Les traitements de donnees specifiques au e-commerce
Les sites de vente en ligne traitent un volume considerable de donnees personnelles : donnees d’identification des clients, adresses de livraison et de facturation, historiques de commandes, donnees de paiement, preferences de navigation et donnees de profilage. Chacun de ces traitements doit etre conforme au RGPD.
Le parcours d’achat en ligne genere des donnees a chaque etape : creation de compte, navigation sur le catalogue, ajout au panier, processus de commande, paiement, livraison, service apres-vente. Le responsable de traitement doit cartographier l’ensemble de ces traitements et les inscrire dans son registre.
Les bases legales des traitements e-commerce
L’execution du contrat de vente constitue la base legale principale pour le traitement des donnees necessaires a la gestion de la commande : identification du client, adresse de livraison, donnees de facturation, suivi de la livraison. Le consentement n’est pas requis pour ces traitements indispensables a l’execution de la vente.
Le consentement est en revanche necessaire pour les traitements de prospection commerciale envers les prospects non clients, pour le depot de cookies publicitaires et de traceurs, et pour le profilage avance. L’interet legitime peut fonder les traitements de prevention de la fraude et de securisation des paiements.
La creation d’un compte client ne doit pas etre obligatoire pour effectuer un achat. La CNIL recommande de proposer systematiquement un mode d’achat en tant qu’invite, sans creation de compte. Si un compte est cree, les donnees doivent etre supprimees en cas d’inactivite prolongee (la CNIL recommande un delai de 3 ans apres le dernier achat ou contact).
Les cookies et le suivi comportemental
Les sites e-commerce utilisent generalement de nombreux cookies et traceurs : cookies de mesure d’audience, cookies publicitaires, cookies de retargeting, pixels de conversion. Le consentement prealable de l’utilisateur est requis pour tous les cookies non essentiels au fonctionnement du site.
Le retargeting publicitaire, qui consiste a afficher des publicites personnalisees sur d’autres sites en fonction des produits consultes, necessite un consentement specifique. L’utilisateur doit etre clairement informe de cette pratique et pouvoir s’y opposer facilement.
La securite des donnees de paiement
Les donnees de cartes bancaires font l’objet d’une reglementation specifique (norme PCI-DSS) en plus du RGPD. Le stockage des numeros de cartes bancaires complets est interdit sauf en cas de necessite absolue et avec des mesures de securite renforcees. La plupart des sites e-commerce delegent le traitement du paiement a un prestataire specialise (Stripe, PayPal, Adyen) certifie PCI-DSS.
La conservation du numero de carte bancaire pour faciliter les achats futurs (paiement en un clic) necessite le consentement specifique du client. Le client doit pouvoir supprimer ses donnees de carte bancaire a tout moment. La CNIL a prononce des sanctions significatives a l’encontre de sites e-commerce conservant les donnees de cartes bancaires sans consentement ou sans mesures de securite adequates.
