Pour acheter un clavier, il fallait créer un compte. Et créer ce compte déclenchait un traitement de données comportementales à des fins de personnalisation et de marketing. Le plus grand commerçant en ligne suisse vient de terminer un bras de fer de deux ans avec son autorité de protection des données. Résultat : la personnalisation se désactive désormais en une seule action, cookies compris. Aucune amende n’a été prononcée. Le résultat obtenu dépasse pourtant ce que beaucoup de procédures européennes produisent.
Sur quoi portait exactement le reproche ?
Sur un couplage, pas sur le profilage en lui même. Le processus de commande imposait la création d’un compte, et cette création entraînait mécaniquement un traitement de données comportementales.
L’autorité a conclu que ce couplage entre le processus d’achat et la création de compte, et le traitement qui en découlait, contrevenait au principe de proportionnalité. Le client qui voulait simplement acheter se retrouvait profilé, sans moyen simple de s’y soustraire.
Le raisonnement mérite d’être noté par tout responsable de boutique en ligne. Ce n’est pas la personnalisation qui a été jugée illicite, c’est l’impossibilité pratique d’y échapper tout en accédant au service. La distinction est exactement celle que pose notre analyse du choix entre consentement et intérêt légitime.
Qu’est-ce qui a changé concrètement ?
Le dispositif final va bien au delà d’une case enfouie dans les réglages.
| Élément | Avant | Après |
|---|---|---|
| Accès au service | Compte obligatoire, profilage lié | Compte avec options de paramétrage |
| Désactivation de la personnalisation | Non prévue simplement | Une seule action, cookies désactivés en même temps |
| Information à l’inscription | Absente sur ce point | Mention explicite de la personnalisation et du droit d’opposition |
| Politique de confidentialité | Non alignée | Adaptée au nouveau dispositif |
| Information des clients existants | Sans objet | Communication dédiée sur les nouvelles options |
La ligne qui compte est la deuxième. Une action unique qui désactive à la fois la personnalisation et les cookies associés, c’est la traduction opérationnelle d’une exigence que le RGPD formule depuis 2018 sans que grand monde l’applique : retirer son consentement doit être aussi simple que de le donner.
Pourquoi le résultat est-il obtenu sans amende ?
Parce que la mécanique diffère de celle que nous connaissons. Le droit suisse raisonne en principes, proportionnalité, bonne foi, transparence, et en droit d’opposition. L’autorité agit par recommandation formelle rendue publique, avec le levier de réputation que cela suppose, puis accompagne la mise en oeuvre jusqu’à vérification.
Le résultat rejoint pourtant ce que les autorités européennes cherchent par d’autres voies : un traitement de personnalisation qui ne s’impose plus par défaut sans échappatoire, une information explicite dès l’inscription, et un mécanisme d’opposition aussi simple que l’était l’entrée dans le traitement.
Il y a là une leçon de méthode. Une mise en conformité négociée, publique et vérifiée produit un précédent opposable à tout un secteur, ce qu’une amende isolée ne fait pas toujours.
Que faut-il vérifier sur votre boutique en ligne ?
- L’achat est-il possible sans création de compte, en mode invité ?
- Si le compte est obligatoire, quelles finalités sont réellement nécessaires à l’exécution de la commande, et lesquelles s’y ajoutent ?
- La personnalisation repose-t-elle sur une base distincte de celle du contrat, et peut-elle être refusée sans perdre l’accès au service ?
- Le retrait est-il aussi simple que l’adhésion, en nombre de clics comme en visibilité ?
- La désactivation entraîne-t-elle celle des cookies associés, ou laisse-t-elle les traceurs actifs ?
- L’information figure-t-elle au moment de l’inscription, et pas seulement dans la politique de confidentialité ?
La quatrième question est celle qui produit le plus d’écarts. Un consentement recueilli en deux clics, dont le retrait demande six écrans et un formulaire, ne satisfait pas l’exigence de symétrie. C’est l’un des points examinés dans notre guide de conformité d’une boutique en ligne.
Le blocage habituel n’est pas la volonté, c’est de savoir quels traceurs et quelles finalités sont réellement attachés au compte client après trois ans d’ajouts successifs. DPO SUITE cartographie les finalités et les destinataires rattachés à chaque traitement, ce qui permet de séparer ce qui relève du contrat de ce qui relève du marketing.
Le sujet se limite-t-il au commerce en ligne ?
Non. Le couplage entre accès à un service et traitement accessoire se retrouve partout : espaces adhérents d’associations, portails de collectivités, applications de fidélité, services publics numériques.
La question à se poser est toujours la même. Ce traitement est-il nécessaire à ce que la personne est venue faire, ou ajouté à l’occasion ? S’il est ajouté, il doit être refusable sans conséquence sur le service principal. C’est ce que rappelle notre fiche sur la conformité des comptes clients.
Pour les organismes actifs des deux côtés de la frontière, la conclusion est double. Le couplage systématique entre usage et profilage est désormais attaqué sous deux angles distincts, la proportionnalité d’un côté, la liberté du consentement de l’autre. Et un dispositif conçu pour l’un satisfait généralement l’autre, ce qui plaide pour un alignement par le haut plutôt que par pays. Notre comparaison entre opt-in et opt-out en prospection pose les repères de ce raisonnement.
FAQ
Peut-on imposer la création d’un compte pour commander ?
L’imposer n’est pas interdit en soi, mais il faut pouvoir démontrer que le compte est nécessaire à l’exécution de la commande, ce qui est rarement le cas pour un achat ponctuel. Le point réellement contestable est le traitement accessoire que la création du compte déclenche automatiquement.
Un mode invité est-il obligatoire ?
Aucun texte ne l’impose expressément, mais il constitue la démonstration la plus simple de la minimisation. Proposer un achat sans compte, avec conservation limitée à la commande, écarte l’essentiel du débat sur le couplage et simplifie considérablement la documentation du traitement.
Le retrait doit-il être aussi visible que l’adhésion ?
Oui, la symétrie porte sur la facilité réelle, pas sur l’existence formelle d’une option. Un mécanisme enfoui dans plusieurs niveaux de menu, alors que l’adhésion se fait en un clic à l’inscription, est régulièrement analysé comme une entrave au retrait et fragilise la validité du consentement initial.
La désactivation doit-elle couvrir les cookies ?
Elle le devrait, sous peine d’incohérence évidente. Désactiver la personnalisation dans le compte tout en laissant les traceurs collecter le comportement revient à annoncer un arrêt qui n’a pas lieu. Les deux mécanismes doivent être reliés, ou leur portée respective clairement expliquée à la personne.
Faut-il informer les clients existants d’un changement ?
Oui, dès lors que le changement modifie leurs possibilités de contrôle ou les finalités poursuivies. Une communication dédiée, distincte d’une simple mise à jour de la politique de confidentialité, réduit fortement le risque de réclamation et constitue un élément de démonstration de la transparence.
