Communication
Éthique
Critic com'

Écoprospective
Voir autrement
Prospective minute
Nouvelles du futur

Éco-innovation
Entreprises
Alimentation-santé
Habitat

Sur le gril
L'invité surprise
Livre, revue, expo

Communauté
Liens choisis

En savoir plus
Les archives
L'agenda
ABCdaire

Éco-innovation

Entreprises

Solutions concrètes pour
un «business» éthique
sur Internet Par Franck Garnier 

Avril 2002 - Troisième partie de notre dossier « Enjeux économiques et risques sociaux de la marchandisation des données personnelles sur Internet »

Résumé des deux premières parties
(Voir première partie et deuxième partie)
Dans toute activité commerciale sur Internet, il y a une part qui concerne la récolte de données personnelles. Elle est obligatoire lorsqu’il s’agit de connaître le nom et les coordonnées d’un client pour lui faire parvenir sa commande ; elle est nécessaire lorsqu’il s’agit d’engager une démarche de personnalisation.

Dans ce cas, l’idée est d’atténuer le caractère impersonnel de la vente dans un environnement marqué par l’absence de contact physique entre les participants. En demandant à l’internaute de fournir au site des informations sur ses centres d’intérêts, il devient de ce fait possible de lui proposer des produits et des services adaptés.

Cette obligation et cette nécessité doivent donc être regardées comme constitutives d’une pratique normale du commerce en ligne. Ceci ne peut expliquer qu’elles soient devenues dans l’esprit de nombreux utilisateurs synonymes de menace pour leur intimité.

Cette méfiance résulte de l’application de méthodes du marketing de masse ayant migré vers Internet (échange de fichiers de consommateurs, profiling, publipostage…), et qui constituent à l’heure actuelle une part essentielle des activités de l’économie numérique. Le problème c’est que leur développement se fait sans une réelle prise en compte du risque envers la vie privée des personnes.

En réaction à ce que l’on décrit souvent comme un fichage généralisé organisé par les professionnels du marketing, certains en sont venus à défendre l’idée de la création d’un droit de propriété des individus sur leurs données personnelles. Dans la deuxième partie de ce dossier, nous avons marqué notre opposition à cette thèse, en sortant d’un débat purement économique et en abordant le sujet sous un angle sociologique. (1)

Troisième partie : l’éthique, en attendant l’efficacité et la confiance sur Internet

Si un débat existe aujourd’hui sur le thème de l’opportunité qui pourrait être laissée aux individus de monnayer eux-mêmes leurs données personnelles, c’est parce que dans les faits, les professionnels considèrent ces données comme de simples marchandises.

Ainsi, on assiste à la création constante de nouveaux fichiers et à leur commercialisation. Critiquer cette situation ne peut avoir de réel intérêt que si l’on s’interroge sur l’existence d’une alternative. Et celle-ci, si elle existe, n’a de chance d’être appliquée que si elle n’entrave en rien la bonne marche des affaires. Elle doit donc répondre à un double impératif : allier l’efficacité commerciale au respect de la vie privée des internautes. Or, effectivement, cette solution existe : c’est le Permission Marketing.

Permission Marketing : l’efficacité commerciale alliée au respect de la vie privé
Le théoricien du Permission Marketing est un Américain, pionnier du marketing en ligne, Seth Godin (2). Il pose comme principe fondamental l’autorisation préalable de l’internaute avant tout envoi d’offres commerciales par le biais du courrier électronique. C’est sur la base de ce principe (aussi appelé « opt-in ») qu’il est ensuite possible d’établir entre le site et l’internaute une relation durable et rentable, basée sur la confiance.

Le point de départ de sa réflexion est un constat que nous sommes sans aucun doute déjà très nombreux à avoir dressé : la publicité envahit notre quotidien. Que ce soit dans les médias, sur les vêtements, ou encore dans les rues et les transports en commun, il est impossible d’y échapper.

Cette surabondance de messages rend l’attention des consommateurs extrêmement difficile à capter. Les professionnels du marketing se retrouvent là face à une sorte d’ultime frontière. Pendant un temps, ils ont cru pouvoir la franchir aisément en utilisant les nouveaux outils électroniques.

Ce qu’ils pensaient être un passeport leur ouvrant la voie vers l’attention perdue des consommateurs s’est rapidement révélé un leurre. En fait comme tous pouvaient y avoir accès, ils n’ont pas tardé à saturer aussi les espaces numériques et commencer à provoquer l’engorgement des boîtes aux lettres électroniques de toute la planète.

