E-commerce – Prestashop

25 Mai 2018

 

GPDR : General Data Protection Regulation

RGPD (Réglementation générale sur la protection des données

Cette nouvelle législation constitue un cadre unique pour la protection des données personnelles des ressortissants européens, tant sur le territoire de l’Union Européenne, qu’en dehors.

Cette législation concerne toute l’entreprise et ses sous traitants.L’essentiel des points à traiter :

 

Pour vous aidez, vous avez le Guide de la sécurité des données personnels de la CNIL.

Les principes et droits des utilisateurs 

Les droits de l’utilisateur/du client (mentionné en tant que « sujet de données » dans la réglementation) ,qui, je pense, relèvent du développeur sont :

•     le droit à l’effacement (le droit d’être oublié/supprimé du système) ;
•     le droit à la restriction du traitement (vous gardez toujours les données, mais les marquez comme « limitées » et ne les touchez pas sans un consentement supplémentaire de l’utilisateur) ;
•     le droit à la portabilité des données (la possibilité de les exporter dans un format lisible informatiquement) ;
•     le droit à la rectification (la possibilité d’avoir ses données personnelles corrigées) ;
•     le droit d’être informé (avoir des informations humainement lisibles, plutôt que de longues conditions) ;
•     le droit d’accès (l’utilisateur devrait pouvoir voir toutes les données que vous avez sur lui).
  
•     la minimisation des données (ne pas collecter plus de données que nécessaire) ;
•     l’intégrité et la confidentialité (toutes les mesures de sécurité que vous pouvez imaginer pour protéger les données et des mesures pour garantir que les  données ne seront pas modifiées de manière inappropriée).

 

Les fonctionnalités à implémenter

Oubliez-moi

Pour la fonctionnalité « Oubliez-moi », vous devez avoir une procédure qui prend en paramètre un identifiant utilisateur et efface toutes ses données personnelles

Notification des suppressions aux tiers

Supprimer les données de votre système c’est une chose, mais vous êtes aussi obligé d’informer tous les tiers à qui vous avez poussé les données. (fournisseurs, transporteurs, banque, solution externe newsletter …)

Restreindre le traitement

Plus d’accès aux données restreintes, ces données ne doivent plus être visibles par l’équipe du backoffice

Export des données, voir toutes mes données

L’utilisateur doit pouvoir consulter l’ensemble des données conservées, celle concernées par la fonctionnalité « Oubliez-moi ».

Permettre aux utilisateurs d’éditer leur profil

Cela semble une règle évidente, mais elle n’est pas toujours suivie. Les utilisateurs doivent pouvoir modifier toutes les données les concernant, incluant les données que vous avez collectées depuis d’autres sources.

Consentement par cases à cocher

« J’accepte les termes et conditions » ne sera plus suffisant pour prétendre que l’utilisateur a donné son consentement au traitement de ses données. Donc, pour chaque activité particulière de traitement, il devrait y avoir une case à cocher séparée sur l’écran d’enregistrement (ou le profil utilisateur). Vous devrez garder ces cases à cocher dans des colonnes séparées de la base de données, et laisser l’utilisateur retirer son consentement (en décochant ces cases depuis son profil, voir le point précédent). Notez que ces cases à cocher ne devront pas être présélectionnées, ceci ne comptant pas comme un « consentement ». 

Notez ici le traitement appelé « intérêt légitime ». C’est à l’équipe juridique de décider ce qui est d’un intérêt légitime, mais le marketing direct est inclus dans cette catégorie, comme tout traitement de bon sens relatif à l’activité commerciale. Si par exemple vous collectez des adresses d’expédition, c’est évidemment légitime. Toutes les activités de traitement ne nécessitent pas de cases à cocher de consentement.

Redemande de consentement

Si le consentement qu’ont donné les utilisateurs n’était pas clair (exemple : simple accord aux termes et conditions), vous devrez le réobtenir. Préférez donc une fonctionnalité de mass-mailing pour demander aux utilisateurs d’aller dans leur page de profil et vérifier toutes les cases à cocher pour les traitements sur leurs données personnelles.

