- Le PFPDT confirme que le traitement des données de la Supercard Coop est en principe conforme aux règles, mais recommande diverses adaptations que Coop a acceptées.
- Les consentements et les obligations d’information existent, mais les formules d’opt-out et les indications relatives aux allégations de santé doivent être précisées ou supprimées.
- Les demandes d’information sont traitées de manière centralisée ; les portefeuilles de segmentation ne sont pas considérés comme des secrets d’affaires, mais les détails des calculs peuvent rester protégés.
Dans le cadre d’un contrôle a posteriori, le PFPDT a analysé les flux de données en rapport avec la Supercard Coop et vérifié le respect des dispositions légales en matière de protection des données. Il a constaté une “image globale positive du traitement des données”, mais a présenté dans son rapport final différentes propositions d’adaptation. Coop les a acceptées.
Consentement, obligation d’information
L’objet du contrôle ultérieur était l’analyse du panier d’achat introduite en septembre 2012. Coop stipule expressément dans ses CGV que le client consent à l’analyse de profils de clients (c’est-à-dire de profils de la personnalité), et ce de manière volontaire et explicite. Ainsi, l’obligation d’information selon la LPD 14 est également remplie :
En ce qui concerne la Supercard, Coop enregistre en principe tous les achats des clients enregistrés chez elle (si la carte est présentée à la caisse et si le client a accepté les nouvelles CGV) et peut ainsi se faire une idée des habitudes de consommation des personnes, ce qui permet à un Profil de personnalité au sens de l’art. 3 let. d LPD. Comme déjà mentionné au ch. 5.2. du présent rapport final, Coop informe dans les CG relatives à Supercard que “des analyses du panier d’achat sont effectuées sur la base des achats effectués auprès du groupe Coop, ce qui permet de refléter le comportement et le profil des consommateurs.” Il est également précisé que Coop utilise ces données pour à des fins de marketing et de publicité et les analyse.. Coop remplit ainsi son devoir d’information conformément à l’article 14, alinéa 1 de la LPD.
Tant sur le talon d’inscription que sur le formulaire d’inscription en ligne, les clients confirment explicitement qu’ils autorisent Coop à traiter les données de leur panier d’achat en vue de créer un profil client. Il s’agit donc d’une Consentement des clients pour le traitement de profils de la personnalité au sens de l’art. 4, al. 5, 2e phrase LPD. En outre, Coop indique encore une fois séparément sur l’inscription les chiffres pertinents des CG concernant son traitement de données en relation avec le profilage des clients et la publicité, ce qui est à saluer du point de vue de la transparence (art. 4 al. 2 LPD).
Le client a en outre la possibilité de révoquer son consentement à la réception de publicité sur le site web de Coop (opt-out). Le PFPDT estime toutefois – à juste titre – que la formulation utilisée pour la case à cocher qui s’y trouve n’est pas suffisante :
La formulation sur la page d’accueil “Veuillez m’envoyer des informations sur la Supercard par courrier” est toutefois ambiguë. Il ne ressort pas clairement qu’il s’agit de publicité ciblée sur la base de la participation au programme Supercard. Dans un souci de transparence, conformément à l’article 4, paragraphe 2 de la LPD, la formulation doit être adaptée en conséquence.
Le PFPDT propose donc le texte suivant :
“Par la présente, je souhaite renoncer à recevoir des publicités et des offres basées sur mon comportement d’achat en rapport avec Supercard”.
(Il s’agit probablement de : “Par la présente, je déclare vouloir … renoncer”).
En relation avec l’obligation de transparence, le PFPDT recommande en outre de supprimer une mention peu claire dans les CGV concernant les indications relatives à la santé. Coop voulait ainsi couvrir l’évaluation d’indications lors de l’achat de produits pour personnes allergiques. Or, la mention correspondante n’est pas claire et doit donc être supprimée, d’autant plus qu’aucune segmentation de la clientèle en fonction de la santé n’est effectuée (ce qui serait de toute façon disproportionné selon le PFPDT). On peut toutefois se demander si le PFPDT considère ainsi que collecte involontaire et non systématique de données personnelles sensibles ne tombe pas sous le coup de l’art. 14 LPD, car sinon Coop devrait informer expressément de la collecte de ces données et du but de cette collecte. Cela correspondrait à l’avis de David Rosenthal ; Astrid Epiney est d’accord.
Droit d’accès, refus
Il est également intéressant de noter que le PFPDT indique que toutes les demandes de renseignements adressées au Service juridique être transmise. Toutes les entreprises ne rattachent pas cette fonction directement au service juridique (une alternative est par exemple le service clientèle, pour autant que des instructions existent pour les cas clairs et qu’un processus soit défini pour escalader les cas moins clairs vers le service juridique). Coop semble également vouloir examiner la possibilité de confier cette fonction à un autre service à l’avenir. – Dans ce contexte, le PFPDT s’exprime également en marge sur la question de savoir ce qui constitue un secret d’affaires (il n’est pas tout à fait clair pourquoi la LPD 9 IV était applicable compte tenu de la transmission d’adresses de clients par des tiers) :
Contrairement à l’avis de Coop, le Portefeuille de segmentation comme indiqué au point 7.2. du présent rapport final pas de secret d’affaires qui l’emporteraient sur le droit d’accès d’une personne concernée au sens de l’article 9 LPD. En revanche, il n’est pas nécessaire de communiquer le mode de calcul exact par lequel Coop Supercard est parvenue à ces résultats, car cette information est considérée comme un secret d’affaires et donc comme un motif de restriction au sens de l’art. 9 al. 4 LPD. Il suffit que Coop donne ici des informations de manière générale.
Cette dernière restriction correspond à la Jurisprudence Schufa de la Cour fédérale de justice.
Rapport final du 14 décembre 2015:
[pdf-embedder url=“http://datenrecht.ch/wp-content/uploads/2016/02/SchlussberichtzumKundenbindungsprogrammSupercard28Nachkontrolle291.pdf”]