Les Politiques de Confidentialité sont exigées par la loi

Les lois relatives à la confidentialité à travers le monde imposent que si vous collectez des informations à caractère personnel auprès des visiteurs de votre site Internet, alors, vous devez avoir une Politique de Confidentialité qui est affichée sur votre site et accessible depuis votre application mobile (le cas échéant).

Bon nombre de services de tiers utilisés pour améliorer les performances d'un site Internet (comme des outils de traitement des paiements, des suites analytiques et des plug-ins publicitaires) exigent également que vous disposiez d'une Politique de Confidentialité.

Cet article abordera certaines de ces lois et exigences de tiers tout en montrant des exemples de certaines des clauses les plus importantes que votre Politique de Confidentialité doit comprendre. Au terme de cet article, vous saurez pourquoi vous avez besoin d'une Politique de Confidentialité et pourrez commencer à élaborer la vôtre.

Qu'est-ce qu'une Politique de Confidentialité ?

Une Politique de Confidentialité est un accord légal qui explique les types d'informations à caractère personnel que vous recueillez auprès des visiteurs de votre site Internet, comment vous utilisez ces informations, et comment vous les sécurisez.

Des exemples d'informations à caractère personnelpeuvent inclure :

• Noms
• Dates de naissance
• Adresses e-mail
• Adresses de facturation et d'expédition
• Numéros de téléphone
• Coordonnées bancaires
• Numéros de sécurité sociale

Une Politique de Confidentialité aborde généralement ce qui suit :

• Les types d'informations collectées par le site Internet ou l'application
• Les fins de la collecte des données
• Le stockage, la sécurité et l'accès aux données
• Les détails des transferts de données
• Les sites Internet ou organisations affilié(e)s
• L'utilisation de cookies

Pour avoir une idée de ce qu'une Politique de Confidentialité peut inclure, voici un exemple d'introduction informative à une Politique de Confidentialité d'Etsy :

Une introduction sommaire comme celle-ci est un bon moyen de faire savoir aux lecteurs ce qu'ils peuvent raisonnablement s'attendre à trouver exactement dans le reste de l'accord.

Examinons certaines lois spécifiques et leurs exigences.

Lois relatives à la confidentialité aux États-Unis

La CalOPPA est l'une des lois relatives à la confidentialité les plus strictes aux États-Unis. Elle concerne toutes les personnes qui collectent des informations à caractère personnel auprès de résidents californiens, ce qui signifie que sa portée va bien au-delà des frontières de l'État.

Bien que la CalOPPA soit stricte, elle n'est pas excessivement compliquée à respecter. Disposer d'une Politique de Confidentialité fait partie de ses exigences clés.

CalOPPA

La CalOPPA a pour but d'offrir une protection des données à caractère personnel collectées auprès de résidents californiens. Alors que la CalOPPA est la loi d'un État et non une loi fédérale, elle concerne très probablement votre site Internet quel que soit l'endroit où vous conduisez vos activités parce que votre site Internet pourrait attirer des résidents californiens.

La CalOPPA exige que les sites Internet et les applications disposent d'une Politique de Confidentialité clairement visible et accessible. Voici comment la Consumer Federation of California Education Foundation décrit la CalOPPA :

La CalOPPA classe ce qui suit parmi les « informations d'identification » :

• Noms et prénoms
• Adresses physiques
• Adresses e-mail
• Numéros de téléphone
• Numéros de sécurité sociale
• Toute autre coordonnée partagée avec une entreprise, physiquement ou en ligne
• Dates de naissance
• Détails de l'apparence physique (taille, poids, couleur de cheveux)
• Toute autre information stockée en ligne permettant d'identifier une personne physique

Comment une Politique de Confidentialité peut se conformer à la CalOPPA

Afin de se conformer à la CalOPPA, une Politique de Confidentialité doit inclure les informations suivantes :

• Les détails exacts des types de données à caractère personnel qui sont collectés à travers le site Internet ou l'application
• Toute organisation affiliée avec laquelle ces données peuvent être partagées
• Une explication claire de la manière dont les utilisateurs peuvent demander des modifications de toutes données à caractère personnel collectées
• Le processus utilisé pour informer les utilisateurs de toute modification de la Politique de Confidentialité
• La date d'entrée en vigueur de la Politique de Confidentialité
• Ce qui se passe si un utilisateur soumet une demande « Interdire le suivi »
• Les détails des tiers qui collectent des données à caractère personnel à travers le site Internet ou l'application

Inclure une Clause « Interdire le suivi »

« Interdire le suivi » - Do not track ou DNT en anglais - est un paramètre qui peut être activé sur certains navigateurs pour bloquer le suivi comportemental de la part de services de tiers comme Google Adwords.

