A – Les différents traitements de données personnelles

Le commerce électronique donne lieu à de nombreuses techniques de marketing et prestations publicitaires reposant sur le traitement des données personnelles des internautes. Certaines plates-formes sont d’ailleurs basées sur le modèle économique de la collecte des données personnelles. Les plates-formes de commerce électronique peuvent se voir transmettre des données par l’internaute lui-même grâce aux informations qu’il transmet, ou de manière indirecte à l’occasion de la navigation de l’internaute sur internet par ses données de navigation.

Lors de l’inscription sur un site ou une plate-forme, ou à l’occasion d’une transaction réalisée en ligne, l’internaute saisit lui-même des informations personnelles qu’il livre pour les besoins de l’inscription ou de l’achat, informations qui pourront ensuite être traitées. Le cyberconsommateur laisse des traces lors de chaque transaction en renseignant les rubriques destinées à la formation et à l’exécution du contrat. La CJUE a ainsi rappelé que la société Amazon traite des données personnelles de ses clients dans le cadre de leur relation contractuelle7. L’internaute laisse également des traces lorsqu’il s’abonne à un fournisseur de service, lorsqu’il remplit un formulaire électronique ou lorsqu’il s’inscrit sur une liste de diffusion. Ces données de transaction que l’internaute livre constituent autant d’informations potentiellement personnelles.

Grâce au traçage électronique, les données peuvent aussi provenir de traces laissées lors la navigation par l’internaute8 de boutique en boutique, au travers de bandeaux publicitaires sur lesquels il a cliqué, ou de réseaux sociaux sur lesquels il s’est promené. La simple consultation de sites laisse en effet des empreintes invisibles pour l’internaute mais qui fournissent de nombreuses informations sur les sites consultés, les transactions commerciales effectuées, les interlocuteurs. Sous réserve de quelques dispositions spéciales, les données liées à la navigation de l’internaute ne sont pas spécifiquement régies et elles sont soumises au régime juridique commun à l’ensemble des données9.

Les données semées consciemment ou non par l’internaute alimentent les masses de données détenues par les plates-formes qui permettent un traçage et un profilage sophistiqués de l’internaute. Le traitement des données permet de cerner au plus près l’internaute en déterminant ses goûts de cyberconsommateur. L’article 4, 4), du RGPD définit le profilage comme « toute forme de traitement automatisé de données à caractère personnel consistant à utiliser ces données à caractère personnel pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique ». La fréquentation des sites d’e-commerce conduit donc au traitement de données à caractère personnel de l’internaute avec des techniques de plus en plus invasives. L’internaute laisse des empreintes informatiques qui pour certaines présentent des risques plus importants encore pour la protection de ses droits en raison de leur caractère invisible.

B – De traitements risqués : le cas des cookies

S’agissant des services de commerce électronique, des témoins de connexion permettent de suivre l’internaute en jouant le rôle de mouchards électroniques10. Si plusieurs techniques permettent ainsi de tracer l’internaute, la plus répandue reste celle des cookies11 : ces traceurs envoyés sur l’ordinateur de l’internaute par le site qu’il consulte, parfois à son insu, permettent de récolter des informations sur l’activité en ligne de l’utilisateur.

Par principe, les cookies de navigation ne présentent pas de risque pour la protection des données personnelles qu’il utilise car il vise à améliorer et à fluidifier de manière technique la navigation sur internet. C’est pourquoi ils bénéficient d’une exemption au régime juridique prévu par l’article 32, II, de la LIL12. En facilitant les transactions, les cookies peuvent également s’avérer un instrument de gestion du commerce électronique13. En revanche, les cookies qualifiés de comportementaux permettent souvent à une entreprise publicitaire de collecter des informations précises sur l’utilisateur afin de cibler son profil. Il s’agit de profiler l’internaute, notamment pour permettre une publicité personnalisée sous la forme de bandeaux publicitaires en fonction des goûts détectés. En traçant l’internaute, ces témoins de connexion peuvent porter gravement atteinte à sa vie privée14, car ils peuvent permettre de collecter des données à caractère personnel, même si ces fichiers n’en contiennent pas toujours. C’est pourquoi l’utilisation de cookies doit être conforme au régime juridique applicable à l’ensemble des techniques de traçage, en particulier la directive n° 2002/58/CE du 12 juillet 2002 dite Vie privée et le régime juridique français prévu en application l’article 32, II, de la LIL15 : ces textes fixent un cadre légal précis à l’utilisation des cookies. Selon l’article 32, II, de la LIL, le responsable de traitement doit informer tout abonné ou utilisateur d’un service de communications électroniques « de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement, ainsi que des moyens dont il dispose pour s’y opposer ». Disposant alors de l’information nécessaire, il revient à la personne d’accepter le dispositif pour qu’il puisse être mis en œuvre. L’émetteur des cookies doit respecter les dispositions de l’article 32, II, de la LIL, et plus largement le droit des données personnelles, même si cela peut s’avérer difficile en pratique16.

