La fourniture d’un site e-commerce implique la collecte et le traitement de données personnelles.
Même le site e-commerce le plus simple doit collecter et traiter les données personnelles de ses clients pour pouvoir proposer ses prestations. Il est donc nécessaire de prévoir une mise en conformité dès la création du site.
Quelles sont les données personnelles collectées ?
Les sites e-commerce proposent tous plusieurs fonctions de base (liste non exhaustive):
- Comptes et gestion des commandes (envoi, suivi, SAV, litiges).
- Tracking du parcours client.
La création de comptes et la gestion des commandes impliquent de disposer d’informations de contact du client, telles que le nom, le prénom, l’adresse, le téléphone et le mail.
Seules les employés ou sous-traitants qui ont besoin d’y avoir accès pour gérer les commandes doivent pouvoir y accéder. Ils doivent disposer d’obligations de confidentialité et de gestion des données personnelles au sein de leurs contrats.
Des cookies de session peuvent également figurer sur le site.
Ces informations sont nécessaires à la bonne exécution de la prestation par le site e-commerce.
Le tracking du parcours client n’est pas obligatoire mais peut-être utile pour optimiser l’organisation du site et les pages produits.
Ce tracking est généralement effectué au moyen de cookies de suivi. Il est fortement conseillé de mettre en place une anonymisation des IP.
Recommandations : ne demander que les informations strictement nécessaires à la gestion des commandes
Quelles sont les mesures classiques à mettre en place pour être conforme à la réglementation ?
Vis-à-vis du public
Les cookies sont soumis à l’accord préalable de l’internaute. En l’absence d’accord, il est interdit de déposer des cookies sauf si ceux-ci sont nécessaires au fonctionnement technique du site. Les cookies de session sont par exemple autorisés. A l’inverse, les cookies de tracking doivent être accepté.
Cet accord sera matérialisé par un bandeau d’acceptation et de refus des cookies, qui peut figurer en bas de page. L’internaute doit également pouvoir revenir facilement sur son consentement. L’accord doit être donné et refusé pour chaque classe de cookies et non de manière générale.
Une politique de confidentialité doit également être intégrée au site, pour détailler les données collectées et traitées, le motif légal de la collecte, l’usage qui est fait, leur lieu de stockage, les modalités de divulgation, et les modalités d’accès aux données. Une section sur les cookies devra également y figurer.
Cette politique de confidentialité doit être lue à l’inscription et validée par une action positive de l’utilisateur (par exemple une case à cocher).
L’inscription à une newsletter est soumise à un accord spécifique de l’internaute. La création d’un compte ne donne pas un consentement suffisant à cette finalité.
Recommandations : une transparence maximale est requise quant à l’utilisation qui est faite des données personnelles. Toute collecte et tout traitement doivent être documentés.
En interne
La collecte et le traitement de ces données de contact impose à chaque entreprise disposant d’un site e-commerce à intégrer ce traitement à son registre des données, et à mettre en place ses procédures internes (documentation technique du stockage de données personnelles, procédure de notification CNIL, procédure de notification client, procédure d’accès aux données).
Il est également nécessaire de vérifier les contrats des divers employés et prestataires pouvant avoir accès aux données, pour s’assurer que ceux-ci prévoient a minima une obligation de confidentialité et/ou de gestion des données personnelles.
Selon la typologie des données collectées, d’autres formalités peuvent être nécessaires.
Recommandations : la documentation technique doit indiquer clairement la manière dont les données sont sécurisées.
Quelle durée de conservation ?
Les données personnelles collectées dans ce contexte doivent être conservée pour la durée nécessaire à la bonne gestion des commandes.
En pratique, certaines données nécessaires au respect des obligations fiscales et comptables devront être conservées pour une durée de 10 ans. Pour les autres, il est fortement conseillé de prévoir une durée de conservation raisonnable et de mettre en place des procédures de purge des bases en cas d’inactivité du client pendant une certaine durée (par exemple 1 ou 2 ans à compter du dernier login sur le compte).
La CNIL indique que les cookies doivent être automatiquement supprimés après 13 mois.