La solution ne se trouvait donc pas dans la remise en question des outils mais dans celle des méthodes. C’est à cette tâche que s’est attelé Seth Godin.

Le Permission Marketing résout le problème de l’attention des internautes : à l’instant où l’un d’eux donne son accord explicite pour recevoir des nouvelles d’un site, les messages que celui-ci va lui expédier seront attendus, donc lus. A ce sujet, on signalera une étude réalisée cette année par Quris auprès de 1256 internautes américains, et qui nous apprend que 58 % d’entre eux lisent effectivement les messages des entreprises à qui ils ont donné une autorisation préalable (3). On est là très loin des 0,5 à 2,5 % habituellement obtenus lors des campagnes menées sans autorisation.

Une fois l’attention captée, il faut la conserver : tout spécialiste du Permission Marketing se doit de penser la relation dans la durée. Le seul moyen d’y parvenir est de délivrer des messages personnalisés. On va donc tout simplement demander à l’internaute de fournir des informations sur ses centres d’intérêts. Pour l’inciter à répondre, le site doit penser à le récompenser (cadeaux, bons d’achats, etc…) tout en lui rappelant qu’il reste maître du processus car il garde la possibilité de retirer sa permission à tout moment.

L’échange qui s’instaure permet progressivement d’expédier des messages à la pertinence maximale, ce qui augmente d’autant les chances de transformer la relation en vente. On estime ainsi que le taux de transformation d’une campagne de Permission Marketing est entre 5 à 10 fois supérieur à une campagne d’e-mail marketing « classique ».

Pertinence des messages, possibilité de bénéficier de cadeaux ou de promotions, contrôle sur les données sont les trois éléments qui assureront la fidélité de l’internaute, permettant ainsi au site de recueillir dans la durée les fruits de son engagement dans une stratégie marketing basée sur la permission.

Récapitulons : l’opt-in est à la base du Permission Marketing. La possibilité laissée à l’internaute de garder la maîtrise de ses données favorise la confiance envers le site. Ces deux règles, qui rendent performante la méthode, ne sont cependant pas les seules à favoriser en plus un haut degré de protection des données.

La troisième, aussi essentielle, est résumée par la maxime suivante : « la permission ne se transfère pas ». Autrement dit, les données personnelles de l’internaute ne doivent pas être revendues à une autre société.

A propos de cette règle, on peut dire qu’elle est complètement révolutionnaire car elle va totalement à l’encontre des pratiques habituelles du marketing sur Internet (et du marketing direct en général), où la norme est la vente et la location des fichiers.

En terme de respect de la vie privée des personnes, elle représente une garantie particulièrement forte. L’internaute a la certitude que ses données ne seront pas éparpillées aux quatre vents.

En terme d’efficacité commerciale, elle rappelle au spécialiste que le Permission Marketing est une méthode destinée à créer une relation commerciale privilégiée, marquée par l’exclusivité. L’enjeu est de trouver une solution pour vendre plus aux clients existants. Transmettre des données à un tiers c’est détruire l’exclusivité. N’oublions pas non plus que l’autorisation accordée permet des contacts réguliers avec l’internaute. La revente des données fait prendre le risque de recréer ces phénomènes de saturation qui ont servi de base de réflexion pour la mise au point de la méthode.

Tout ceci amène à se poser la question suivante : dans le système du Permission marketing, la donnée personnelle est-elle encore une marchandise ?

La réponse est non. Si un fichier nominatif issu d’une campagne de Permission Marketing est un actif, sa valeur réside dans les permissions accordées par les internautes. La véritable richesse de l’entreprise est là. Il faut se rappeler que les données ne peuvent être vendues. Ce que les particuliers transfèrent au site en fin de compte c’est une permission d’usage des informations. Ce qui est un actif aussi, c’est le savoir-faire dans l’analyse, l’utilisation, et la rentabilisation de celles-ci. Travail pointu, autrement plus complexe que celui qui consiste à revendre un fichier, ou bien à diffuser en masse un message, se voulant percutant, vers un nombre maximum de prospects, en espérant attirer l’attention d’un nombre acceptable d’entre eux.

Cette complexité explique sans doute que le Permission Marketing ne soit pas la norme, et ne le deviendra peut-être jamais. Il faut donc se résoudre à ne pas vivre dans le meilleur des mondes, et nous devons faire pour l’instant avec l’existence d’un marché très dynamique d’échanges de fichiers nominatifs.

On sait que le développement incontrôlé de ce marché menace sérieusement la croissance du commerce électronique, puisqu’il sape la confiance des consommateurs. Ce qui lui manque, ce sont des règles d’éthique qui, sans le remettre en question, favoriseraient une protection vraiment efficace de la vie privée.