Ainsi, le RGPD n’est pas le seul texte applicable et la directive Vie privée s’applique en complément. Or s’il est stabilisé du côté du droit des données personnelles avec l’entrée en vigueur du RGPD, le droit va encore subir des modifications du fait du remplacement de la directive n° 2002/58/CE du 12 juillet 2002 par un futur règlement concernant le respect de la vie privée, aussi appelé règlement Vie privée et communications électroniques, ou encore dit ePrivacy. Le règlement ePrivacy comporte des règles relatives aux cookies, ainsi que des mesures de fréquentation et des règles d’opt-in en matière de marketing par voie électronique. Plusieurs dispositions sont très controversées17, en particulier s’agissant du rôle des navigateurs dans le consentement donné aux cookies, ou de l’admission des « cookie walls ». Cette dernière catégorie de cookies vise un dispositif qui interdit l’accès à un site internet tant que l’internaute n’a pas accepté l’installation de cookies sur son équipement. De plus en plus répandus, ces cookie walls sont fondamentaux pour les entreprises dont l’activité est fondée sur des prestations publicitaires basées sur l’analyse du comportement des internautes, mais ils posent un problème de compatibilité avec le droit des données personnelles18. Au sein du projet de règlement européen, leur admission est discutée. Ainsi, l’attente du texte finalisé génère de nombreuses incertitudes pour les entreprises concernant la conformité de leurs dispositifs aux nouvelles règles19, mais aussi concernant la rentabilité du nouveau modèle légal de communication en ligne. Le cadre juridique applicable est donc susceptible d’évoluer dans les mois à venir, et il faut encore attendre pour avoir un dispositif stabilisé. Par conséquent, le cadre normatif déjà complexe est en outre instable en raison de l’attente du futur règlement ePrivacy. Or dans le cadre du commerce électronique, l’internaute laisse des empreintes informatiques, visibles ou invisibles, dont les entreprises doivent désormais maîtriser les conditions de traitement.

A – La licéité du traitement de données personnelles

Les données des personnes font l’objet de traitement, autrement dit elles sont collectées pour être stockées et analysées, et éventuellement cédées à d’autres entreprises. Or la stratégie de prospection commerciale de l’entreprise peut être impactée par le RGPD : ce dernier impose des conditions pour la licéité du traitement et pour le respect des droits de la personne concernée.

Pour que le traitement soit licite, il doit reposer désormais sur l’une des six conditions posées par l’article 6 du RGPD : l’intérêt légitime, le consentement, le traitement est nécessaire à l’exécution d’un contrat, nécessaire au respect d’une obligation légale, nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou nécessaire à l’exécution d’une mission d’intérêt public. La question se pose alors pour des techniques de prospection commerciale de déterminer quel fondement peut être utilisé par l’entreprise pour justifier de la licéité de son traitement. Jusqu’à l’entrée en vigueur du RGPD, le fondement essentiel était l’intérêt légitime : cet intérêt pouvait consister à développer et de fidéliser leur clientèle, autrement dit à exercer le commerce en ligne, et pour les consommateurs d’être informés d’offres commerciales20. Avec le RGPD, la solution est maintenue et ce fondement de l’intérêt légitime peut permettre d’éviter le recueil de consentement de la personne concernée. Cette évaluation implique un examen très précis des intérêts légitimes du responsable de traitement21 : les attentes raisonnables de la personne concernée seront mises en balance avec les intérêts du professionnel, et la protection ainsi offerte par le RGPD au consommateur peut sembler insuffisante22. L’intérêt légitime constitue une notion floue qui peut libérer les professionnels du recueil du consentement de l’utilisateur23 : ce n’est que par exception que le consentement sera requis préalablement à la création du traitement.

Dans les cas où l’intérêt légitime ne peut être invoqué, le consentement de la personne est requis24, et implique que la personne concernée a donné son consentement spécifiquement pour une ou plusieurs finalités25. Les conditions de l’obtention du consentement sont renforcées par le RGPD26. En vertu du principe de minimisation, seules les données nécessaires à la finalité poursuivie doivent être recueillies. Or la pratique démontre souvent que ces diverses prescriptions du droit des données personnelles ne sont pas respectées27, en particulier en raison de l’utilisation de conditions générales d’utilisation par les plates-formes commerciales28.

D’autres pratiques de prospection sont considérées risquées pour la protection de la vie privée. Aussi, en présence de technologies intrusives à des fins de prospection par voie électronique, un consentement exprès et spécifique de la personne visée est nécessaire de manière préalable en vertu de l’article L. 34-5 du Code des postes et des communications électroniques. Il faut cependant relever que « le recueil du consentement n’est pas requis lorsque le courrier électronique concerne des produits ou services analogues proposés par la même personne ». Dans ce cas, l’intérêt légitime peut fonder à nouveau la licéité du traitement.