Contrôle de l’âge

Vous devrez demander l’âge des utilisateurs, et si l’utilisateur est un enfant (moins de seize ans), vous devrez demander la permission des parents.

Ne pas garder les données plus que nécessaire

Si vous avez collecté les données pour un usage spécifique (ex. livrer un produit), vous devez les supprimer/les anonymiser aussitôt que possible. Beaucoup de sites d’e-commerce offrent une option « acheter sans inscription », dans quel cas, le consentement n’est valable que pour la commande particulière. Vous devrez donc avoir une tâche programmée pour anonymiser périodiquement les données (supprimer les noms et adresses), mais seulement après la réunion de certaines conditions, exemple : confirmation de livraison du produit. Vous pouvez avoir un champ dans la base pour stocker la date limite à partir de laquelle les données devront être supprimées, et cette date limite peut être étendue en cas de problème de livraison.

Les cookies

Demander l’approbation de l’utilisateur

Chiffrement des données en transit

Certificat SSL, protocole TLS

Chiffrer les données au repos

La clé privée peut être stockée dans votre infrastructure, ou dans un service cloud comme AWS KMS.

Chiffrer vos sauvegarde

Avoir votre registre RGPD des activités de traitement

Loguer les accès aux données personnelles

Répertorier toutes les API clients

Vous ne devriez pas autoriser les API anonymes à accéder aux données personnelles. Je dirai que vous devez demander le nom de l’entreprise et le nom du contact pour chaque utilisateur de l’API lors de l’inscription, et les ajouter au registre de traitement des données.

Les choses à ne pas faire

N’utilisez pas les données pour d’autres buts que ceux acceptés par l’utilisateur

Si vous voulez exposer une nouvelle API à un nouveau type de clients, ou voulez utiliser les données pour de l’apprentissage automatique, ou décidez d’ajouter des publicités à votre site basé sur le comportement des utilisateurs, ou encore vendre votre base de données à un tiers, réfléchissez à deux fois. 

Donc, lors de l’ajout d’une nouvelle activité de traitement (et l’ajout à votre registre), envoi d’un mail en masse à tous les utilisateurs desquels vous souhaiteriez le consentement. Notez ici que cette autorisation peut être ajoutée dynamiquement.

Ne pas loguer les données personnelles

Loguez donc juste les identifiants si nécessaire, et assurez-vous que les anciens fichiers de log sont nettoyés, juste au cas où.

Ne mettez pas de champs sur l’enregistrement/le formulaire de profil dont vous n’avez pas besoin

Ne supposez pas que les tiers sont conformes

Vous êtes responsable s’il y a une fuite de données chez un tiers (c’est-à-dire le tiers effectuant le traitement) à qui vous avez envoyé des données personnelles. Donc avant d’envoyer des données à un autre service via une API, assurez-vous d’au moins un niveau de protection basique.

Ne supposez pas que d’avoir une norme ISO vous rend conforme

Les informations standards de sécurité et même les standards de données personnelles sont un bon point de départ et représenteront probablement 70 % des éléments requis par la réglementation, mais ne sont pas suffisants.

Type de document à envoyer aux tiers ayants accès aux données personnels que vous gérez. (Sociétés de paiement, sociétés de transport, Google analytics, gestionnaire de flux, …)

 

Modèle d’engagement de confidentialité pour les utilisateurs de données personnelles

Je soussigné/e Monsieur/Madame , exerçant les fonctions de au sein de la société (ci-après dénommée « la Société »), étant à ce titre amené/e à accéder à des données à caractère personnel, déclare reconnaître la confidentialité desdites données.

Je m’engage par conséquent, conformément aux articles 34 et 35 de la loi du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ainsi qu’aux articles 32 à 35 du règlement général sur la protection des données du 27 avril 2016, à prendre toutes précautions conformes aux usages et à l’état de l’art dans le cadre de mes attributions afin de protéger la confidentialité des informations aux- quelles j’ai accès, et en particulier d’empêcher qu’elles ne soient communiquées à des personnes non expressément autorisées à recevoir ces informations.

