RGPD-Wallet mobile-cookies-marketing-CNIL

On parle de plus en plus de l’intérêt du « Wallet mobile » dans les stratégies marketing tant les avantages en sont nombreux parmi lesquels en premier :

        La dématérialisation dans une société où de plus en plus d’utilisateurs particulièrement soucieux de ne pas porter atteinte à l’environnement, ne veulent plus pour l’utilisation de leurs produits et/ou services d’utilisation, de papiers ou de plastiques, et préfèrent désormais par une URL utilisable sur de nombreux points de contact notamment chez les retailers « ajouter en un clic » leurs documents.

Mais si le Wallet mobile n’a initialement été appréhendé que par rapport à la finalité d’être un espace de dématérialisation offrant au consommateur le service de stocker le contenu de ses différentes cartes de fidélité, d’achat, bancaires de paiement, titre de transport etc., il a très vite révélé que sa véritable valeur opérationnelle finalement résidait dans la personnalisation de la relation client avec une double finalité :

        Mettre à jour le contenu des cartes dématérialisées,

et

        Permettre d’envoyer des notifications pushs en lien avec le contenu du Wallet ou pas d’ailleurs.

Or pour ces 2 utilisations du Wallet, le responsable de traitement et/ou l’auteur de la notification push doivent respecter le RGPD et ce à plusieurs niveaux.

Ce respect du RGPD doit être pris très au sérieux, notamment pour les « Retailers » qui peuvent ainsi reprendre la main sur le client et mieux développer la mise en valeur de leur point de vente et leur Branding de marque puisque statistiquement le client « walletisé » génère un chiffre d’affaire plus important que le client « non walletisé », dans le contexte où les « messages » reçus sont davantage acceptés par rapport aux campagnes « E-mailing et/ou SMS, » classiques.

La révolution tendance pour le « Retail »  semble donc passer aujourd’hui par le « Wallet mobile », néanmoins ce nouveau parcours très prometteur du « Web to store » ou « mobile to store » / « drive store », s’il est effectivement porteur de grandes performances doit se faire en adéquation avec le RGPD interprété par la CNIL dans sa nouvelledélibération numéro 2019-093 du 4 juillet 2019 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 78 modifié, applicables aux  opérations de lecture ou écriture dans le terminal d’un utilisateur notamment aux cookies et autres traceurs.

On reviendra très prochainement, sur ce site, sur l’analyse de cette délibération du 4 juillet 2019 très importante dans l’écosystème du marketing publicitaire.

 Nous vous proposons ici un « rapide focus sur le Wallet mobile », versus RGPD à destination des acteurs de l’écosystème de l’activité marketing, en ce compris les développeurs d’applications dédiées pour bien rappeler que le concept et l’utilisation du Wallet repose sur une stratégie contractuelle qui désormais ne peut plus s’improviser et nécessite l’assistance d’un juriste spécialisé spécifiquement dans l’interprétation des problématiques liées au RGPD.

Donc le Wallet dans sa configuration première « d’espace dématérialisé » est en soi d’abord un traitement visé par l’article 4 du RGPD puisqu’il constitue bien des « actes matériels » définis par l’article 4 soit :

  « conservation », « enregistrement », « modification », «  communication par transmission », «  mise à disposition de services utilisant des données strictement personnelles et/ou identifiantes »    (article 4  § 2 du RGPD).

Donc la dématérialisation par une application Wallet doit amener son responsable de traitement Ceà prévoir la délivrance d’une information spécifique conforme aux dispositions des articles 12 et 13 du RGPD à délivrer au client lorsqu’il téléchargera l’application.

Cette information même contenue dans la licence d’utilisation proposée au moment du téléchargement du Wallet devra comprendre :

        Nécessairement la rédaction d’une politique de traitement et de confidentialité avec la détermination de la finalité et de la base juridique du traitement, ce qui pourra nécessiter aussi la désignation de sous-finalités et l’inscription de ce traitement au registre des traitements pour les entreprises concernées.

La politique de confidentialité, pour une utilisation sur une application mobile doit prévoir un contenu spécifique, et adapté au cas par cas en prévoyant donc une « Design-ergonomie » qui pour les applications mobiles tend à devenir un critère important de la notion de « traitement transparent » au regard de l’article 12 du RGPD.

Ceci sans omettre par un schéma explicatif clair les conditions dans lesquelles les données dématérialisées peuvent être supprimées, mises à jour, et exportées par l’utilisateur, sans oublier aussi lorsqu’elle s’applique l’organisation de la portabilité par application de l’article 20 RGPD.

Mais le nouvel intérêt du Wallet, qui explique son engouement dans la démarche marketing actuelle et qu’il permet 3 types de push notification :

        1) push notification d’applications mobiles pour les messages d’alerte par rapport à des objectifs marketings : (alerte de nouveaux contenus de nature informative ou contenant une offre spécifique ; alerte à vocation de services spécifiquement pour la gestion des Wallets de compte bancaire cartes de paiement, relance concernant l’activité e-commerce concernant des paniers abandonnés notamment 

        2)push notification de géolocalisation : déclenchée lorsque l’utilisateur de l’application se trouve dans le secteur géographique ciblé permettant notamment une sollicitation publicitaire ou une incitation « drive to store » pour le Retail.

        3)Push notification de sites Web pour les messages d’alerte : signalant une nouvelle information d’offres à l’occasion d’une visite de page de sites Web.