À titre de garantie, le RGPD impose que la personne concernée soit informée de l’existence d’un profilage et qu’elle dispose d’un droit d’opposition. En outre, la personne dispose d’un droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé tel que le profilage s’il produit des effets juridiques la concernant ou s’il l’affecte de manière significative. À ce titre, le RGPD semble plus protecteur que ne l’était le droit antérieur29.

Quel que soit le fondement légal de la collecte, les droits de la personne concernée doivent être respectés, et certains d’entre eux s’avèrent délicats à respecter pour les entreprises.

B – Les droits de la personne concernée

L’un des objectifs de la réforme du RGPD est de permettre la maîtrise de leurs données personnelles, ce qui se caractérise par le droit à l’autodétermination informationnelle. À ce titre, le texte réaffirme la plupart des droits des personnes concernées dans un chapitre éponyme et en consacre deux nouveaux que sont le droit à l’effacement et le droit à la portabilité des données. Après sa consécration jurisprudentielle30, le droit à l’effacement des données est reconnu par le RGPD, ainsi que le droit à la portabilité qui consiste à permettre à la personne la libre circulation de ses données et donc la concurrence entre les opérateurs31.

Sont ainsi regroupés le droit à l’information et à l’accès aux données à caractère personnel, le droit de rectification, le droit à l’effacement, le droit à la limitation du traitement, le droit d’opposition, le droit à la portabilité et encore le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé32.

L’entreprise doit donc adapter sa politique commerciale en ligne afin de répondre aux diverses exigences de la réglementation, parmi lesquelles la mise en œuvre du droit d’information de la personne33. Il s’agit d’un droit fondamental puisqu’il lui permet de consentir de manière éclairée. Or certaines plates-formes peinent à transmettre des informations de manière transparente. Ces informations étant nombreuses, une hiérarchisation a été préconisée par le G29 afin d’éviter la « lassitude informative »34. Le RGPD n’a pas fondamentalement modifié les droits des personnes concernées, et la question se pose de l’effectivité de ces mesures au profit de la maîtrise des données du consommateur.

Pour le responsable de traitement, le RGPD innove en instaurant le principe de la conformité ou compliance qui repose sur la régulation des acteurs. Ces derniers doivent mettre en œuvre un processus de mise en conformité permanent35 et voient leurs obligations renforcées, notamment en matière d’information et de sécurité. À tout moment, ils doivent veiller au respect des principes de protection des données, y compris en cas de transferts de données hors Union européenne36. Ainsi, le traçage de l’internaute doit être conforme aux prescriptions du RGPD, que ce traçage soit opéré par le responsable de traitement ou par un sous-traitant. En effet, en cas de recours à la sous-traitance, le RGPD a consacré un régime spécifique du sous-traitant qui conduit à une reconnaissance du rôle des sous-traitants ainsi qu’à leur responsabilité autonome37. En cas de traitement de données personnelles pour le compte d’une autre entreprise, les sous-traitants sont soumis à des obligations spécifiques, telles que la notification des violations de données, l’obligation d’assurer la sécurité et la confidentialité des données, ou encore l’obligation de conseiller le responsable de traitement38. Les relations entre le sous-traitant et le client doivent être contractualisées selon des conditions fixées par le RGPD39. En cas de contentieux, le responsable de traitement encourt une responsabilité solidaire avec le sous-traitant en cas de participation au même traitement dès que chacun d’eux peut être tenu responsable d’un dommage causé par le traitement : il s’agit alors d’une responsabilité in solidum, à charge pour celui ayant indemnisé le préjudice en totalité de demander à l’autre la part correspondant à sa part de responsabilité dans le dommage. Le choix par le responsable de traitement d’un sous-traitant RGPD-compatible est donc essentiel40. Toutefois, la conception stricte de la sous-traitance qui cantonne le sous-traitant au rôle d’un simple exécutant, d’après les instructions du donneur d’ordre, a pour effet de développer les cas de co-traitance, conférant alors à la personne la qualité de responsable de traitement conjoint. L’insécurité juridique qui en découle pour les acteurs économiques est considérable.

En pratique, la mise en conformité au RGPD s’avère complexe pour les entreprises qui peinent à appliquer le nouveau dispositif et qui devront encore prochainement intégrer le futur règlement ePrivacy. Les incertitudes juridiques sont nombreuses pour les acteurs du commerce en ligne, mais les sanctions prévues par le RGPD et les premières condamnations spectaculaires doivent les inciter à se conformer plus que jamais au nouveau régime actuel et à venir.