En vertu de la CalOPPA, il n'est pas obligatoire pour un site Internet ou une application d'accéder à une demande DNT. Les sites Internet doivent toutefois informer les utilisateurs si leur site Internet ou application répondra ou non à une demande DNT.

Voici comment Whole Foods fait savoir aux utilisateurs que les demandes DNT ne seront pas satisfaites et fournit un lien vers des informations supplémentaires à ce sujet :

Si vous devez vous conformer à la CalOPPA, n'oubliez pas cette clause.

Comment afficher une Politique de Confidentialité conforme à la CalOPPA

Afin de se conformer à la CalOPPA, une Politique de Confidentialité doit :

• Être clairement visible et facilement accessible pour les visiteurs de votre site Internet ou les utilisateurs de votre application
• Contenir le terme « confidentialité » dans le lien d'affichage

Voici un exemple d'Amazon où le pied de page du site Internet comporte un lien clair vers l'Avis de Confidentialité :

Cette exigence permet aux visiteurs de trouver plus facilement votre Politique de Confidentialité, ce qui favorise la transparence.

Lois relatives à la confidentialité au sein de l'UE

Le 25 mai 2018, le Règlement général sur la protection des données (RGPD) a remplacé la Directive existante relative à la protection des données de l'UE qui était en vigueur depuis 1995.

La Directive relative à la protection des données de l'UE règlementait la collecte et la manipulation d'informations à caractère personnel au sein de l'UE et les protégeait contre tout usage abusif.

Elle exigeait que toutes les sociétés conduisant des activités depuis un pays de l'UE disposent d'une Politique de Confidentialité.

RGPD

Le RGPD exige que toutes les sociétés conduisant des activités au sein de l'UE ainsi que les sociétés étrangères manipulant des données à caractère personnel de ressortissants de l'UE disposent d'une Politique de Confidentialité. Cela fait partie de son objectif de s'assurer que les informations à caractère personnel soient obtenues et traitées équitablement.

Le RGPD s'applique aux sociétés de l'UE et internationales qui collectent des données à caractère personnel auprès de ressortissants de l'UE.

Le RGPD exige ce qui suit :

• L'ensemble des données à caractère personnel doivent être traitées de manière éthique.
• Les données doivent être collectées pour des raisons prédéterminées uniquement, et les données doivent être utilisées pour ces raisons exclusivement.
• Les données doivent être exactes et mises à jour lorsque demandé.
• À l'exception de circonstances spécifiques, comme des données de recherche scientifique, l'utilisateur doit être identifié uniquement tant que cela est nécessaire.
• L'entreprise qui collecte des données est chargée de surveiller son propre respect du RGPD en désignant un Délégué à la Protection des Données, le cas échéant.
• L'utilisateur doit être en mesure de contacter l'entreprise qui collecte les données et son Délégué à la Protection des Données (si elle en a désigné un).
• Les utilisateurs doivent être informés des raisons pour lesquelles leurs données sont recueillies et de la durée pendant laquelle elles seront stockées.
• Les utilisateurs doivent être avisés de leurs 8 droits en vertu du RGPD, y compris le droit d'accéder à, de mettre à jour ou de demander la suppression de leurs données à caractère personnel.
• Il existera un organe de surveillance pour gérer les réclamations des utilisateurs et les coordonnées de cet organe doivent être fournies.
• Les utilisateurs doivent être informés si leurs données doivent être partagées avec tout tiers ou toute organisation affiliée, ou si elles seront transférées en dehors de l'UE.
• Toute autre information que l'utilisateur doit savoir pour s'assurer que ses données à caractère personnel sont traitées équitablement.

Bien qu'il existe un certain nombre de facteurs à prendre en considération pour votre plan de conformité au RGPD, l'une des exigences absolues est de disposer d'une Politique de Confidentialité conforme.

Votre Politique de Confidentialité doit être facilement accessible et vous devez obtenir le consentement actif des utilisateurs avant de collecter l'une quelconque de leurs données à caractère personnel.

Voici un bon exemple de la manière dont IKEA obtient un consentement à la collecte d'informations à caractère personnel. Les utilisateurs doivent cocher une case lorsqu'ils créent un profil, indiquant qu'ils acceptent que leurs informations à caractère personnel soient enregistrées :

Le RGPD représente un changement majeur en matière de protection des données. Cela s'applique aussi bien aux entreprises basées au sein de l'UE qu'à celles qui ne sont pas basées au sein de l'UE et collectent des données à caractère personnel auprès de ressortissants de l'UE.

