Début octobre 2026, des clients d’Amazon ont partagé sur Threads des captures de la page « About You », rangée dans les préférences d’achat de leur compte. On y lisait ce que le site avait déduit de leurs commandes, recherches et listes : une utilisatrice aurait « les fesses plates », une autre n’aurait pas d’amis, une troisième ne saurait pas garder une plante en vie, d’après The Next Web. Quelques semaines plus tôt, un journaliste de WIRED avait obtenu de McDonald’s un fichier de 515 pages tiré de son compte de fidélité. Ces deux épisodes, relayés en France par Science et Vie, posent une question de profilage et données déduites : que peut en obtenir la personne concernée ?
Ce que montrent les deux affaires
La page d’Amazon s’alimente de l’historique d’achats, des recherches, des listes enregistrées, des avis et des échanges avec l’assistant d’achat. Une partie des entrées est générique, d’autres sont fausses : un profil attribuait un mauvais prénom au conjoint de son titulaire. Amazon permet de modifier ou de supprimer chaque élément, ce qui reconnaît implicitement que ces déductions concernent la personne et peuvent être erronées.
Le fichier McDonald’s, décrit par Dexerto d’après l’enquête de WIRED, ne s’arrêtait pas à l’historique des commandes. Il contenait des prévisions : 2,16 visites attendues sur six semaines, un panier moyen estimé, un produit jugé le plus pertinent pour ce client, des catégories de comportement du type « déjeuner pressé », et un score de probabilité d’abandon fixé à zéro. Le journaliste, résident californien, a exercé les droits que lui donne le droit de son État, puis a demandé l’effacement.
Profilage et données déduites : des données personnelles à part entière
Le RGPD définit le profilage, à l’article 4, comme un traitement automatisé servant à évaluer ou prédire des aspects personnels : préférences, comportement, situation économique, santé. Un score d’attrition ou une étiquette « a des jambes fines » entrent exactement dans cette définition. Les lignes directrices du CEPD sur le droit d’accès rangent explicitement les données déduites ou dérivées, comme les résultats d’une évaluation algorithmique, parmi les données à communiquer.
Pour une entreprise européenne, une demande d’accès sur le modèle de celle adressée à McDonald’s devrait donc produire les segments, scores et prédictions rattachés au client, et pas seulement ses commandes. L’article 15 impose aussi d’indiquer les finalités, les destinataires et la durée de conservation. Quand une décision produisant des effets significatifs repose exclusivement sur un traitement automatisé, l’article 22 s’applique et l’article 15 exige des informations utiles sur la logique sous-jacente.
Une inférence peut aussi révéler une donnée sensible. Déduire une grossesse, une maladie chronique ou une orientation sexuelle à partir d’achats revient à traiter une donnée de l’article 9, avec les conditions strictes qui l’accompagnent. Une déduction fausse reste une donnée personnelle, que la personne peut faire rectifier au titre de l’article 16.
Ce que l’organisme doit vérifier
La plupart des organismes qui me sollicitent ne pensent pas faire de profilage. Pourtant, un programme de fidélité qui classe les clients par niveau de dépense, un logiciel de relation client qui calcule un score d’appétence, un outil d’emailing qui segmente selon les clics produisent tous des données déduites.
- Inscrire au registre chaque traitement qui calcule un score, un segment ou une prédiction, avec sa finalité et sa base légale.
- Vérifier que la politique de confidentialité mentionne ce profilage en termes compréhensibles, comme l’exige l’article 13.
- Prévoir dans la procédure de réponse aux demandes d’accès l’extraction des données déduites, y compris quand elles sont produites par un sous-traitant ou un outil marketing.
- Examiner si une inférence peut révéler une donnée de santé ou une autre donnée sensible, et y renoncer si aucune exception de l’article 9 ne s’applique.
- Rendre effectif le droit d’opposition au profilage à des fins de prospection, prévu à l’article 21.
- Envisager une AIPD dès que le profilage est à grande échelle ou combine plusieurs sources.
La réponse à une demande d’accès gagne à être préparée avant qu’elle n’arrive. Un export brut de 515 pages respecte la lettre de l’article 15, mais l’article 12 demande une communication concise, compréhensible et aisément accessible. Regrouper les données par catégorie, expliquer ce que signifie un score ou un segment et à quoi il sert rend la réponse lisible et limite les échanges ultérieurs avec la personne ou avec la CNIL.
Le ton compte aussi
Les captures de la page Amazon ont circulé parce que les formulations blessaient. Une étiquette brute sur le physique ou la vie sociale d’un client pose une question de loyauté, au sens de l’article 5 : la personne ne s’attend pas à ce qu’un commerçant la décrive ainsi. Avant de rendre visibles des inférences, ou avant qu’une demande d’accès ne les fasse sortir, il vaut la peine de relire comment elles sont libellées et de supprimer celles qui ne servent à rien.
Le réseau DPO FRANCE accompagne les organismes dans l’inventaire de leurs traitements de profilage et dans la réponse aux demandes d’accès. DPO SUITE centralise le registre, les AIPD et le suivi des demandes de droits, avec leurs délais et les pièces transmises.
