Les demandes de confidentialité révèlent à quel point de nombreuses entreprises gèrent mal les données des consommateurs

Les droits des consommateurs en matière de données se heurtent à des systèmes réels désordonnés

Un test récent de plus de 100 demandes d’accès aux données de consommateurs suggère qu’un droit garanti sur le papier peut encore s’effondrer fortement dans la pratique. L’enquête a mis en lumière la manière inégale dont les entreprises ont répondu lorsqu’on leur a demandé de fournir des copies d’informations personnelles collectées en vertu du California Consumer Privacy Act, ou CCPA. Certaines sociétés ont remis de volumineux dossiers de données d’utilisateurs. D’autres ont créé de la confusion, introduit des retards ou semblé traiter une demande d’accès comme s’il s’agissait d’une demande d’effacement complet des dossiers.

Il en ressort le portrait d’un régime de confidentialité qui existe, mais qui reste souvent difficile à utiliser pour les gens ordinaires. Le CCPA accorde plusieurs droits importants, notamment la possibilité de refuser la vente de ses données, d’en demander la suppression et d’obtenir une copie des informations qu’une entreprise détient sur soi. Dans ce cas, l’enquête s’est concentrée uniquement sur le droit d’accès, une demande relativement simple en principe : dire à une personne quelles données ont été collectées à son sujet.

Mais ce qui s’est produit, le plus souvent, relevait d’une friction administrative. Il fallait retrouver les canaux de dépôt approuvés, naviguer entre formulaires web, e-mails et numéros de téléphone figurant dans les politiques de confidentialité, et répéter les étapes de vérification d’identité. Les entreprises disposent d’un délai pour satisfaire ces demandes, mais l’enquête a montré que le chemin vers la conformité pouvait déjà être pénible avant même la fin de ce délai.

Quand les demandes d’accès sont prises pour des demandes de suppression

L’un des échecs les plus frappants décrits dans l’enquête n’était pas seulement le retard, mais la confusion entre catégories. Certaines entreprises auraient répondu à des demandes d’accès par des messages concernant la suppression d’informations, malgré des instructions explicites de ne pas le faire. C’est important, car l’accès et la suppression ne sont pas des droits interchangeables. Un consommateur qui demande ce qu’une entreprise sait de lui formule une demande juridique et pratique différente d’une demande visant à faire effacer des dossiers.

Si une entreprise ne peut pas distinguer de manière fiable ces deux demandes, cela soulève des questions plus larges sur la maturité réelle de ses opérations de confidentialité. Un système de conformité fonctionnel devrait être capable d’identifier le type de demande, de l’acheminer correctement et de communiquer clairement avec le consommateur. Quand cela ne se produit pas, la charge retombe sur la personne, qui doit corriger l’entreprise, suivre le processus et espérer qu’aucune action indésirable n’a déjà eu lieu.

L’enquête a notamment cité un exemple impliquant Crunchbase, où une demande d’accès envoyée par e-mail aurait explicitement précisé qu’aucune suppression n’était demandée. Malgré cela, la confusion est apparue très tôt dans le processus. Ce type de dysfonctionnement montre une faiblesse récurrente de l’administration de la vie privée : les politiques peuvent être rédigées avec une précision juridique, tandis que l’exécution dépend de flux de travail fragmentés, d’un support externalisé ou d’outils de conformité mal intégrés.

Certaines entreprises peuvent fournir rapidement des dossiers exhaustifs

L’enquête a aussi montré que des systèmes de réponse robustes sont possibles. Une demande adressée à McDonald’s a produit en quelques jours un rapport de 515 pages, détaillant de manière très fine les interactions avec l’application. Cette réponse illustre deux réalités parallèles de l’économie des données moderne. Premièrement, de nombreuses entreprises collectent et conservent bien plus d’informations comportementales que la plupart des utilisateurs ne l’imaginent sans doute. Deuxièmement, au moins certaines entreprises ont mis en place l’infrastructure interne pour récupérer et assembler ces informations rapidement lorsque c’est nécessaire.

Ces deux réalités comptent ensemble. Une entreprise capable de répondre en détail montre que la conformité est opérationnellement réalisable. Mais l’ampleur même du dossier communiqué souligne aussi à quel point les services numériques observent et stockent en profondeur l’activité des utilisateurs. Les demandes d’accès font donc plus que tester la conformité juridique : elles révèlent le volume et la texture sous-jacents de la collecte de données personnelles.

Pour les consommateurs, cela peut être éclairant. Voir le dossier réel peut révéler combien d’informations une application mobile, une plateforme de fidélité ou un service en ligne a accumulées au fil du temps. Pour les régulateurs et les défenseurs, ces divulgations peuvent aider à distinguer les déclarations sur la protection de la vie privée des capacités et pratiques réelles au sein d’une entreprise.

Le droit de la vie privée n’est efficace que par les գործընթացus qui le soutiennent

Les défenseurs des consommateurs cités dans l’enquête ont réagi vivement à la mauvaise gestion de certaines demandes. Leur critique visait un problème politique familier : les cadres qui reposent sur le sens des responsabilités et la bonne foi des entreprises peuvent paraître solides sur le papier tout en produisant des résultats incohérents dans la pratique. Si l’expérience est lente, confuse ou sujette aux erreurs, beaucoup de gens abandonnent tout simplement avant même d’exercer leur droit.

Un tel obstacle pratique peut être aussi important qu’un refus formel. Les droits qui exigent de la persévérance, une compréhension technique et des relances répétées sont moins accessibles que ceux qui peuvent être exercés au moyen d’un processus prévisible et bien conçu. La loi peut définir ce qui doit se passer, mais le consommateur ne perçoit que l’interface, le système d’assistance et le résultat.

Il y a aussi une question de gouvernance derrière ces anecdotes. Si les entreprises doivent indiquer les modalités de dépôt dans leurs politiques de confidentialité, mais qu’elles refusent ensuite de traiter les demandes par ces mêmes voies, le problème n’est plus seulement une gêne. Il devient une question de cohérence entre la divulgation, les opérations de conformité et le comportement visible par les clients.

• L’enquête portait sur les demandes d’accès, et non sur les demandes de suppression ou d’opt-out.
• Les entreprises disposent d’un délai pouvant aller jusqu’à 45 jours pour traiter les demandes.
• Selon les rapports, certaines réponses ont confondu droits d’accès et processus de suppression.
• Au moins une entreprise a renvoyé en quelques jours un fichier de données personnelles très détaillé.

La leçon générale est que l’application des droits sur les données dépend désormais fortement de la compétence opérationnelle. Les consommateurs n’interagissent pas directement avec les textes de loi ; ils interagissent avec des portails, des e-mails, des centres d’appels et des systèmes de vérification. Si ces systèmes sont mal conçus, le droit devient fragile même lorsque la loi est claire.

Pour le débat sur la vie privée, c’est un signal important. La prochaine phase de la protection des données des consommateurs dépendra peut-être moins de la création de nouvelles catégories de droits que de la capacité à rendre les droits existants utilisables, fiables et difficiles à mal gérer. Les droits d’accès sont censés rendre la collecte de données lisible pour le public. Lorsque les entreprises ne parviennent pas à les traiter correctement, elles révèlent non seulement des lacunes de conformité, mais aussi l’état encore inachevé de la responsabilité numérique.

Cet article est basé sur un reportage d’Ars Technica. Lire l’article original.