L’industrie de la publicité en ligne adopte sa « privacy policy »

Publié le 19/06/2001 par Maxime Le Borne

L’IAB (‘Internet Advertising Bureau) vient de présenter officiellement la nouvelle mouture de sa « Privacy Policy ». Cette charte sur la protection de la vie privée constitue un guide de conduite on-line dans le strict respect de la loi du 8 décembre 1992 relative à la protection de la vie privée. Ce projet a été piloté par…

L’IAB (‘Internet Advertising Bureau) vient de présenter officiellement la nouvelle mouture de sa « Privacy Policy ».

Cette charte sur la protection de la vie privée constitue un guide de conduite on-line dans le strict respect de la loi du 8 décembre 1992 relative à la protection de la vie privée.
Ce projet a été piloté par la Privacy Task Force du Standards & Practices Committee de l’IAB-Belgium.

Cette privacy policy se présente comme une liste de recommandations pour les différents types de sociétés actives au sein de l’IAB et de l’Internet en général.

Sans entrer dans les détails de cette recommandation fouillée, relevons-en les particularités principales.

Au titre spécifique du marketing direct, la recommandation relève que « le système de l’opt-in doit être préféré (l’accord d’être démarché doit être donné). »

Pour rappel, la directive du 20 mai 1997 sur les contrats à distance avait consacré le système inverse de l’opt-out. selon le système de l’opt-out, il appartient au consommateur d’effectuer la démarche de s’opposer aux communications non sollicitées.
Par contre, la directive sur le commerce électronique n’impose aucun des deux systèmes, en se contentant d’imposer des obligations aux Etats membres qui autorisent le spamming.

La directive du 15 décembre 1997 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des télécommunications prévoit aussi un choix entre les deux systèmes pour les Etats membres. Il en va d’ailleurs de même pour la proposition de directive sur la vente à distance de services financiers.

Actuellement, rien n’impose donc aux Etats membres de choisir l’un ou l’autre des systèmes.

Cependant, la problématique va plus que vraisemblablement évoluer dans le sens d’une généralisation du système de « l’opt-in ». La commission européenne a en effet, proposé une directive concernant « le traitement de données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques » qui prévoit que l’utilisation du courrier électronique à des fins de prospection directe ne peut être autorisée que si elle vise des abonnés ayant donné leur consentement préalable.

La recommandation rappelle ensuite que le droit d’accès et de rectification de ses données personnelles « pourra être exercé par voie postale ou électronique »

Point non négligeable, l’IAB recommande que le membre soit attentif au « problème de preuve posé par les communications électroniques« . Pour réduire ce risque, la recommandation propose de recourir aux signatures digitales certifiées par une autorité de certification.

Quand à la durée de conservation des informations collectées (qui doit être justifiée par la finalité de leur traitement et déterminée dans la charte), l’IAB recommande que ces données soient « supprimées au maximum un an après leur collecte ou lorsqu’ils n’ont pas répondu deux sollicitations successives« .

Se prononçant ensuite sur les forums de discussions, la recommandation suggère à ses membres de mettre en place « un modérateur qui supprimera, avant sa diffusion sur Internet, toute contribution susceptible d’engager sa responsabilité« . Il s’agit d’un choix opéré par l’IAB qui se positionne ainsi face au dilemme suivant: mettre un modérateur accroît sans doute le poids de la responsabilité de l’éditeur du site … tandis que ne pas en mettre augmente le risque de diffusion par le biais du site d’une contribution illicite qui pourrait engager la responsabilité du responsable du site…

Quant aux variables de navigation (adresse TCP/IP, marque et version du navigateur, langue, referrer…) l’IAB rappelle que dès qu’une donnée de connexion peut être attribuée à une personne, directement ou par le biais de croisement d’informations, « toutes les obligations légales en matière de protection de la vie privée sont d’application, et en particulier : le devoir d’information sur les finalités du traitement, l’identité du responsable du traitement et les droits des personnes concernées, à savoir l’obligation d’un traitement loyal, légitime et exact, l’obligation de permettre l’exercice du droit d’accès et de rectification, et l’obligation de permettre à l’internaute concerné de s’opposer à l’utilisation de ses données à des fins de marketing direct. »

Cependant, même sans identification concrète, l’IAB insiste pour que le temps de conservation soit proportionnel à la finalité du traitement. Par exemple, elle estime que « une durée d’une semaine (…) est certainement suffisante lorsque les données de connexion ne sont conservées qu’à des fins statistiques (…) sans préjudice d’obligations légales de conservation qui pèseraient sur certains membres (par exemple un fournisseur d’accès)« .

Abordant ensuite le cas particulier des cookies et applets Java, la recommandation propose d’informer les internautes non seulement sur l’existence même de ces procédés, mais également sur l’exploitation des données collectées à partir de ceux-ci.

La recommandation est disponible en ligne en cliquant ici.