Hors collection - Droit du e-commerce et du marketing digital - 1re - 87

CHAPITRE 1 - COMMENT

METTRE AUX NORMES SON TUNNEL DE COMMANDE

On distinguera ici deux hypothèses :
- sur certains sites à vocation commerciale, le client, à la fin du processus de commande et après
avoir choisi son mode de paiement, est redirigé vers la page d'un prestataire externe sur lequel
est effectué le paiement. Dans ce cas, la responsabilité de la sécurisation des données repose sur
le prestataire externe. Le site marchand devra simplement informer son client que certaines de
ses données personnelles seront transmises au prestataire pour finaliser sa commande ;
- sur d'autres sites, le paiement s'effectue directement sur le site. Le marchand est donc responsable
de la sécurisation des données.
De nombreux sites proposent à leurs clients la possibilité d'enregistrer les données relatives à leurs
cartes de paiement lors de leur premier achat. Cela évite au client de rentrer son numéro de carte de
crédit pour ses prochains achats. Cette technique, au-delà de son aspect pratique, séduit les professionnels du marketing en réduisant « le laps de temps pendant lequel le client pourrait renoncer à son
achat »102. Il faut toutefois rappeler que les données de paiement sont des données sensibles103. En
principe, les données bancaires doivent être supprimées une fois la transaction effectuée. Cette
exigence est destinée à limiter les cas d'utilisation frauduleuse des numéros de cartes bancaires.
Par exception, les sites marchands peuvent conserver ces données à condition qu'ils aient recueilli
l'accord exprès du client et qu'ils l'informent de l'objectif poursuivi. Cet accord nécessite une
démarche active de la part du client (opt in). Pour la matérialiser sur une boutique en ligne, il est
conseillé d'utiliser par exemple une case à cocher. Par défaut, cette case doit être décochée. Dans le
but de se prémunir contre les fraudes, un site marchand peut demander le cryptogramme visuel de la
carte bancaire. Le but est de vérifier que le client est bien titulaire de la carte. Ce cryptogramme visuel
ne doit en aucun cas être conservé104. Il faudra prévoir que le client ait la possibilité de refuser, à tout
moment et pour l'avenir, la conversation de ses données bancaires par le site web marchand. Ce droit
sera décrit dans la politique de protection des données personnelles.

Pour aller plus loin
Affaire FNAC Direct
Délibération de la formation restreinte nº 2012-214 du 19 juillet 2012 portant avertissement à l'encontre de la société FNAC
Direct sur la gestion des données bancaires105.
Dans le cadre de son programme annuel de contrôles, la CNIL a procédé à des vérifications dans les locaux de la société FNAC Direct.
Conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, la formation restreinte de la CNIL, après en avoir délibéré, a décidé de prononcer un avertissement à l'encontre de la société FNAC Direct et de rendre publique sa décision sur le site web de la
CNIL et sur le site Légifrance106. La CNIL a signifié à la société que plusieurs manquements graves à la loi de 1978 avaient été constatés, notamment en matière de gestion de données bancaires (manquement à l'obligation de recueillir le consentement des
personnes intéressées à la conservation de leurs données bancaires, non-respect d'une durée de conservation des données, manquement à l'obligation d'assurer la sécurité et la confidentialité des données bancaires des clients qui étaient non cryptées).
La publication d'une telle décision est préjudiciable pour FNAC Direct (mauvaise image de marque et d'e-réputation, perte de
confiance des clients).

102. Makoundou G., Guide pour e-commerçant, op. cit., p. 49.
103. V. infra, chapitre 3 sur la politique de confidentialité et le RGPD.
104. Le cryptogramme visuel ou Code Card Security Code (CVC/CVV/CID) est un moyen de sécurité additionnel. Il s'agit
d'un code de sécurité de 3 ou 4 chiffres imprimés au recto ou verso des cartes bancaires.
105. Cf. www.cnil.fr.
106. CNIL, formation restreinte, délib. nº 2012-214, 19 juill. 2012 : www.cnil.fr.

http://www.cnil.fr http://www.cnil.fr

Hors collection - Droit du e-commerce et du marketing digital - 1re

Table des matières de la publication Hors collection - Droit du e-commerce et du marketing digital - 1re