RGPD : 6 mois après l’entrée en vigueur, l’heure du constat !

Livre blanc Privacy 17.12.2018

Par Converteo

Douze mois après la publication de notre Baromètre RGPD 2017 et six mois après l’entrée en vigueur de la loi, l’heure est au constat. Les entreprises françaises ont majoritairement entamé leurs travaux de mise en conformité RGPD, mais leur bonne volonté semble buter encore sur les thématiques plus complexes.

Le baromètre RGPD 2018 est une analyse comparative de 100 sites web et mobile, de différents secteurs d’activité*, par les experts Converteo. Elle est basée sur une grille de critères de conformité des “front” issus du Règlement Européen de la Protection des Données. Les résultats interprétés par les experts RGPD Converteo permettent d’identifier les meilleures pratiques ainsi que les thématiques sur lesquelles les entreprises ont le plus évolué ou au contraire sur lesquelles un travail conséquent reste de mise pour 2019.

Une évolution incontestable de la conformité RGPD « front » des entreprises en un an

Les sociétés ont très largement adapté leurs pratiques au RGPD. Pour preuve, 78% des entreprises ont adopté une charte sur la gestion des données personnelles. 67% ont également mis en place des « Privacy Center » sur leurs sites pour gérer les consentements des utilisateurs. Il y a un an, 12% des sites audités ne donnaient aucune information sur les données collectées et traitées, 84% des acteurs ne précisaient ni les destinataires ni les informations de partage des données personnelles.
Globalement, Converteo note une meilleure information des utilisateurs sur l’exercice de leurs droits RGPD :

88% des acteurs indiquent le contact du DPO (Data Protection Officer) et la marche à suivre de manière claire (mail, courrier, etc.). En 2017, seulement 1 acteur sur 20 mentionnait l’existence de son DPO.
15% ont développé des interfaces d’exercice des droits web

Sujet prégnant à la veille de la mise en œuvre du RGPD, l’utilisation des cookies avait déjà bénéficié d’une clarification obligatoire de la part des acteurs du web dès 2011. Depuis mai, le sujet est pris au sérieux par les annonceurs :

86% de bandeaux cookie sont correctement implémentés
18% des acteurs vont jusqu’à implémenter un cookie center

En 2017 bien que 94% des sites audités informaient déjà les visiteurs sur les cookies déposés, seulement 7% fournissaient des informations détaillées doublées d’un module d’acceptation.

Un constat mitigé sur les thématiques plus complexes, et les axes de progression en 2019

Les entreprises sont en revanche à la traîne en termes de consentement. Alors que celui-ci doit être donné de manière spécifique, éclairé et univoque par les utilisateurs, il n’est recueilli qu’à hauteur de :

30% à des fins de prospection commerciale
16% à des fins de personnalisation
2% seulement à des fins de scoring et de statistiques

En 2017, 84% des acteurs ne demandaient pas le consentement des utilisateurs à des fins de prospection commerciale ou de ciblage publicitaire. Ce chiffre s’élevait à 94% de consentement non recueilli à des fins de recommandations produits, personnalisation ou scoring.

Souvent oubliée, la question de l’âge des utilisateurs et de la majorité numérique (fixée à 15 ans en france) est pourtant un critère important du règlement et doit être prise en compte. Par exemple, l’âge de l’utilisateur est demandé au niveau de la création de compte dans 54% des cas. Or, cette information doit être recueillie au niveau des consentements comme le voudrait le RGPD car celui d’un mineur n’est pas recevable.

La conformité est également variable en fonction du device utilisé et du canal (site web / site responsive / site mobile / application). Ainsi 40% des chartes ne sont pas responsive et 82% des acteurs ne développent pas leur « Privacy Center » sur leur application mobile.

Le niveau d’information fourni dans les principaux parcours des sites (souscription, demande d’assistance, …) est en deçà des recommandations G29. Ce regroupement des CNIL Européennes conseille en effet de détailler un certain nombre d’éléments directement dans les formulaires (comme la finalité du traitement, l’identité du responsable du traitement, les droits de la personne concernée). Des considérations UX rentrent très sûrement en compte : des mentions d’information trop longues peuvent rendre un parcours moins agréable pour l’utilisateur, et pourraient donc pénaliser la performance des sites en termes de génération de leads et au final de conversion.

Après 2 ans de fébrilité, le RGPD est finalement en application avec moins de « casse » que prévu. Pour autant, de nombreuses entreprises prennent encore à la légère certaines parties du règlement qui font toujours l’objet d’évitement. Ce sont pourtant des éléments clés de la politique de protection des données personnelles. Il s’agit surtout de points sensibles pour les utilisateurs finaux et qui, in fine, pourraient porter préjudice aux marques. Si la CNIL se montre plus sévère en 2019, les manquements constatés à date n’échapperont à sa vigilance. Peu d’acteurs auront le luxe en 2019 de ne pas poursuivre leurs efforts de mise en conformité RGPD.

Pour plus d’informations, vous pouvez télécharger notre Baromètre RGPD 2018 ici

* Secteurs d’activités des entreprises auditées :