Il y a exactement quatre ans, le Règlement Général sur la Protection des Données (RGPD) entrait en vigueur. En conséquence, toutes les entreprises ont dû mettre en œuvre une politique plus stricte en matière de données et de vie privée, y compris sur leur site web. Mais deux tiers des entreprises belges ne semblent toujours pas se conformer aux règles du GDPR pour les sites web. C’est ce qui ressort d’une enquête menée par l’agence de marketing en ligne namuroise Universem et le cabinet juridique Lexing.

Les règles du RGPD ont fondamentalement changé le traitement des données. Les entreprises sont tenues d’appliquer une série de mesures de protection pour l’utilisation, le traitement et le stockage des données personnelles récoltées en ligne. Cela concerne, entre autres, les cookies. Grâce à une combinaison de suivi et de profilage, les cookies sont devenus le moyen le plus courant de suivre le comportement des utilisateurs du web afin de leur envoyer des messages ciblés. Le traitement des données personnelles collectées par les cookies doit respecter les règles du RGPD. En outre, leur installation et leur utilisation sont également soumises à la loi sur la vie privée en ligne, qui est plus stricte en Belgique car l’utilisateur doit donner son autorisation explicite avant l’installation des cookies.

« Au cours des 4 dernières années, souligne Hubert de Cartier, partner et project director d’Universem,  nous avons constaté une augmentation considérable de l’intérêt des consommateurs pour la vie privée. Ils veulent savoir comment leurs données sont utilisées par les entreprises. Les organisations ne peuvent ignorer cette demande légitime, car elle peut leur porter préjudice, notamment par des amendes, mais aussi par une confiance qui diminue, voire disparaît complètement. Nous conseillons donc à nos clients de réfléchir à une stratégie à long terme en ce qui concerne la collecte de données, les stratégies de marketing et la communication. Une règle de base utile s’applique déjà à presque tout le monde : ne collectez pas les données dont vous n’avez pas besoin. »

6 sites sur 100 entièrement conformes

Universem, en collaboration avec Lexing, un cabinet d’avocats spécialisé dans le droit des technologies, a ainsi réalisé une étude sur l’application de la législation RGPD sur les sites internet belges. L’étude a été réalisée sur 100 sites de grandes entreprises, sur la base du « Top 5000 » du magazine Trends-Tendances. La sélection s’est faite sur base du chiffre d’affaires et de la présence d’un site .be.

Tous les sites ont été étudiés et analysés selon différents critères et notés sur 18 points. Cela a permis de les classer en quatre catégories, allant de « pas du tout conforme au RGPD » à « entièrement conforme au RGPD ».  

Seuls 6 % des sites analysés sont totalement conformes aux règles et obtiennent un score supérieur à 15,5 sur 18. 28 % obtiennent un score compris entre 11,5 et 15,5 sur 18. Cela signifie que 34 % des entreprises se conforment à la majorité des règles et s’efforcent de placer la protection des données de leurs utilisateurs en tête de leurs priorités. 

28 % ont obtenu un score compris entre 6,5 et 11,5 sur 18 et sont considérés comme « peu conforme ». Et le groupe le plus important a obtenu moins de 6,5 sur 18. Il est considéré comme « pas du tout conforme au RGPD ». Cette étude montre ainsi que 66 % soit deux tiers des entreprises analysées n’ont pas installé de contrôles et de mesures de protection suffisants.

Bannières de cookies : bien établies, mais cela ne dit pas tout!

Après l’entrée en vigueur de la directive sur la vie privée en ligne et du RGPD, le nombre de bannières et de pop-ups informant les internautes sur les cookies a considérablement augmenté. L’étude d’Universem et de Lexing montre que 86 % des sites analysés comportent une bannière de cookies. 

20 % de ces bannières avertissent seulement l’utilisateur que des cookies seront installés s’il poursuit sa visite (bannière informative). 8 % offrent la possibilité de refuser ou d’accepter tous les cookies en un seul clic (single level consent). La majorité, 58 %, utilise une application plus avancée et propose une sélection, parfois très poussée, des types de cookies autorisés (multi level consent).

Néanmoins, les chercheurs concluent qu’il y a encore des choses qui ne vont pas avec la bannière permettant aux visiteurs de donner leur autorisation pour les cookies. Dans près de la moitié des cas, un cookie est déjà placé, avant que l’utilisateur ait exprimé son opinion. Cela va également à l’encontre de l’esprit du règlement RGPD.

Enfin, le fait de disposer d’une bannière est un début, mais ne suffit pas pour se conformer à l’intégralité de la directive sur la vie privée en ligne et du RGPD. Les sites doivent également contenir des informations plus générales sur le traitement des données effectué. 

Sur ce point, les résultats de l’étude sont plutôt optimistes. La plupart des entreprises interrogées connaissent les règles relatives à la protection des données des utilisateurs et l’indiquent explicitement sur leurs sites. 79 % des entreprises ont une politique de confidentialité sur leur site et 63 % ont une politique en matière de cookies.

Pénalités financières et atteinte à l’image

L’Autorité de Protection des Données (APD) contrôle la conformité du marketing digital, des outils analytiques et des cookies. Les risques d’enquête et de sanctions financières sont réels. Elles peuvent s’élever à 4 % du chiffre d’affaires mondial du groupe auquel appartient l’entreprise pénalisée.

Outre les risques de sanctions en cas de non-conformité, les entreprises ne doivent pas perdre de vue que les internautes sont de plus en plus conscients de leurs droits et sont sensibles au respect de leur vie privée. Le nombre de questions, de plaintes et de décisions de justice concernant la protection et la confidentialité des données a fortement augmenté ces dernières années. La transparence à ce niveau est une valeur importante pour l’image de marque des entreprises.

« Au-delà du caractère anecdotique vaguement ennuyeux des bannières cookies, conclut Alexandre Cassart, partner de Lexing Belgium, « toutes les parties prenantes doivent comprendre l’importance des traitements de données effectuées au départ des sites web et de la nécessaire transparence de ceux-ci. À défaut, l’Autorité de Protection des Données se chargera de le rappeler en frappant les entreprises au portefeuille. »