Plus de cent demandes, une semaine de démarches, et un constat peu flatteur pour les entreprises concernées. En testant le droit d’accès prévu par le CCPA, la loi californienne sur les données personnelles, le journaliste de Wired Reece Rogers a mis au jour un double phénomène : l’ampleur du traçage commercial d’un côté, et, de l’autre, une façon bien commode de neutraliser la demande en supprimant le compte du requérant.
Le sommaire
Le sujet dépasse le seul cas américain. Pour les groupes internationaux, les plateformes et les éditeurs B2C, le droit d’accès est l’un des points les plus sensibles de la conformité data, parce qu’il oblige à reconstituer une vision cohérente de ce qui a été collecté, inféré, partagé et conservé. Quand cette cartographie n’existe pas, ou mal, l’exercice tourne vite au casse-tête opérationnel.
Le droit d’accès CCPA révèle l’épaisseur réelle du profilage
L’expérience relatée par le journaliste reposait sur un droit précis : obtenir une copie des données détenues par une entreprise sur sa personne, sans demander ni effacement ni opposition à la revente. Le CCPA distingue en effet plusieurs prérogatives : la consultation des données, leur suppression et la possibilité de s’opposer à certaines formes d’exploitation. Sur le papier, l’architecture est claire. Dans l’exécution, elle l’est beaucoup moins.
L’exemple le plus parlant vient de McDonald’s. L’entreprise a transmis un dossier de 515 pages retraçant, selon le récit disponible, les interactions de l’utilisateur avec son application. Le volume importe autant que son contenu : il ne s’agit pas seulement d’éléments déclaratifs ou transactionnels, mais aussi d’informations comportementales et d’analyses prédictives. Autrement dit, le fichier ne documente pas uniquement ce que l’utilisateur a fait ; il cherche aussi à anticiper ce qu’il fera.
Pour un dirigeant ou un DPO, le signal est clair : la valeur économique de la donnée ne réside plus seulement dans l’historique d’achat ou les coordonnées, mais dans les inférences construites à partir d’usages répétés. Ce sont souvent ces couches invisibles du profilage qui deviennent les plus délicates à exposer lorsqu’un client exerce son droit d’accès CCPA. Elles supposent des systèmes interconnectés, des règles d’attribution parfois opaques et des arbitrages internes sur ce qui relève, ou non, d’une donnée communicable.
Le papier montre ainsi que le droit existe moins comme une formalité administrative que comme un test grandeur nature des infrastructures de conformité. Une entreprise capable de répondre proprement à ce type de requête démontre qu’elle sait où se trouvent ses données, à quoi elles servent et combien de temps elles survivent dans ses systèmes. À l’inverse, une réponse désordonnée dit beaucoup d’une gouvernance encore lacunaire.
Supprimer le compte plutôt que répondre
Le point le plus problématique n’est pas le volume de données remonté par certaines plateformes. C’est la réaction de plusieurs sociétés qui auraient choisi de supprimer le compte du demandeur, alors même que celui-ci avait explicitement écarté cette option. Le cas de Crunchbase est, de ce point de vue, difficile à mal interpréter : la demande précisait qu’il ne s’agissait pas d’une sollicitation d’effacement ; l’entreprise a néanmoins répondu en confirmant une suppression définitive deux jours plus tard.
Sur le plan juridique, la confusion entre droit d’accès et droit à l’effacement n’a rien d’anodin. Les deux mécanismes ne produisent ni les mêmes effets ni les mêmes obligations. L’un permet au consommateur de comprendre ce qu’une société détient sur lui ; l’autre fait disparaître, sous réserve des exceptions légales, tout ou partie des données. Confondre les deux revient à priver l’intéressé de la visibilité à laquelle il prétend. C’est aussi, pour l’entreprise, une manière de ne jamais dévoiler l’étendue exacte de la collecte initiale.
Cette tentation a une logique très concrète. Compiler des données dispersées dans un CRM, une application mobile, des outils publicitaires, des historiques de navigation et des briques d’analytics coûte du temps, mobilise des équipes et expose parfois des pratiques de segmentation peu reluisantes. Supprimer le compte, en revanche, simplifie le traitement du dossier, réduit le volume à consolider et évite une restitution potentiellement embarrassante. L’économie d’effort est évidente ; sa compatibilité avec l’esprit du texte l’est nettement moins.
