E-commerce : une élue propose d'imposer une option de suppression définitive des données bancaires
Faut-il faire voter un texte de loi pour obliger toute application d'achat en ligne, donc par extension n'importe quel site de commerce électronique, à proposer une option permettant d'obtenir l'effacement définitif des données bancaires enregistrées par l'internaute, une fois la transaction réalisée ?
Dans une question, l'élue du Loiret dit constater « la difficulté de nombreux utilisateurs d'applications d'achat pour supprimer définitivement leur compte ». Si la parlementaire admet que ces informations « ne sont pas utilisées » à l'insu de l'usager (cela se verrait bien vite sur le relevé de compte), elle fait remarquer « qu'il n'est pas normal que des données de cette importance ne puissent être effacées ».
Surtout vu ce que l'actualité charrie comme mauvaises nouvelles en matière de sécurité des données. C'est l'argument central de la députée : « la multiplication des piratages de données d'importantes sociétés justifierait la possibilité donnée aux usagers de supprimer leurs données ». Mieux vaudrait donc qu'il les renseigne à chaque fois, même si c'est peu commode, plutôt que de tout garder au risque de se faire pirater.
À l'heure actuelle, fait savoir la Commission nationale de l'informatique et des libertés, « les données bancaires doivent être supprimées une fois la transaction effectuée. Cette exigence est destinée à limiter les cas d’utilisation frauduleuse des numéros de cartes bancaires ». Il est toutefois possible de procéder à leur conservation, mais à la condition d'obtenir l'accord clair de l'internaute.
« Les sites marchands peuvent conserver ces données à condition qu'ils aient recueilli votre accord exprès et qu’ils vous informent de l’objectif poursuivi. Cet accord nécessite une démarche active de votre part. Pour la matérialiser sur une boutique en ligne, il est conseillé d'utiliser par exemple une case à cocher. Par défaut, cette case doit être décochée », ajoute la Cnil.
Quant à la durée de conservation, une délibération de la Cnil rendue le 19 juillet 2012 et commentée par la société d'avocats Nomos rappelle que la durée précise de conservation des données clients, y compris les données des cartes bancaires, n’est pas fixée par la loi. Il appartient donc aux responsables de traitement de définir la durée « nécessaire » de conservation au regard de la finalité du traitement.
Parue au Journal officiel en octobre 2017, la question a reçu une réponse le 11 septembre 2018.