Je m’engage en particulier à :

    ne pas utiliser les données auxquelles je peux accéder à des fins autres que celles prévues par mes attributions ;
    ne divulguer ces données qu’aux personnes dûment autorisées, en raison de leurs fonctions, à en recevoir communication, qu’il s’agisse de personnes privées, publiques, physiques ou morales ;
    ne faire aucune copie de ces données sauf à ce que cela soit nécessaire à l’exécution de mes fonctions ;
    prendre toutes les mesures conformes aux usages et à l’état de l’art dans le cadre de mes attributions afin d’éviter l’utilisation détournée ou frauduleuse de ces données ;
    prendre toutes précautions conformes aux usages et à l’état de l’art pour préserver la sécurité physique et logique de ces données ;
    m’assurer, dans la limite de mes attributions, que seuls des moyens de communication sécurisés seront utilisés pour transférer ces don- nées ;
    en cas de cessation de mes fonctions, restituer intégralement les données, fichiers informatiques et tout support d’information relatif à ces données.

Cet engagement de confidentialité, en vigueur pendant toute la durée de mes fonctions, demeurera effectif, sans limitation de durée après la cessation de mes fonctions, quelle qu’en soit la cause, dès lors que cet engagement concerne l’utilisation et la communication de données à caractère personnel.

J’ai été informé que toute violation du présent engagement m’expose à des sanctions disciplinaires et pénales conformément à la régle- mentation en vigueur, notamment au regard des articles 226-16 à 226-24 du code pénal.

Fait à xxx, le xxx, en xxx exemplaires

Nom : Signature :

Les régulateurs (les autorités de protection de données, comme la CNIL en France) auront très probablement des listes de contrôle auxquelles vous devrez d’une manière ou d’une autre répondre, mais si vous suivez les meilleures pratiques, cela ne devrait pas être un problème.

GPDR ne concerne pas uniquement les aspects techniques évoqués, il a des implications de traitements et d’organisation.

 

Et Prestashop ?

Des modules pour vous aidez …

Module officiel Prestashop sorti au 09/05/2018 :
Accès à la fiche du module officiel RGPD Prestashop
Payant en version 1.6 et gratuit en version 1.7.

Ce module inclut différentes fonctionnalités pour vous aider à respecter la Loi sur la protection des données à caractère personnel (GDPR). L’acceptation des conditions de confidentialité dans le formulaire d’abonnement à la newsletter, dans le formulaire de contact du magasin, dans le formulaire d’inscription, et permet également au client qui peut effacer le compte qu’il a à la boutique, mais seulement si aucune facture n’a été émise ou qu’il y a une commande en cours qui ne peut plus être annulée. Fonctionne aussi bien pour les inscriptions en 5 étapes que pour les paiements en une seule étape ou les commandes en mode invité. L’acceptation des conditions de gestion des données personnelles est aussi demandée avant d’envoyer le mail depuis la fiche produit, quand un produit est épuisé (fonctionnalité active quand le module Mail Alert est installé).

Il vous permettra d’être conforme au règlement en respectant les exigences suivantes :

•     Droit d’accès des utilisateurs à leurs données à caractère personnel depuis leur compte client
•     Droit des utilisateurs d’obtenir la portabilité de leurs données (copie de leurs données exportable en fichier CSV et PDF)
•     Droit pour les utilisateurs d’obtenir une modification et/ou un effacement des données à caractères personnel, soumis à validation du marchand
•     Droit des utilisateurs de donner et retirer leur consentement
•     Obligation des e-commerçants de tenir un registre des activités de traitement (notamment pour l’accès, le consentement et l’effacement des données à caractère personnel).

Module Demande de renseignements à partir de la page produit

Module Directive Européenne des Cookies (Avis + Bloqueur) RGPD

Module Bloc confidentialité des données clients (gratuit)