L’IAB (Internet Advertising Bureau) a récemment dévoilé une nouvelle version de sa « Privacy Policy », un guide essentiel pour les entreprises du secteur numérique, conforme à la loi belge sur la protection de la vie privée. Élaborée par la Privacy Task Force de l’IAB-Belgium, cette charte propose des recommandations clés, notamment la préférence pour le système d’opt-in en marketing direct, où le consentement explicite du consommateur est requis avant toute démarche commerciale. Ce changement s’inscrit dans un contexte législatif évolutif, la Commission européenne envisageant de généraliser ce principe. La politique souligne également le droit d’accès et de rectification des données personnelles, accessible par voie postale ou électronique. Pour garantir la sécurité des communications, l’IAB recommande l’utilisation de signatures digitales certifiées, tout en fixant une durée de conservation des données d’un an maximum, sauf si des réponses sont reçues à des sollicitations. Concernant les forums de discussion, l’IAB préconise l’instauration d’un modérateur pour minimiser les risques de responsabilité. La charte insiste sur la nécessité d’informer les utilisateurs sur leurs données de navigation, soulignant que toute information pouvant être attribuée à une personne doit respecter les obligations de protection de la vie privée. Enfin, l’IAB appelle à la transparence sur l’utilisation des cookies et applets Java, suggérant d’informer les internautes non seulement de leur existence, mais aussi de l’exploitation des données collectées. Ces recommandations visent à renforcer la confiance des consommateurs dans un environnement numérique en constante évolution.
L’IAB (‘Internet Advertising Bureau) vient de présenter officiellement la nouvelle mouture de sa « Privacy Policy ».
Cette charte sur la protection de la vie privée constitue un guide de conduite on-line dans le strict respect de la loi du 8 décembre 1992 relative à la protection de la vie privée.
Ce projet a été piloté par la Privacy Task Force du Standards & Practices Committee de l’IAB-Belgium.
Cette privacy policy se présente comme une liste de recommandations pour les différents types de sociétés actives au sein de l’IAB et de l’Internet en général.
Sans entrer dans les détails de cette recommandation fouillée, relevons-en les particularités principales.
Au titre spécifique du marketing direct, la recommandation relève que « le système de l’opt-in doit être préféré (l’accord d’être démarché doit être donné). »
Pour rappel, la directive du 20 mai 1997 sur les contrats à distance avait consacré le système inverse de l’opt-out. selon le système de l’opt-out, il appartient au consommateur d’effectuer la démarche de s’opposer aux communications non sollicitées.
Par contre, la directive sur le commerce électronique n’impose aucun des deux systèmes, en se contentant d’imposer des obligations aux Etats membres qui autorisent le spamming.
La directive du 15 décembre 1997 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des télécommunications prévoit aussi un choix entre les deux systèmes pour les Etats membres. Il en va d’ailleurs de même pour la proposition de directive sur la vente à distance de services financiers.
Actuellement, rien n’impose donc aux Etats membres de choisir l’un ou l’autre des systèmes.
Cependant, la problématique va plus que vraisemblablement évoluer dans le sens d’une généralisation du système de « l’opt-in ». La commission européenne a en effet, proposé une directive concernant « le traitement de données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques » qui prévoit que l’utilisation du courrier électronique à des fins de prospection directe ne peut être autorisée que si elle vise des abonnés ayant donné leur consentement préalable.
La recommandation rappelle ensuite que le droit d’accès et de rectification de ses données personnelles « pourra être exercé par voie postale ou électronique »
Point non négligeable, l’IAB recommande que le membre soit attentif au « problème de preuve posé par les communications électroniques« . Pour réduire ce risque, la recommandation propose de recourir aux signatures digitales certifiées par une autorité de certification.
Quand à la durée de conservation des informations collectées (qui doit être justifiée par la finalité de leur traitement et déterminée dans la charte), l’IAB recommande que ces données soient « supprimées au maximum un an après leur collecte ou lorsqu’ils n’ont pas répondu deux sollicitations successives« .
Se prononçant ensuite sur les forums de discussions, la recommandation suggère à ses membres de mettre en place « un modérateur qui supprimera, avant sa diffusion sur Internet, toute contribution susceptible d’engager sa responsabilité« . Il s’agit d’un choix opéré par l’IAB qui se positionne ainsi face au dilemme suivant: mettre un modérateur accroît sans doute le poids de la responsabilité de l’éditeur du site … tandis que ne pas en mettre augmente le risque de diffusion par le biais du site d’une contribution illicite qui pourrait engager la responsabilité du responsable du site…
Quant aux variables de navigation (adresse TCP/IP, marque et version du navigateur, langue, referrer…) l’IAB rappelle que dès qu’une donnée de connexion peut être attribuée à une personne, directement ou par le biais de croisement d’informations, « toutes les obligations légales en matière de protection de la vie privée sont d’application, et en particulier : le devoir d’information sur les finalités du traitement, l’identité du responsable du traitement et les droits des personnes concernées, à savoir l’obligation d’un traitement loyal, légitime et exact, l’obligation de permettre l’exercice du droit d’accès et de rectification, et l’obligation de permettre à l’internaute concerné de s’opposer à l’utilisation de ses données à des fins de marketing direct. »
Cependant, même sans identification concrète, l’IAB insiste pour que le temps de conservation soit proportionnel à la finalité du traitement. Par exemple, elle estime que « une durée d’une semaine (…) est certainement suffisante lorsque les données de connexion ne sont conservées qu’à des fins statistiques (…) sans préjudice d’obligations légales de conservation qui pèseraient sur certains membres (par exemple un fournisseur d’accès)« .
Abordant ensuite le cas particulier des cookies et applets Java, la recommandation propose d’informer les internautes non seulement sur l’existence même de ces procédés, mais également sur l’exploitation des données collectées à partir de ceux-ci.
La recommandation est disponible en ligne en cliquant ici.
Vous avez besoin d'un avis personnalisé
ou d'une aide juridique ?
