Site commercial et protection des données
Un site de e-commerce doit traiter les données récoltées sur ses clients de manière transparente et sécurisée.
Afin de gagner la confiance des clients et satisfaire aux exigences légales, une entreprise exploitant un site de e-commerce doit appliquer une politique stricte de protection de la sphère privée.
Loi fédérale sur la protection des données
Toutes les entreprises suisses qui traitent les données de personnes physiques sont soumises à la nouvelle loi sur la protection des données. Celle-ci est entrée en vigueur le 1er septembre 2023.
Dans cette optique, les PME doivent vérifier si les déclarations sur la protection des données figurant sur leur site de e-commerce correspondent aux nouvelles exigences légales. Elles doivent tenir compte d’un certain nombre de nouveautés telles que l’introduction de l’obligation d’informer au préalable de la collecte de toutes les données personnelles (et non plus uniquement de données dites sensibles) ou des principes de "Privacy by Design" et de "Privacy by Default".
Comme son nom l’indique, le principe de "Privacy by Design" (protection des données dès la conception) implique, pour les développeurs, d’intégrer la protection et le respect de la vie privé des utilisateurs dans la structure même du site e-commerce amené à collecter des données personnelles. Le principe de "Privacy by Default" (protection des données par défaut) assure quant à lui le niveau de sécurité le plus élevé dès la mise en ligne du site, en activant par défaut, c’est-à-dire sans aucune intervention des utilisateurs, toutes les mesures nécessaires à la protection des données et à la limitation de leur utilisation. Autrement dit, tous les logiciels, le matériel et les services du site e-commerce doivent être configurés de manière à protéger les données et à respecter la vie privée des utilisateurs.
Vous trouverez de plus amples informations sur le site du Préposé fédéral à la protection des données et à la transparence (PFPDT).
Recommandations pour la protection des données
En ce qui concerne la protection des données, il est fortement recommandé d'adopter les pratiques suivantes:
- Mettre à disposition une déclaration de protection des données sur le site de e-commerce (voir ci-dessous).
- Utiliser des techniques d'authentification de l'utilisateur (par exemple SuisseID) et de cryptage des données (connexion sécurisée https).
- Ne demander aux clients que des informations indispensables. Les questions hors contexte engendrent la méfiance.
- Indiquer clairement quelles données personnelles sont exploitées et à quelle fin.
- Donner à l'utilisateur le droit de limiter l'usage qui est fait de ses données et leur transmission (profil de consommation, publicité).
Le préposé fédéral à la protection des données et à la transparence (PFPDT) a pour mission d'expliquer la Loi sur la protection des données et d'offrir ses recommandations dans ce domaine.
Déclaration de protection des données sur un site de e-commerce
Sur un site de e-commerce, une déclaration de protection des données sert à communiquer les méthodes mises en place pour protéger la sphère privée des utilisateurs. Afin de gagner la confiance des clients, il est recommandé de se doter d'un tel document et de l'afficher à un endroit facilement accessible sur le site.
La déclaration de protection des données doit au moins contenir les points suivants:
- A quelles dispositions légales la pratique du prestataire est-elle soumise en matière de traitement des données?
- Quelles données personnelles sont collectées et dans quel but?
- Quelles données personnelles sont communiquées à des tiers et dans quel but?
- Quels choix sont proposés à l'utilisateur quant au traitement de ses données?
- Quels sont les droits (notamment droit d'accès et droit de rectification) dont disposent les utilisateurs?
- Quel service est chargé de répondre aux questions sur le traitement des données personnelles?
- Quelles mesures de sécurité sont appliquées pour protéger les données personnelles?