Ces règles que vous proposent l’Econovateur sont le fruit d’une observation attentive des pratiques du marketing on-line. Elles font aussi la synthèse d’un certain nombre de bonnes pratiques appliquées de manière non concertée par diverses entreprises.

Pour une éthique des échanges de fichiers nominatifs
Cette « éthique des échanges de fichiers nominatifs » comporte trois grandes règles (4). La première est l’autorisation préalable à la collecte et à l’utilisation de données personnelles. La seconde est l’affichage dans une charte de confidentialité des engagements pris en matière de protection des données. La troisième demande le respect de ces engagements.

1 – L’autorisation préalable pour la collecte et l’usage des données :
Le principe de l’autorisation préalable (ou opt-in) est, on l’a vu, à la base du Permission Marketing. Mais là où cette théorie rejette la possibilité de vendre ou de louer par la suite les informations contenues dans un fichier nominatif, cette première règle d’éthique l’admet sous certaines conditions. Nous allons essayer de voir comment concrètement tout cela peut fonctionner, en prenant le cas d’un site de e-commerce qui, pour augmenter ses revenus, souhaite vendre son fichier clients. Ce site aura le choix entre deux stratégies.

1/A – La première consiste à demander à l’internaute – par exemple au moment où il inscrit son nom et ses coordonnées dans le formulaire lui permettant de valider sa première commande – s’il autorise le site à transmettre ses informations personnelles à des « partenaires commerciaux qui pourront lui expédier des offres en rapport avec ses centres d’intérêts ». Cette autorisation il la donnera en cochant une case prévue à cet effet. On bannira le système des cases précochées qui ont surtout pour but de piéger les internautes peu attentifs, ou novices. Ainsi, le site peut considérer qu’il dispose de l’autorisation de l’internaute pour vendre ses données à diverses sociétés.

Cependant, leur nombre pouvant être élevé, cela peut entraîner un sentiment de perte de contrôle de l’internaute sur ses données, et saper sa confiance envers le site (surtout s’il se met à être « bombardé » de mails dont il ignore la provenance). Il convient donc d’entourer cette pratique de quelques garde-fous :

– chaque partenaire commercial ayant acquis le fichier devra, lors de l’envoi du premier mail, informer l’internaute de l’origine des données. Par exemple par le biais d’une mention de type : « vos coordonnées nous ont été fournies par le site … ». Cette mention sera placée de préférence en tête de message ;

– en fin de message, un lien devra permettre à l’internaute de faire supprimer ses données de la base de la société expéditrice. Cela est non seulement valable pour le premier message, mais pour tous les suivants.

1/B – La seconde stratégie est un peu plus complexe à mettre en œuvre, mais elle garantit un contrôle bien plus serré de l’internaute sur ses données. Elle consiste à demander l’autorisation préalable de l’internaute lors de chaque transfert de données.

Encore une fois, il faut être concret pour comprendre comment le système fonctionne et quelles difficultés il pose. Nous avons le même site qui souhaite toujours vendre son fichier. Mais, très soucieux du respect de la vie privée des personnes, et de ses performances à long terme, il décide que l’internaute devra donner son accord préalable pour chaque transfert. Cela implique qu’il soit tenu informé de la nature exacte de toute entreprise qui souhaite acquérir ses données.

Premier moyen, lorsqu’un internaute s’inscrit à un service, ou valide sa première commande, à la fin du formulaire qu’il remplit, sont présentés un certain nombre de partenaires du site, avec pour chacun une courte description de leurs activités. Si l’internaute est intéressé par la possibilité de recevoir des nouvelles de l’un d’eux, il coche la case correspondant à celui-ci. Dans ces conditions, il faut bien sûr que le site ait déjà établi des partenariats avec ces différents sites. Cela suppose une certaine notoriété. C’est par exemple le cas du New York Times, ou encore CNet.com, qui utilisent ce type de procédure.

Que se passe t-il dans le cas d’un site ne disposant pas encore de cette notoriété, ou pour tout site qui doit présenter de nouveaux partenaires (car ces derniers évoluent forcément au fil du temps) ?

Par exemple, supposons que le site correspond avec ses clients par le biais d’une newsletter. Rien ne l’empêche d’y présenter ses nouveaux partenaires et d’inviter les lecteurs à entrer en contact avec eux. Autre possibilité, l’envoi d’un mail d’information vers ses clients, les renseignant sur la création d’un nouveau partenariat. Dans ce cas là, pour inciter les clients à contacter le nouveau partenaire, un excellent moyen est de leur offrir un bon d’achat en guise de bienvenue. C’est par exemple la méthode employée actuellement par Wanadoo avec le site de biens culturels Alapage.com, et la méthode n’est pas intrusive.

