Toute personne a droit au respect de son intimité (domicile, image dans un lieu privé, correspondances, télécommunications, paroles prononcées à titre privé ou confidentielles, images de vidéosurveillance si elles sont constituées en fichier nominatif, fichiers informatiques). Cependant les consommateurs ont le sentiment que leur vie privée est menacée, du fait de l’évolution des technologies de l’informatique & des communications qui facilitent de nouvelles approches de gestion de la relation client, qui exploitent de plus en plus de données pour traquer le client en temps réel (segmentation interactive, proposition en temps réel ...).

Des informations sur les clients peuvent être collectées via différentes sources, au-delà des données liées aux transactions commerciales (distribution, banque, transport, hôtel …), il est possible de suivre les activités web de quelqu’un, de le localiser via son téléphone portable, de savoir les programmes de télévision qu’il regarde ou de disposer de photos ou de films enregistrés à son insu. Au final par collecte et analyse de données, une entreprise peut savoir d’une personne ses : nom, prénom, adresses, âge, CSP... ; ce qu’il a : son patrimoine mobilier et immobilier ; ce qu’il voudrait : ses projets (court, moyen, long terme) ; ses relations (qui connaît-il et dans quel contexte ? Études, loisir, travail..) ; ses charges (nombre de personnes dans le ménage, mensualités....) ; ses revenus (salaires, primes, héritages ....) ; ses valeurs (ce qui compte pour lui, ses critères de satisfaction, ses goûts, ses loisirs) ; son évolution par rapport à un historique ; sa rentabilité passée et présente ; sa rentabilité potentielle à court, moyen et long terme.

Au-delà des indiscrétions, des fuites d’information, du piratage, des données fausses, des pannes, des malveillances, des erreurs, des usurpateurs, le danger vient surtout du rapprochement de données issues de sphères de la vie privée (finance, santé, loisirs ...) qui n’ont pas à être connues globalement par des tiers. Des processus de prêt ou d’embauche par exemple peuvent être perturbés par des rapprochements d’informations. Il est fondamental pour la vie en société que l’on puisse avoir confiance dans les systèmes de gestion des données qui doivent garantir la sécurité et la confidentialité des données nominatives.

Une organisation est responsable des données qu’elle gère et elle doit respecter les principes suivants : la collecte de données est autorisée pour des finalités définies et légitimes ; les données demandées doivent être pertinentes et proportionnées aux finalités ; dans tous les cas le client doit être informé de sa mise en fichier ; le client peut (sauf exception) s’y opposer ; les données ne peuvent être conservées au-delà de la durée nécessaire aux finalités déclarées ; le client a un droit de contrôle de la qualité, de l’utilisation et un droit de correction ; aucune entreprise ne peut transmettre des données nominatives concernant un citoyen de l’union dans un pays ne respectant pas la Directive européenne.

Trois points clés sont à bien maîtriser. Le consentement du client pour la gestion des données qui le concerne (consentement implicite ou explicite). L’interdiction de gérer certaines données sensibles (race/origine ethnique, opinions politiques, religion, affiliation à un syndicat, santé physique, mentale, vie sexuelle, condamnation). Les limites à l’utilisation des données : mailing, faxing, télémarketing incessant, cross-mailing à l’intérieur d’un groupe, spam, scoring, diffusion interne d’informations nominatives, ventes de données. À noter qu’il existe des réglementations spécifiques pour certains secteurs d’activités, c’est le cas par exemple pour le secteur des Télécommunications.

Les entreprises sont fortement incitées à respecter les règles de protection de la vie privée par les dispositions pénales suivantes :
Utiliser sans autorisation le Répertoire national d’identification des personnes physiques : 5 ans et 300k€,
entraver l’action de la CNIL : 1 an et 15k€,
Ne pas respecter l’autorisation préalable pour les traitements d’informations nominatives : 3 ans et 45k€,
manquer de précaution pour le traitement de données nominatives : 5 ans et 300k€,
utiliser un moyen frauduleux, déloyal, ou illicite pour la collecte de données nominatives ou utilisation malgré l’opposition de la personne : 5 ans et 300k€,
conserver certaines données (origines raciales, opinions politiques …) : 5 ans et 300k€,
dépasser la durée de conservation prévue lors la demande de création du système : 3 ans et 45k€,
détourner les informations de leur finalité : 5 ans et 300k€,
porter atteinte à la considération de quelqu’un ou à l’intimité de sa vie privée : 1 an et 15 k€,
etc..

Pour faire cesser l’atteinte à sa vie privée (en cas d’urgence) il convient de saisir le juge des référés. Pour accéder aux fichiers, il faut demander directement à l’organisme en question, sauf dans quelques cas (via la CNIL pour les RG, via la CNCIS pour les écoutes téléphoniques, via un médecin pour le dossier médical). Pour faire réparer un préjudice, il faut demander des dommages et intérêts auprès du tribunal de grande instance (assistance d’un avocat obligatoire). Enfin vous pouvez toujours demander à la CNIL de vous aider en cas de doute sur la démarche.

Dans ce contexte, les entreprises doivent s’organiser et définir une politique de protection. Concrètement il s’agit de définir une chartre d’engagement, de nommer un responsable, de mettre en place les processus et les moyens pour notifier l’enregistrement de données nominatives, préciser les usages, gérer les options individuelles, accéder et corriger, restreindre l’accès aux données nominatives et mettre en œuvre des niveaux de restriction, comme rendre anonyme les données nominatives avant de les analyser ou n’utiliser que des systèmes d’analyse de données qui spécifient leurs règles, etc.

Pour répondre à ces besoins, le marché propose des solutions pour intégrer les données nécessaires à la gestion de la confidentialité dans les modèles, pour utiliser des technologies spécifiques et fournir des services de Conseil et d’Intégration adaptés. Les moyens à mettre en œuvre doivent permettre aux différents acteurs de l’entreprise de n’accéder qu’aux données clients qui leur sont nécessaires pour leurs activités, et de ne disposer que de vues restrictives, le plus souvent anonymes.

Les entreprises doivent investir pour gérer les données nominatives et protéger la vie privée de leurs clients, cependant il ne faut pas voir cela comme une contrainte, mais plutôt comme une opportunité de développer, de renforcer la relation avec le client en améliorant les services et la confiance, et d’affiner la connaissance du profil client avec son accord, dans le cadre de programme de fidélisation.

Pour aller plus loin sur ce sujet vous pouvez utilement consulter les bonnes adresses ci-dessous :
http://www.cnil.fr/
http://www.privacyalliance.org/
http://www.truste.com/
http://www.privacyinternational.org/ ://