Tout savoir sur ses obligations au titre du RGPD

Le monde du e-commerce connaît une croissance fulgurante, attirant ainsi l'attention des régulateurs sur la gestion des données personnelles. 

Depuis le 25 mai 2018, la déclaration préalable à la CNIL n'est plus requise pour la plupart des sites web. 

Cependant, cela ne signifie pas une absence d'obligations. Les entreprises doivent désormais s'assurer de leur conformité au Règlement Général sur la Protection des Données (RGPD). 

À titre illustratif, Vinted, un site de vente en ligne, a récemment fait l'objet d'une enquête conjointe menée par plusieurs autorités européennes, tandis que la société Spartoo a été sanctionnée à hauteur de 250 000€ pour non-conformité au RGPD. Ces cas soulignent l'importance cruciale de respecter les directives en matière de données personnelles.

Cet article vise à décrypter vos obligations au titre du RGPD

1. Qu’est qu’une donnée à caractère personnel ? 

Selon le RGPD, une donnée personnelle est définie comme toute information se rapportant à une personne physique identifiée ou identifiable. 

Dans un contexte d'e-commerce, cela englobe un large éventail d'informations telles que :

• Les identifiants classiques : nom, prénom, adresse postale, adresse e-mail.
• Les données transactionnelles : historique des achats, numéro de carte bancaire, détails de facturation.
• Les données comportementales : historique de navigation, produits consultés, durée des visites, préférences et centres d'intérêt.
• Les informations techniques : adresse IP, données de localisation, type de navigateur utilisé, etc.
• Les avis et commentaires laissés sur le site.
• Les informations issues de la création de comptes ou programmes de fidélité : date de naissance, numéro de téléphone, genre.

2. Qui est concerné par le RGPD ?

Le RGPD, ou Règlement général sur la protection des données, présente un champ d'application étendu touchant une variété d'organisations, qu'elles soient publiques ou privées, sans considération de taille. 

Il s'applique notamment aux structures établies au sein de l'UE, mais aussi à celles hors de l'UE si elles ciblent directement les résidents européens. 

Ainsi, un e-commerce suisse livrant en France sera concerné. 

Le RGPD ne se préoccupe pas du chiffre d'affaires mais de la manière dont les données sont traitées. 

Les e-commerces, par nature, collectent une quantité conséquente de données, incluant souvent des informations détaillées sur les comportements d'achat, ce qui accentue leur nécessité de conformité.

Il convient donc de se mettre en conformité !

3. Sur mon site e-commerce, que dois-je prévoir?

Informations essentielles :

• Mentions légales : Assurez-vous d'identifier clairement l'éditeur du site, ainsi que les coordonnées de contact.

• Politique de confidentialité : Cette page détaille les données que vous collectez, la manière dont elles sont utilisées et conservées, ainsi que les droits des utilisateurs sur ces données.

• Mentions spécifiques en cas de recueil d’un consentement : Si vous êtes basé en France, il est impératif d'inclure les mentions CNIL, surtout en cas de collecte de données via des formulaires.

Gestion des cookies et autres traceurs :

• Bannière de cookies : Informez les visiteurs dès leur arrivée sur votre site de l'utilisation de cookies, et donnez-leur la possibilité d'accepter ou de refuser. Il doit y avoir possibilité de “Tout accepter” mais aussi de “Tout refuser”

• Politique de cookies : Créez une page dédiée expliquant les différents types de cookies utilisés, leur finalité et la durée de conservation.

Vente en ligne :

• Sécurité : Assurez-vous que tout le parcours d'achat soit sécurisé (https), que les mots de passe soient robustes et que les transactions bancaires soient protégées. Ne conservez jamais les coordonnées bancaires des clients.

• Consentement et informations : Avant de finaliser une transaction, informez vos clients de l'utilisation de leurs données et obtenez leur consentement explicite.

Gestion des droits des utilisateurs :

• Accès, rectification et suppression : Les utilisateurs doivent pouvoir facilement accéder à leurs données, demander une rectification ou la suppression de ces données.

• Moyens de contact : Proposez plusieurs moyens pour que vos clients puissent vous contacter, que ce soit par un formulaire dédié, un email ou via les réseaux sociaux, pour toute question relative à leurs données.

Il est fortement recommandé de travailler avec des experts en matière de conformité RGPD, en particulier pour les e-commerces, où la quantité et la sensibilité des données peuvent être plus importantes.

4. En interne, comment gérer le RGPD pour un e-commerce?

Pour une gestion optimale du RGPD au sein de votre e-commerce, voici les étapes clés :

1. Liste des données traitées :

Commencez par inventorier et classifier toutes les données personnelles que vous collectez et traitez. Ceci vous permettra d'avoir une vue d'ensemble sur la nature et la sensibilité des informations que vous détenez.

2. Prestataires externes et contrats de sous-traitance :

Identifiez tous vos prestataires qui ont accès à des données personnelles. Assurez-vous d'avoir des contrats de sous-traitance en place avec chacun d'eux, stipulant leurs obligations en matière de protection des données.

3. Registre de traitement :

Il est essentiel de maintenir un registre des activités de traitement de données. Ce document recense tous les traitements de données personnelles effectués au sein de votre entreprise et est un élément clé pour prouver votre conformité au RGPD.

4. Conservation et suivi des consentements :

Assurez-vous d'être en mesure de documenter quand et comment vous avez obtenu le consentement des utilisateurs pour le traitement de leurs données. De plus, gardez une trace des dates de collecte, car cela vous aidera à déterminer la durée de conservation des données.

En suivant ces étapes, votre e-commerce sera mieux armé pour respecter les exigences du RGPD et pour protéger efficacement les données personnelles de vos clients.

5. Sanctions et risques du RGPD ?

Selon l'article 83 du RGPD, les amendes peuvent atteindre jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires mondial annuel total de l'exercice précédent, selon le montant le plus élevé. 

Le risque de sanction et la sanction augmente avec le développements de votre activité pour les raisons suivantes :

• Volume de données accru: Une plus grande clientèle signifie généralement plus de données à gérer.
• Visibilité et cible: Les grandes entreprises sont souvent plus surveillées et peuvent devenir des cibles pour les régulateurs.
• Complexité: Plus l'entreprise se développe, plus ses processus et systèmes peuvent devenir complexes, rendant la conformité plus difficile.

À titre d’exemple, la société Spartoo, spécialisée dans la vente en ligne de chaussures, a fait l'objet d'un contrôle de la CNIL en 2018, révélant plusieurs manquements liés à la protection des données. 

Ces manquements incluaient l'enregistrement systématique des conversations client, une mauvaise gestion des mots de passe, et la conservation excessive des données clients et prospects. Suite à ces découvertes, la CNIL a infligé à Spartoo une amende de 250 000€ et l'a exhortée à se conformer aux règles dans un délai de trois mois.

En somme, je dirai que “Le RGPD est une montagne à gravir, semblable à un marathon plutôt qu'à un sprint ; un processus rigoureux et de longue haleine, essentiel pour instaurer la confiance auprès de ses clients et sécuriser pleinement son activité."

Vous avez des questions spécifiques ou vous voulez en savoir plus ? Contactez-moi !