Le site pourra aussi, pourquoi pas, envoyer juste un mail informant l’internaute du fait qu’il a désormais un nouveau partenaire et que pour recevoir des offres commerciales de sa part, il doit aller modifier son profil utilisateur.

Dans tous ces mécanismes, il y a cependant une règle d’or à ne pas transgresser : cet envoi de messages d’information sur les partenaires doit se faire de manière raisonnable. Un site qui se met à harceler ses clients de messages de ce type peut être sûr de les voir disparaître de ses propres fichiers.

Résumons nous : nous reprenons au Permission Marketing le principe de l’autorisation préalable, et nous y ajoutons le droit de transfert des données à des tiers pour prendre en compte une réalité du marché. Cette possibilité de transfert, nous l’assortissons de plusieurs garde-fous afin de garantir à l’internaute qu’il ne perde pas le contrôle sur ses données. Pour le site qui souhaite transférer les données de ses clients, il existe deux voies : l’une qui consiste à obtenir une autorisation une fois pour toutes de transférer les données. Dès lors qu’un transfert a eu lieu, la société qui a acquis le fichier doit s’engager à faire figurer sur ses messages deux types de mentions : origine des coordonnées et possibilité de retrait du fichier.

L’autre voie consiste à obtenir pour chaque transfert l’autorisation systématique de l’internaute. Dans ce cas d’ailleurs, précisons qu’il est tout aussi souhaitable que les mentions que nous venons de décrire soient aussi présentes sur les messages expédiés. Tout comme la possibilité de faire supprimer ses données du fichier de quelque site que ce soit devrait être offerte à la fin de tout message commercial.

Pour finir, nous dirons que tous ces aménagements rejettent de manière définitive du côté des mauvaises pratiques l’opt-out (et le spam qui lui est apparenté) (5).

2 – La rédaction d’une charte de confidentialité :
Une charte de confidentialité a pour objectif de centraliser l’information délivrée par un site sur ses pratiques en matière de respect et de protection des données. Elle explique par conséquent comment sont utilisés ces renseignements, quels sont les textes qui sont respectés et, éventuellement, quels types de témoins de connexions, tels que les cookies, peuvent être déposés dans les machines des utilisateurs lorsqu’ils visitent le site.

Les entreprises américaines, que l’on accuse souvent de faire peu de cas de la vie privée des internautes, ont au moins pris cette bonne habitude. Ce qui est devenue une norme Outre-Atlantique tarde en France. Chez nous, quand un site propose une charte de confidentialité, il est rare d’y trouver exposé de façon exhaustive l’ensemble des informations concernant la vie privée des personnes.

La charte de confidentialité doit être facilement accessible, par le biais d’un lien se trouvant sur la page d’accueil. Elle doit être rédigée dans un langage clair. De plus, toute modification de ses termes doit être accompagnée d’un avertissement préalable expédié aux personnes concernées, visant à leur offrir la possibilité de supprimer ou de modifier les données détenues par l’entreprise si elles estiment que les nouvelles dispositions ne protègent plus suffisamment leur vie privée.

3 – Les termes de la charte engagent l’entreprise :
Le site qui propose une charte de confidentialité doit s’engager à en respecter les termes et considérer qu’ils pourront lui être opposés en cas de non-respect. Pour l’internaute il s’agit d’une garantie sur l’exactitude et l’exhaustivité des informations qui y sont affichées.

Il n’est en effet pas rare de voir les chartes de confidentialité considérées comme des outils de communication destinés à « endormir » la vigilance des internautes : on livre quelques informations (comme par exemple une ou deux références à la loi Informatique et Libertés) pour donner l’illusion de la transparence et du sérieux, et l’on « omet » de parler de certaines pratiques pourtant essentielles (transfert des données à des tiers, le plus souvent).

En définitive, un site ne peut considérer sa charte de confidentialité comme un outil de communication légitime que lorsqu’il est capable de faire valoir des actions significatives en faveur du respect de la vie privée des consommateurs.

Notons que le Permission Marketing n’intègre pas dans ses principes de base ces deux dernières règles (charte de confidentialité et respect des engagements). Il gagnerait pourtant énormément à le faire.

Conclusion
Ces trois règles empruntes de pragmatisme prennent note de l’existence d’un marché des données personnelles. Elles le moralisent, mais ne remettent pas en question son existence.

