

Agence marketing

Pourquoi le consentement du salarié ne fonctionne pas, durées de conservation des candidatures, outils de sélection, vidéosurveillance et contrôle de l'activité.

RH et recrutement

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.