La mise en œuvre du RGPD est beaucoup plus stricte qu'avec les règlements antérieurs et des pénalités plus importantes sont prévues en cas de non-respect.

Lois relatives à la confidentialité au Canada

La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) du Canada protège les données à caractère personnel appartenant aux ressortissants canadiens et exige que les sociétés conduisant des activités en ligne au Canada disposent d'une Politique de Confidentialité :

Si vous relevez du champ d'application de la LPRPDE, vous devrez vous familiariser avec ses exigences et vous assurer que votre Politique de Confidentialité est conforme.

Lois relatives à la confidentialité en Australie

La Privacy Act of 1988 australienne (loi de 1988 sur la confidentialité) exige que toutes les entreprises qui collectent des informations à caractère personnel en ligne en Australie disposent d'une Politique de Confidentialité.

Elle comprend notamment une liste de 13 Principes de Confidentialité qui régissent la collecte et le traitement de données à caractère personnel.

Toutes les entreprises sont tenues de faire preuve de franchise et de transparence au sujet de leurs activités de collecte de données, et elles doivent divulguer ces dernières dans une Politique de Confidentialité à jour.

Lois relatives à la confidentialité au Royaume-Uni

Les données à caractère personnel sont protégées au Royaume-Uni par la Data Protection Act (DPA) (Loi relative à la protection des données). À l'instar de la Privacy Act australienne, elle repose sur 8 Principes fondamentaux de Protection des Données, que toutes les sociétés qui collectent des données à caractère personnel en ligne au Royaume-Uni doivent observer :

Politiques de Confidentialité exigées par des services de tiers

De nombreux services de tiers couramment utilisés par des sites Internet et applications exigent également qu'une Politique de Confidentialité soit disponible.

Par exemple, les prestataires de services de bulletins d'information par e-mail exigent généralement une Politique de Confidentialité pour utiliser leurs services.

Les Conditions de Service de Campaign Monitor incluent cette clause portant sur les informations à caractère personnel :

Une Politique de Confidentialité est le meilleur moyen de satisfaire cette exigence d'informer les clients.

Vous devez également mettre une Politique de Confidentialité à disposition sur votre site Internet ou application si vous utilisez des services de tiers qui suivent le comportement de navigation des utilisateurs ou qui utilisent des données de localisation, comme Google Analytics ou Google Adsense.

SendPilot divulgue toutes les catégories de services de tiers que la société peut utiliser pour collecter ou traiter des données d'utilisateurs, comme suit :

Google Analytics

Si votre site Internet ou application utilise Google Analytics, vous devez alors mettre à jour votre Politique de Confidentialité pour satisfaire les Conditions de Service de Google Analytics. Google Analytics utilisant des cookies pour suivre le comportement des utilisateurs et les cookies collectant des informations à caractère personnel, une Politique de Confidentialité est exigée.

Exigences relatives à la Politique de Confidentialité pour les Fonctionnalités standard de Google Analytics

D'après Google Analytics, si vous utilisez les fonctionnalités standard de Google Analytics pour suivre le comportement des utilisateurs sur votre site Internet ou application, votre Politique de Confidentialité doit alors :

• Stipuler que vous utilisez Google Analytics pour suivre le comportement des utilisateurs
• Expliquer comment les données sont collectées et traitées
• Informer l'utilisateur de l'utilisation de cookies

La Politique de Confidentialité doit être affichée bien en vue, comme dans le pied de page d'un site Internet ou dans le menu principal d'une application.

Voici un exemple du pied de page du site Internet de la BBC :

De plus, vous devez avoir une fenêtre contextuelle ou bannière Avis Consentement aux Cookies qui alerte les utilisateurs sur l'utilisation de cookies sur votre site Internet et permet aux utilisateurs de le bloquer s'ils le souhaitent.

Voici un exemple de bannière sur les cookies de l'Université de Brighton :

Exigences relatives à la Politique de Confidentialité pour les Outils publicitaires de Google Analytics

Si vous utilisez les Outils publicitaires de Google Analytics en plus des fonctionnalités standard, il existe des exigences supplémentaires relatives à la Politique de Confidentialité.