Nous les avons sélectionnées et avons décidé d’en faire la promotion, tout d’abord parce que leur premier atout est de faire la part belle à l’opt-in. Cette pratique est la plus respectueuse de la vie privée des internautes, et c’est pour cela qu’elle a aussi les faveurs de la Commission Européenne, qui a décidé cet été qu’elle devrait s’imposer à toutes les entreprises européennes avant fin octobre 2003 (6). Malheureusement, la Commission s’est bien gardée d’expliquer aux sociétés qui ne l’appliquaient pas déjà – et elles sont nombreuses – quels procédés elles devront désormais appliquer pour continuer leurs activités sur Internet.

Les quelques exemples qui viennent ici d’être présentés sont des solutions concrètes, ayant déjà fait leurs preuves, et qui permettront aux professionnels prévoyants de franchir le pas. Il en existe bien sûr d’autres, et gageons que l’imagination des professionnels les fera se multiplier et évoluer. C’est aussi une des missions de l’Éconovateur de les détecter et de participer à leur évolution.

Ensuite, nous avons aussi souhaiter attirer l’attention sur une pratique particulièrement pertinente issue de l’autorégulation à l’américaine, celle de la charte de confidentialité. Cette pratique, aucun texte ne l’impose et aucune instance n’a émis le souhait de le faire. Pourtant nous la jugeons tout à fait positive dans la création de liens forts entre un site et ses visiteurs. Présenter une charte de confidentialité, c’est faire bien sûr preuve de transparence, mais aussi, et ce n’est pas rien, c’est montrer son respect et sa connaissance de certains usages du réseau.

Enfin, nous avons voulu rappeler aux éditeurs que les textes mis en ligne sur leur site engagent leur responsabilité. Rédiger une charte de confidentialité, uniquement pour faire « pro », sans en respecter les termes, c’est s’exposer aux foudres des internautes, et peut-être ruiner sa réputation. La rédaction d’une charte de confidentialité doit être un acte à prendre très au sérieux, comme tout acte de communication responsable (7).

Ces règles, qui nécessitent la mise en place de stratégies et de méthodes élaborées, constituent donc une bonne alternative au Permission Marketing, que nous continuons toujours de considérer pour notre part comme la meilleure méthode de marketing sur Internet, la plus rentable et la plus respectueuse de la vie privée des personnes. La seule, aussi, qui puisse permettre de clore définitivement le débat sur la marchandisation des données personnelles sur Internet.

– Franck Garnier –

Franck Garnier , 32 ans, est spécialiste de la protection des données personnelles sur Internet, et consultant en déontologie de la communication et du marketing online. Il étudie aussi les rapports sociaux dans le cyberespace, et les nouveaux enjeux de l’identité à l’ère des réseaux numériques.

Notes bibliographiques

(1) Voir la deuxième partie de ce dossier « Des bienfaits supposés et des dégâts prévisibles de la commercialisation des données personnelles par les internautes ». Les arguments que nous y présentons pour rejeter la thèse d’une marchandisation des données par les internautes eux-mêmes, sont volontairement inspirés par des considérations psycho-sociologiques. Il nous a semblé intéressant de faire glisser le débat hors des arguments habituellement présentés par les juristes et les économistes.

(2) Lire son ouvrage intitulé « Permission Marketing », et publié en 2000, chez Maxima.

(3) Pour une présentation plus complète des résultats de cette étude.

(4) Elles ont déjà été exposées sur ce site dans un article intitulé « Communication responsable sur Internet ».

(5) L’opt-out (ou « option négative ») est cette pratique qui consiste à récolter des données et à les utiliser sans accord de l’internaute. Ici, lorsque l’internaute transmet ses données à un site, à aucun moment il n’est informé du fait que ses données pourront être revendues à des tiers.

La seule possibilité qui lui est laissée est de se désinscrire des fichiers des sociétés qui lui enverront des messages. C’est une pratique très courante et défendue par de très nombreux professionnels. Elle peut s’apparenter au spam dont une définition simple consisterait à dire qu’elle consiste à expédier des message commerciaux non-sollicités.

Cette parenté est bien sûr niée par les professionnels qui pratiquent l’opt-out et pour qui le spam résulte avant tout d’une collecte illégale des données des internautes (par exemple par le biais de systèmes automatisés récupérant sur le Web tout ce qui peut ressembler à une adresse e-mail).

(6) Directive 2002/58/CE du Parlement européen et du Conseil concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques : Directive vie privée et communications électroniques, disponible sur le site de l'Union européenne.

(7) Sur la notion de comunication responsable lire : « La communication responsable sur internet ».

En savoir plus