La Commission pour la vie privée remet un avis d’initiative sur l’e-commerce

Publié le 16/01/2001 par anne-christine lacoste

La Commission de la protection de la vie privée (équivalent de la « CNIL » en Belgique) a adopté le 22 novembre 2000 un avis d’initiative relatif à la protection de la vie privée dans le cadre du commerce électronique. Si la Commission reçoit encore peu de plaintes de particuliers relatives à un usage illégal…

La Commission de la protection de la vie privée (équivalent de la « CNIL » en Belgique) a adopté le 22 novembre 2000 un avis d’initiative relatif à la protection de la vie privée dans le cadre du commerce électronique. Si la Commission reçoit encore peu de plaintes de particuliers relatives à un usage illégal de leurs données à caractère personnel lors d’une transaction électronique, les demandes d’information de professionnels quant aux principes juridiques à respecter sont par contre en constante augmentation.

Les destinataires de cet avis sont donc les professionnels qui utilisent Internet à des fins de marketing, mais également les autorités gouvernementales, qui ont un rôle primordial à jouer en ce qui concerne la mise en œuvre des principes de droit encadrant le commerce électronique. (on pense en particulier à la réglementation du « spam »). Dans l’objectif de sensibiliser le plus grand nombre aux questions que pose le commerce électronique, la Commission envisage en outre de diffuser une note pratique et simplifiée de l’avis 34/2000.

La Commission a conduit ses travaux parallèlement au niveau national et européen, au sein du groupe européen des Commissaires à la protection des données (« groupe de l’article 29 ») et plus précisément de sa « Task Force Internet ». Un document à vocation particulièrement large, destiné à faire le point sur la protection de la vie privée sur Internet, a été élaboré par cette Task Force et adopté par le groupe de l’article 29 le 21 novembre 2000. Il est disponible en ligne.

Le contenu de l’avis

L’avis 34/2000 de la Commission débute par une description des circonstances dans lesquelles un risque d’atteinte à la vie privée peut être identifié sur Internet. Il distingue le stade de la prospection commerciale, stade auquel des données vont être collectées à des fins publicitaires, avec le consentement (formulaires à remplir) ou à l’insu du consommateur (p. ex. utilisation de cookies), du stade de la transaction commerciale, au cours duquel des informations à caractère personnel vont circuler afin de permettre la conclusion de la transaction.

La Commission rappelle ensuite les différents principes juridiques applicables dans ces différents contextes.

1. Le champ d’application de la loi relative à la protection de la vie privée fait l’objet d’un premier chapitre. Face à la controverse actuelle concernant l’étendue de la notion de « donnée à caractère personnel » et le caractère « identifiable » d’une donnée, la Commission rappelle le caractère particulièrement large des définitions de la directive européenne 95/46 et de la loi belge. Elle souligne qu’un identifiant peut consister en un numéro ou en un élément propre à l’identité économique, culturelle, etc. de l’individu, et que l’identification ne doit pas nécessairement pouvoir être effectuée par le responsable du traitement mais par toute personne, par un moyen qui puisse être raisonnablement mis en œuvre. Il s’ensuit que, pour la Commission, des profils d’internautes constitués via un identifiant tel que le cookie ou l’adresse IP constituent des données à caractère personnel qui bénéficient de la protection de la loi.

   On notera que l’ensemble des Commissions à la protection des données de l’Union européenne, réunies au sein du groupe de l’article 29, confrontent actuellement leur point de vue quant à cette question, avec pour objectif de parvenir à une interprétation uniforme de celle-ci, lors de leurs prochaines réunions cette année.

2. Le deuxième chapitre de l’avis précise les conditions à respecter en ce qui concerne la finalité du traitement envisagé (caractère déterminé de cette finalité, légitimité, pertinence des données collectées), et illustre l’application de ces principes sur Internet par des exemples concrets.

3. La Commission rappelle dans le chapitre 3 les conditions auxquelles une personne peut s’opposer au traitement de ses données à caractère personnel, et le fait qu’aux termes des modifications récemment apportées à la loi vie privée, cette opposition doit pouvoir être effectuée gratuitement et sans justification par la personne concernée, quand les données sont collectées à des fins de marketing direct.

4. L’information à fournir à la personne concernée quant au traitement de ses données fait l’objet d’un chapitre spécifique. On y distingue les informations à fournir dans le cas d’une collecte visible des informations avec le consentement du consommateur (formulaire en ligne), et celles qui doivent être communiquées lors d’une collecte invisible. La Commission distingue en outre les informations ponctuelles à communiquer au moment d’une collecte, et la nécessité d’une « privacy policy » plus détaillée et plus complète, accessible via un hyperlien mis en évidence sur les pages du site où cela s’avère utile.

5. L’avis s’attache ensuite à la question de la réglementation de l’envoi de courriers électroniques non sollicités. Il décrit la situation actuelle, et plaide pour que soit adopté en Belgique le régime du consentement préalable du consommateur à l’envoi de tels messages (« opt in »), régime déjà adopté par cinq pays européens, et peut-être étendu bientôt à l’ensemble des Etats en vertu des modifications actuellement apportées à la directive 97/66 relative à la vie privée dans le secteur des télécommunications.

6. Les chapitres 6 et 7 de l’avis insistent sur les obligations en termes de sécurité et de confidentialité des données, ainsi que sur l’obligation de limiter au minimum la durée de conservation des données. On remarquera que l’adoption récente de la loi relative à la criminalité informatique étend la durée de conservation des données de trafic des fournisseurs d’accès à Internet, dans un sens contesté par la Commission de la protection de la vie privée et par la Commission européenne (voyez la notification adressée à la Belgique, disponible sur le site de la Chambre.

7. Pour répondre aux demandes des entreprises toujours plus nombreuses qui s’adressent à elle afin de connaître les conditions de transmission des données vers des pays tiers à l’Union européenne, la Commission explicite dans le chapitre 8 les modalités de tels transferts, ainsi que les règles applicables à la collecte de données de citoyens européens depuis un pays tiers.

8. L’avis émet enfin plusieurs observations relatives au bon usage des codes de conduite en matière de marketing direct. Il souligne en outre que, en termes d’efficacité, le respect de la loi devrait s’accompagner d’initiatives de différents secteurs professionnels et notamment de concepteurs de hardware et de software. Ces derniers disposent en effet de technologies (que l’on appelle communément les « privacy enhancing technologies ») qui, mises au service de la protection des données, ne peuvent que faciliter la mise en œuvre de cette protection.

Plus d’infos

En consultant l’avis commenté ci-dessus, en ligne sur ce site dans la rubrique Législation