Les fonctionnalités publicitaires couvertes par ces exigences supplémentaires comprennent :

• Marketing de relance ou reciblage
• Rapports sur les impressions Réseau Display Google
• Rapports sur les données démographiques et les centres d'intérêt Google Analytics

Si vous utilisez ces outils, Google Analytics exige que vous en informiez les utilisateurs en incluant les informations suivantes à votre Politique de Confidentialité :

• Les Outils publicitaires de Google Analytics que vous utilisez, et comment et pourquoi vous utilisez ces fonctionnalités.
• Un avis selon lequel des cookies sont utilisés par des tiers pour afficher des publicités pertinentes à l'utilisateur.
• Des instructions sur la manière dont les utilisateurspeuvent exercer leur option de refus quant aux fonctionnalités publicitaires de Google Analytics au moyen des paramètres publicitaires de Google.

Google ne fournit pas d'orientations sur le langage exact à employer dans votre Politique de Confidentialité. Elle doit cependant toujours être rédigée en français simple et d'une manière facile à comprendre.

Google Adsense

Si votre site Internet ou application utilise Google AdSense, vous devez alors mettre à jour votre Politique de Confidentialité en accord avec les Conditions Générales de Google AdSense.

Vous devez fournir une Politique de Confidentialité qui divulgue votre utilisation de Google Adsense, y compris :

• Une déclaration selon laquelle des tiers, y compris Google, utilisent des cookies pour afficher des publicités pertinentes à un utilisateur en se basant sur le comportement de navigation antérieur.
• Des informations sur les cookies DoubleClick de Google.
• Des instructions sur la manière dont les utilisateurs peuvent exercer leur option de refus quant à l'utilisation de cookies DoubleClick au moyen des paramètres publicitaires de Google.

Google exige également que vous déployiez des « efforts commercialement raisonnables » pour vous assurer d'obtenir un consentement à l'utilisation de cookies sur l'appareil d'un utilisateur.

Vous pouvez généralement le faire en utilisant une fenêtre contextuelle ou bannière qui alerte les utilisateurs sur l'utilisation de cookies sur votre site Internet et permet aux utilisateurs de le bloquer s'ils le souhaitent, ainsi qu'il est indiqué précédemment dans cet article.

Exigences supplémentaires pour les entreprises de l'UE

Les points ci-dessus s'appliquent à l'ensemble des sites Internet et des applications qui utilisent Google AdSense. Il existe toutefois des exigences supplémentaires pour les sociétés basées au sein de l'UE qui utilisent ce service.

Les utilisateurs doivent être alertés sur l'utilisation de cookies par votre site Internet ou application, et donner leur consentement éclairé, avant que tout cookie puisse être placé sur l'appareil de cet utilisateur.

Ceci comprend :

• Les différents types de cookies utilisés
• Les détails de tout cookie de tiers pouvant être utilisé
• Pourquoi des cookies sont utilisés et comment ils sont placés sur des appareils

Comme pour les autres alertes sur les cookies, vous pouvez généralement utiliser une fenêtre contextuelle ou une bannière qui explique clairement que des cookies sont utilisés et dirige l'utilisateur vers des informations supplémentaires à ce sujet.

Consentement aux cookies

Le consentement au placement de cookies doit être obtenu activement auprès de l'utilisateur, à savoir que les utilisateurs doivent cliquer sur un bouton ou cocher une case ou faire autre chose pour confirmer leur consentement.

Le consentement actif, également appelé consentement éclairé, consiste à exiger que l'utilisateur confirme son consentement au moyen d'une case à cocher ou d'un bouton « J'accepte ».

Voici un exemple de consentement actif pour des cookies de Wembley, qui inclut une explication conviviale du type de cookie utilisé et pourquoi. Le bouton bleu « I'm Happy With This » (Cela me convient) est ce qui distingue ce type de consentement d'un consentement passif.

Le consentement passif au placement de cookies sur l'appareil d'un utilisateur n'est plus permis. Voici un exemple de consentement passif pour des cookies du site Internet de Calvin Klein :

Qu'inclure à une Politique de Confidentialité

Le contenu des Politiques de Confidentialité varie d'une entreprise à l'autre. La manière dont un site Internet collecte et gère des informations, et la manière dont il interagit avec des tiers, sont propres à chaque société. De plus, l'endroit où les utilisateurs d'un site Internet résident peut avoir un impact sur la Politique de Confidentialité de la société.

Au minimum, votre Politique de Confidentialité doit aborder les points suivants :

Dénomination commerciale et coordonnées

Votre Politique de Confidentialité doit contenir votre dénomination commerciale et vos coordonnées officielles.