Le problème est connu des professionnels de la conformité : lorsqu’une organisation gère les demandes de droits via des workflows imparfaits, les équipes support ou relation client peuvent être incitées à choisir l’option la plus rapide, non la plus fidèle à la demande. C’est rarement présenté comme une politique assumée. En pratique, le résultat pour l’utilisateur est le même : le droit d’accès CCPA devient théorique, faute d’être exécuté dans son objet exact.
Un droit formel, un parcours dissuasif
Le test décrit aussi un enchaînement d’obstacles très prosaïques. Les formulaires de demande sont parfois difficiles à trouver. Les étapes de vérification d’identité se multiplient. Les échanges prennent du temps, alors même que la loi prévoit un délai de réponse. Cet empilement n’a pas besoin d’être spectaculaire pour être efficace : il suffit qu’il use le demandeur.
Dans beaucoup d’entreprises, la difficulté n’est d’ailleurs pas seulement juridique. Elle est industrielle. Répondre à une demande d’accès suppose de recenser les systèmes qui contiennent des données personnelles, de distinguer l’information fournie par la personne elle-même de celle qui a été déduite de son comportement, puis de restituer l’ensemble dans un format intelligible. Or nombre d’organisations ont construit leur stack marketing et produit par strates successives : un outil pour l’acquisition, un autre pour la fidélisation, un troisième pour l’analyse, sans parler des partenaires externes. Le droit d’accès CCPA agit alors comme un révélateur brutal de cette dette technique.
Ce point intéresse directement les directions générales. Une entreprise qui ne sait pas répondre proprement à une demande d’accès n’est pas seulement exposée à un risque réglementaire ou réputationnel. Elle révèle aussi une faiblesse de pilotage : mauvaise qualité de la donnée, référentiels clients éclatés, procédures de traitement hétérogènes, responsabilité diffuse entre juridique, produit, IT et marketing. À l’heure où la personnalisation est devenue un argument commercial central, l’incapacité à documenter cette personnalisation crée un angle mort de gouvernance.
Le paradoxe est connu depuis l’entrée en vigueur des grands textes sur la vie privée : plus une société affine ses capacités de ciblage, plus elle doit être en mesure d’expliquer ce qu’elle collecte et pourquoi. Beaucoup ont investi dans la monétisation de la donnée avant d’investir dans sa traçabilité. Le retour de bâton passe aujourd’hui par ces demandes individuelles, beaucoup plus instructives qu’un audit théorique.
Ce que les entreprises devraient lire derrière ce test
Le cas rapporté par Reece Rogers n’a pas valeur d’étude statistique sur l’ensemble du marché, et il faut le traiter comme tel. Il n’établit pas, à lui seul, une pratique généralisée. En revanche, il met en lumière un risque opérationnel crédible : lorsque les droits sont mal orchestrés, la procédure déraille précisément au moment où l’entreprise devrait prouver sa maîtrise.
Trois enseignements se dégagent. D’abord, l’accès aux données ne peut pas être géré comme un simple ticket de support. Il suppose une chaîne documentée, des règles d’arbitrage et des contrôles. Ensuite, la suppression ne doit jamais devenir une réponse par défaut à une demande de consultation. Enfin, l’exercice du droit d’accès CCPA renseigne autant sur la conformité que sur la qualité du système d’information client.
Les groupes qui opèrent en Californie n’ont guère intérêt à considérer ce sujet comme un irritant marginal. Les demandes individuelles sont encore un thermomètre utile, avant qu’elles ne deviennent un sujet de contentieux, de régulation ou de réputation. Et le plus gênant, dans ce type d’affaire, n’est pas toujours ce que l’entreprise collecte. C’est parfois ce qu’elle semble prête à effacer pour ne pas avoir à l’expliquer.
Articles pour aller plus loin :
- “ ; Le réflexe info” ; : franceinfo mise sur une nouvelle identité pour lutter contre la désinformation
- Pendant que l’Île-de-France ferme boutique, deux départements font de la résistance
- Airbus prêt à vendre ses activités spatiales américaines pour renforcer son alliance avec Thales et Leonardo
