Reprendre le contrôle de ses données personnelles !

Quand on parle de protection des données, on pense souvent aux consommateurs et clients devant être vigilants sur leurs pratiques (pas toujours maîtrisées) de partage de leurs données. En quelque sorte, les annonceurs (via les médias (sociaux) sont perçus comme des aspirateurs à données personnelles pour mieux les monétiser et les revendre. Cette vision simpliste ne serait-elle pas un peu dépassée ? C’est ce qu’il faut espérer avec l’arrivée de règlements de plus en plus précis, et adaptés aux nouveaux usages digitaux.
Ainsi, le GDPR (General Data Protection Regulation) ou RGPD (Règlement général sur la protection des données), établi par la Commission Européenne, fixe, depuis 2016, les règles à mettre en place… pour mai 2018 !

La Suisse concernée ?
Ce règlement a un double impact en Suisse : d’une part, il s’applique à tout utilisateur ou client résidant en Europe et donne donc des obligations aux marques suisses en relation avec eux ; d’autre part, les futurs règlements suisses vont également s’aligner sur ce GDPR.
Autrement dit, quasiment tout annonceur et média suisse sera concerné par ce règlement européen.

Quel est le plus gros risque de non-respect de ce règlement ?
Principalement une amende, qui peut atteindre jusqu’à 4% du chiffre d’affaires annuel… autant dire que les premiers dossiers vont être suivis à la loupe par le marché !
Sous cette épée de Damoclès, comment les acteurs réagissent-ils ? Bien évidemment, la réponse doit être faite au cas par cas, avec des acteurs plus ou moins matures dans leur gestion de données clients et utilisateurs. Idéalement, une centralisation des données facilite les choses, et une organisation orientée client (plutôt qu’une organisation par silo selon les différents canaux d’interaction) permet une gouvernance et une mise en place plus rapide.

Quels sont les grands chantiers à mettre en œuvre ?
On peut notamment citer le consentement en omnicanal (proposer aux utilisateurs la gestion à tout moment de leurs préférences de partage de données sur l’ensemble des canaux) et le droit à l’oubli (permettre à tout utilisateur de demander un retrait de ses données dans le traitement commercial). Le consentement nécessite de gérer les données clients ou utilisateurs de manière centralisée, ce qui est un vrai challenge en soi. De même le droit à l’oubli nécessite de pouvoir traiter ces demandes sur l’ensemble des canaux et applications de manière centralisée, ce qui n’est pas un processus standard dans les organisations SI.
D’autres chantiers doivent être ouverts (Privacy By Design, nomination d’un Chief Data Protection Officer, portabilité des données à des fournisseurs tiers…) mais ceux-ci sont d’une moindre complexité en comparaison.

Des exemples
Etonnement, ce sont les GAFAs qui ont réagi en premier… Or, on comprend rapidement pourquoi : ce sont sans doute les organisations les plus surveillées, mais également celles qui ont construit une part importante de leur empire sur la valeur de leurs données clients ou utilisateurs.
Ainsi Google se distingue paradoxalement par une volonté de transparence, qui permet aux utilisateurs de gérer facilement leurs données , en proposant une démarche très ludique sur son site dédié (privacy.google.com). Cela permet à chaque utilisateur de comprendre quelles sont les données utilisées, et surtout quelle est leur utilité en termes d’expérience. Quand un utilisateur comprend que la géolocalisation permet de lui proposer des services de proximité plus rapidement, ou de l’avertir quand quitter son bureau pour un rendez-vous important alors qu’il y a des embouteillages sur le trajet, ce dernier sera plus enclin à partager ses données.

Tout le monde n’est pas Google, alors comment faire ?
Il s’agit avant tout de démarrer par l’expérience utilisateur et de lui proposer une façon didactique et éducative de gérer ses données. Un centre de préférences pour gérer son consentement doit répondre à ce besoin, mais il faut insister sur les services à valeur ajoutée qui découlent du partage des données. Cette refonte est d’ailleurs une occasion d’identifier de nouvelles opportunités autour de la donnée, et pas uniquement de suivre au pied de la lettre un règlement qui pourrait aboutir à un opt-out massif de sa base marketing. Ce risque est bien réel si l’on suit une approche uniquement juridique de ces règlements.
Enfin, un dernier point de vigilance reste souvent sous-estimé : les données gérées par des prestataires, agences ou autres partenaires. Il devient également urgent de ne pas confier aveuglément la gestion de ses données (même pour de simples opérations marketing) à une agence, sans avoir une démarche de protection des données clairement établie. En effet, ces principes et règlements comme le GDPR s’appliquent sur l’ensemble des données de l’entreprise, incluant celles partagées ou gérées par des tiers.
Il est donc temps de maîtriser les données personnelles de ses utilisateurs, tout en leur proposant une expérience positive et non pernicieuse. Les nouveaux règlements (GDPR notamment) doivent être donc utilisés comme levier pour reprendre le contrôle de ces données, et permettront de renouer un lien de confiance avec les utilisateurs.