Voici un exemple de Whole Foods :

Ces informations figurent généralement tout au début ou tout à la fin d'une Politique de Confidentialité et les utilisateurs savent qu'elles se trouvent à cet endroit. Il s'agit donc du placement recommandé par les meilleures pratiques.

Types de données à caractère personnel que vous collectez

Vous devez énumérer les divers types de données à caractère personnel que vous collectez directement et indirectement auprès des utilisateurs.

Budweiser est un bon exemple :

Veuillez noter que la clause énumère comment les données peuvent être collectées ainsi que des exemples d'informations spécifiques, telles que adresses e-mail, codes postaux et « localisations précises. » N'oubliez pas : plus vous êtes méthodique, mieux c'est.

Pourquoi vous collectez des données à caractère personnel

Les lois relatives à la confidentialité exigent que vous ne collectiez que les données à caractère personnel dont vous avez besoin, et que vous expliquiez pourquoi vous en avez besoin.

Voici un exemple de Nestlé :

Ce format de tableau n'est pas nécessaire mais il facilite certainement la lisibilité et l'organisation. Veuillez noter qu'il indique non seulement aux utilisateurs pourquoi les informations sont utilisées, mais également pour quelle raison spécifique. Il aborde également les intérêts légitimes de l'utilisation de données à caractère personnel, ce qui contribue au respect du RGPD.

Comment les données sont utilisées

La manière dont vous utilisez les données est une autre composante importante d'une Politique de Confidentialité. Vous devez l'expliquer très clairement dans votre Politique de Confidentialité.

Voici comment Airbnb procède :

L'utilisation d'un format de liste vous aide à transmettre beaucoup d'informations d'une manière plus organisée, ce qui est important pour que votre Politique de Confidentialité reste facilement lisible par le grand public. Assurez-vous d'inclure toutes les manières possibles dont vous pouvez utiliser les données.

Comment vous partagez des données avec des tiers

La plupart des sites Internet utilisent un ou plusieurs outils de tiers pour améliorer leurs performances et l'expérience utilisateur. Les exemples peuvent inclure Google Analytics pour comprendre les visiteurs du site Internet, ou AdSense pour des publicités personnalisées.

La plupart des sites utilisent également des cookies, qui sont des outils techniques enregistrant le comportement des utilisateurs pour personnaliser leur expérience sur Internet.

Tous les cas de partages de données avec des tiers doivent être expliqués dans votre Politique de Confidentialité, et vous devez également fournir des liens vers les politiques de ces sociétés tierces.

Découvrez comment Instagram procède :

Décomposer les informations en paragraphes pour aborder des types séparés de partages avec des tiers, comme des publicités et une analyse, est très utile et rend les informations plus faciles à assimiler.

Comment exercer son option de refus quant à la collecte de données

Votre Politique de Confidentialité doit inclure des instructions pour exercer son option de refus quant à la collecte continue de données, ainsi que pour obtenir une copie de toute donnée déjà collectée.

Nike fournit clairement ces informations dans sa Politique de Confidentialité :

Si vous proposez plusieurs méthodes pour que les utilisateurs puissent exercer leur option de refus quant à différentes choses (telles que bulletins d'information par e-mail, textos, courrier conventionnel, etc.), assurez-vous d'inclure toutes les méthodes disponibles.

N'oubliez pas

Les lois à travers le monde exigent que les sites Internet disposent d'une Politique de Confidentialité. De la loi CalOPPA générale californienne, au nouveau Règlement général sur la protection des données de l'UE, en passant par d'autres lois au Canada, au Royaume-Uni et en Australie, il y a beaucoup de choses à comprendre au sujet des lois relatives à la confidentialité et de la conformité.

Ces diverses lois ont en commun des objectifs fondamentaux centrés sur la protection et une utilisation appropriée des données des consommateurs privés. Elles varient à certains égards mais une chose est sûre : si vous possédez ou exploitez un site Internet n'importe où dans le monde, vous devez probablement disposer d'une Politique de Confidentialité conforme aux lois au sein des juridictions où résident les utilisateurs de votre site Internet.

Vous devez également connaître les exigences des services de tiers que vous utilisez, comme des services d'analyse ou publicitaires. Consultez toujours les Conditions d'Utilisation de ces services afin de savoir ce que vous devez faire.

En disposant d'une Politique de Confidentialité rigoureuse, facile à lire, clairement affichée, vous serez sur la bonne voie pour vous conformer à chaque loi relative à la confidentialité et à chaque accord de Conditions Générales que vous rencontrerez.