Données personnelles et numérique : la question de l’éthique

A l’heure du numérique, la récolte des données des utilisateurs est un sujet ancré dans les débats concernant les nouvelles pratiques des entreprises. La question de l’éthique est alors aujourd’hui cruciale : à partir de quel moment l’entreprise met-elle un pied dans la vie privée de son client ? Quelles sont les limites à ne pas franchir ?

Qualifiée de « carburant du numérique » par la Présidente de la CNIL, la donnée personnelle permet d’identifier son client et ses habitudes pour mieux cibler sa communication, mais aussi de générer de nouvelles sources de revenus en les revendant à des tiers.

A partir de quel moment une donnée devient personnelle ?

Selon l’Art. 2 de la loi « Informatique et libertés » : « Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement »

L’utilisateur possède alors plusieurs droits sur ces données :

• Le droit d’accès
• Le droit de rectification
• Le droit d’opposition
• Le droit au déréférencement
• Le droit d’accès indirect aux fichiers de police, de gendarmerie, de renseignement, FICOBA qui le concernent

L’entreprise a quant à elle des obligations face aux données des utilisateurs :

• Déclarer tout traitement de données personnelles avant leur création à la CNIL
• Acquérir une autorisation auprès de la CNIL pour la récolte de données présentant des risques particuliers d’atteintes aux droits et libertés
• Avoir l’accord de l’utilisateur et l’informer de son droit d’accès, de modification et de suppression des données collectées
• Obligation de sécurité et de confidentialité des données

Par le biais des newsletters, des réseaux sociaux, de l’utilisation des cookies, plusieurs outils permettent de récolter les données de ses visiteurs, qui se montrent de plus en plus vigilants quant à l’utilisation de leurs données personnelles par les entreprises.

Les modèles Privacy By Design et By Default

Le concept de “Privacy by Design”, développé dans les années 90, part du principe que le cadre légal ne suffit pas pour permettre une protection efficace de la vie privée des utilisateurs. Il faudrait alors penser la protection des données personnelles directement dans la conception et non l’intégrer au produit fini,  elle repose sur sept principes :

1. Prendre des mesures proactives et non réactives, des mesures préventives et non correctives
2. Assurer la protection implicite de la vie privée
3. Intégrer la protection de la vie privée dans la conception des systèmes et des pratiques
4. Assurer une fonctionnalité intégrale selon un paradigme à somme positive et non à somme nulle
5. Assurer la sécurité de bout en bout, pendant toute la période de conservation des renseignements
6. Assurer la visibilité et la transparence
7. Respecter la vie privée des utilisateurs

Il rejoint alors celui de “Privacy by Default”, consistant à intégrer des paramètres par défaut assurant une protection maximale des données personnelles de l’utilisateur, celui-ci pouvant par la suite modifier ses réglages à sa convenance, tout en étant prévenu de l’impact de ses choix sur la récolte de ses données personnelles.

Mais alors, qu’est-ce qu’un comportement éthique ?

Trois points essentiels sont à retenir :

• Informer de façon claire et pédagogue son client sur la façon dont ses données personnelles seront utilisées
• Rester transparent en toute circonstance
• Proposer des méthodes simples permettant à l’utilisateur de s’opposer à la récolte de ses données

C’est donc miser sur une relation de confiance avec son client ou prospect.

Pour en savoir plus :

Rapport 2015 du CIGREF «  L’économie des données personnelles : les enjeux d’un business éthique »

Rapport d’activité 2015 de la Commission Nationale de l’Informatique et des Libertés