(Pour ces 3 définitions nous citons B Bathelot in Glossaires ; » Marketing des applications/Marketing mobile version du 24/03/2017)

Dans les 3 cas ces Pushs notification impliquent évidemment le principe de « l’opt-in », mais utilisant des cookies et des traceurs la « politique d’Opt-in » doit être entièrement revue et adaptée aux exigences du RGPD en sachant faire la différence entre :

Le traitement des données « sui generis »,

Et le traitement du « traitement spécifique » du dépôt de cookies, de l’utilisation et de la lecture des « informations cookies », et d’une « publicité ciblée ».

Mais cette pratique de L’opt-in vient d’être totalement réaménagée par la CNIL qui, au regard de sa délibération précitée du 4 juillet 2019, vient de redéfinir les bases juridiques de ce que l’on peut qualifier des « outils notamment Marketing, de l’écosystème numérique de l’économie de l’attention ».

La délibération de la CNIL du 04/07/19, recadre la notion de « terminal de l’abonné ou de l’utilisateur » en posant par interprétation, et du RGPD, et des directives dites :

        « Vie privée et commerce électronique », dans ses versions de 2002 et 2009,

        « Concurrence dans les marchés de terminaux de télécommunications »,

Une nouvelle norme de « droit souple » bien sûr opposable aux acteurs de l’écosystème en rappelant que notamment le Smartphone est un terminal et que :

Toutes les informations « stockées et/ou consultées » et sous le vocable « consultées », le lecteur voudra bien entendre « partagées par autorisation de lecture donnée à des tiers », sont soumises au consentement de la personne, lequel doit désormais être donné « au-delà de l’Opt- in » c’est-à-dire dans les formes et conditions prévues par les articles 4 § 11 et 7 du RGPD.

Au regard de ces nouvelles recommandations, la CNIL invite les acteurs de l’écosystème à, réorganiser leurs pratiques contractuelles, notamment pour se répartir la charge de l’organisation contractuelle de la preuve du recueil du consentement en tant que tel, sans oublier de bien organiser les nouvelles conditions de validité du consentement qui passent donc par un parcours très spécifique sur :

        Une information préalable sur le détail des finalités quant à l’utilisation du cookie, (Dépôt et lecture du contenu, et son partage).

        Et, des informations permettant aux personnes concernées d’exercer leurs droits, par exemple concernant le droit de ne plus recevoir de push notification entre autres.

Donc, l’aspect « facile » du Wallet mobile associé à la push notification est au cœur de réalités juridico-économiques très importantes.

Par contre, le but de cet article n’est pas de « décourager » les responsables de traitement et/ou les retailers ainsi que tous les professionnels de la notification push, ne jetez pas vos Wallets à la poubelle numérique car :

        D’abord la CNIL à compter du 4 juillet 2019 laisse 6 mois pour s’adapter, même si elle ne s’interdit pas néanmoins de venir contrôler le respect du RGPD dans les grandes lignes décrites ci-dessus durant la période d’adaptation. 

Mais cette nouvelle norme sur l’utilisation des cookies et traceurs de toute nature du 4 juillet dernier, s’intègre dans un enjeu évident qui est celui d’aménager « un entre-deux » c’est-à-dire :

        Le respect du RGPD , et sa conjugaison avec le futur règlement E-Privacy qui devrait intervenir dès que la nouvelle commission européenne aura repris ses travaux.

Donc si des révisions contractuelles s’imposent dès maintenant, les réflexions sur les nouveaux « business models » de cette économie de l’attention et de la créativité pour l’utilisation des nouvelles applications doivent s’entendre comme une démarche d’ensemble anticipant l’instauration d’une nouvelle réglementation à venir irriguée par :

1. La mise en œuvre par une Directive de la résolution du Parlement européen du 12/02/2019 sur une politique industrielle européenne globale sur l’intelligence artificielle et la robotique (201/2088(INI)) ;
2. Le nouveau Règlement E-Privacy,
3. La jurisprudence nationale, et de la Cour de justice Européenne, et les normes de droit souple de la Cnil et de l’EPDB (Comité européen de la protection des données), contribuant à l’élaboration des nouveaux droits fondamentaux du numérique.

Les « Applications Wallet » survivront si elles savent s’adapter, et à l’évidence les entreprises concernées sauront mettre en œuvre l’intelligence stratégique nécessaire et les Juristes sont là pour les accompagner !

Nous vous donnons rendez-vous sur ce site très bientôt pour continuer nos études ensemble, et vous proposer nos réflexions pour agir au mieux dans cet environnement passionnant mais complexe lié à « l’économie de l’intention ».

Véronique Rondeau Abouly

Avocat–délégué à la protection des données (DPO externe)

A Marseille le 24/07/2019

En rapport avec ce texte nous vous proposons :

A venir :

Commentaires et avis sur la délibération Cnil n°2019-093 du 04/07/2019 sur les opérations de lecture ou écriture dans le terminal d’un utilisateur (cookies et autres traceurs),

Commentaires sur la résolution du parlement européen du 12/02/2019 sur un politique global sur l’intelligence artificielle et la robotique,

Nouvelles problématiques liées au « social commerce » : Les abus des avis en ligne ; les KOL ; les avatars comme nouveau levier des techniques marketing,

Et plein d’autres choses sur l’utilisation de l’Intelligence artificielle sous un angle contractuel, objets connectés etc !

Retour