En tant qu’intermédiaires, les marketplaces collectent, stockent et traitent les données à caractère personnel des clients et des vendeurs auxquels elles s’adressent. Elles sont donc soumises aux strictes obligations de transparence prévues par le Règlement général sur la protection des données (RGPD), qui encadre la collecte et l’utilisation des données à caractère personnel dans l’UE.

Les marketplaces doivent connaître les exigences du RGPD et savoir qui est responsable des données à caractère personnel sur leurs plateformes. Elles doivent également comprendre comment se conformer à cette réglementation. Dans cet article, nous expliquons les conséquences du RGPD pour les marketplaces ainsi que leurs obligations envers les clients et les vendeurs.

L’essentiel à retenir

• Le Règlement général sur la protection des données (RGPD) constitue le cadre juridique régissant le traitement et la sécurité des données à caractère personnel en Europe. Comme toute entreprise traitant les données à caractère personnel de résidents de l’UE, les marketplaces sont tenues de se conformer au RGPD.
  
• En vertu du RGPD, les marketplaces doivent communiquer certaines informations aux clients et aux vendeurs et obtenir leur consentement. Elles doivent également protéger les données à caractère personnel, tenir un registre des activités de traitement et permettre aux personnes concernées d’exercer facilement leurs droits.
  
• Les marketplaces doivent définir leur rôle dans le traitement des données, conclure, si nécessaire, des accords de responsabilité conjointe du traitement et procéder à des vérifications rigoureuses de connaissance du client (KYC) afin de vérifier l’identité de leurs clients.
  

Vue d’ensemble du RGPD

Le RGPD est une législation européenne qui encadre la protection et la sécurité des données à caractère personnel en ligne au sein de l’UE. Il renforce les droits des utilisateurs et contribue à créer un environnement numérique plus sûr. Il s’applique à toutes les entreprises européennes, y compris les marketplaces, ainsi qu’aux plateformes internationales qui traitent les données à caractère personnel des résidents de l’UE.

Selon le RGPD, une donnée est considérée comme personnelle dès lors qu’elle permet d’identifier directement ou indirectement une personne physique. Il peut notamment s’agir du prénom et du nom, de l’adresse e-mail, de l’adresse postale, de l’adresse IP (Internet Protocol), des coordonnées bancaires, du numéro de téléphone, du numéro d’identification ou encore du comportement en ligne.

Pour les marketplaces, le respect du RGPD est une obligation légale. Il peut également contribuer à renforcer la confiance des clients et des vendeurs et à améliorer leur image de marque.

Obligations générales des marketplaces au titre du RGPD

Conformément aux articles 13 et 14 du RGPD, les plateformes doivent informer les clients et les vendeurs du traitement de leurs données à caractère personnel. Pour certains types de traitement, notamment la publicité ciblée et le marketing par e-mail, les clients et les vendeurs doivent pouvoir donner leur consentement à la collecte et à l’utilisation de leurs données.

Les marketplaces doivent également garantir une sécurité adéquate des données, tenir un registre des activités de traitement et permettre aux personnes concernées d’exercer leurs droits.

Information des clients et des vendeurs

Les clients et les vendeurs d’une plateforme ont le droit de savoir si leurs données à caractère personnel sont collectées, stockées, utilisées ou transmises à des tiers. Au moment de la collecte, les marketplaces doivent mettre à leur disposition une politique de confidentialité précisant, en termes clairs et simples, les catégories de données collectées, leur durée de conservation et les finalités de leur collecte. Elles doivent également disposer d’une base légale justifiant cette collecte.

L'article 6 du RGPD énumère les bases légales de la collecte et du traitement des données à caractère personnel :

• Exécution d'un contrat
  
• Consentement exprès de la personne concernée
  
• Respect d'une obligation légale ;
  
• Sauvegarde des intérêts vitaux
  
• Exécution d'une mission d'intérêt public
  
• Poursuite d’un intérêt légitime (par exemple, la sécurité du site web, la prévention de la fraude, l’administration interne ou le marketing)
  

Les marketplaces doivent également informer les clients et les vendeurs lorsque leurs données sont communiquées à des tiers, tels que des sous-traitants ou des prestataires de paiement, et leur indiquer qui sont les destinataires de ces données. Pour respecter le RGPD, elles doivent veiller à ce que leurs politiques de confidentialité soient facilement accessibles, par exemple lors de la création d’un compte ou sur chaque page de leur site web.

Recueil du consentement

Dans certains cas, les marketplaces doivent recueillir le consentement éclairé des personnes concernées pour utiliser leurs données, notamment lorsque le traitement ne repose sur aucune autre base légale (comme l’exécution d’un contrat ou la poursuite d’un intérêt légitime).

Plus précisément, le consentement est requis pour le marketing par e-mail, l’utilisation de cookies non essentiels, la collecte de données susceptibles d’entraîner des discriminations (notamment fondées sur l’origine ethnique ou l’orientation sexuelle) et la réutilisation des données à d’autres fins.

Les clients et les vendeurs doivent pouvoir donner leur consentement librement et sans équivoque avant tout traitement de leurs données. Les informations qui leur sont fournies doivent être formulées dans un langage clair, simple et compréhensible. Les marketplaces ne peuvent pas utiliser de cases précochées.

Protection des données

La protection des données à caractère personnel est indispensable au respect du RGPD. Les plateformes doivent mettre en place des mesures de sécurité fiables et anticiper les activités frauduleuses. Elles doivent chiffrer les données stockées et respecter le protocole TLS (Transport Layer Security), afin d’empêcher la lecture des données interceptées, divulguées ou volées. Les marketplaces doivent également se conformer aux exigences de la norme de sécurité des données de l’industrie des cartes de paiement (PCI DSS) pour protéger les informations de paiement.

Pour renforcer la sécurité, les marketplaces peuvent également imposer l’authentification forte du client (SCA) lors de la connexion aux comptes et limiter les droits d’accès de leurs employés.

La plupart des plateformes désignent un délégué à la protection des données (DPO) chargé de veiller au respect du RGPD. Son intervention est particulièrement utile lorsque des données sensibles sont traitées à grande échelle. Il peut évaluer en toute indépendance les pratiques de gestion des données en vigueur et formuler des recommandations. Les marketplaces doivent signaler les violations de données à l’autorité compétente, à savoir la Commission nationale de l’informatique et des libertés (CNIL) en France, dans un délai de 72 heures.

Remarque : les marketplaces qui font appel à des sous-traitants (par exemple, des prestataires de services de paiement ou de messagerie électronique) doivent veiller à ce que ces derniers respectent également le RGPD et garantissent un niveau de sécurité approprié. L’article 28 du RGPD impose la conclusion d’accords de traitement des données (DPA) encadrant le recours à ces sous-traitants.

Tenue d’un registre des activités de traitement

Conformément à l’article 30 du RGPD, les marketplaces qui traitent des données à caractère personnel en ligne et comptent plus de 250 salariés doivent tenir un registre des activités de traitement. Ce registre doit décrire en détail les traitements effectués et donner une vue d’ensemble des opérations réalisées. Il doit notamment préciser les parties impliquées (responsables du traitement, DPO et sous-traitants, par exemple), les catégories de données traitées, leurs finalités d’utilisation, leurs destinataires, leur durée de conservation et les mesures de sécurité mises en place.

Les plateformes de moins de 250 salariés ne sont tenues de tenir un registre que pour certains types de traitement.

Respect des droits des personnes concernées

Toute entité soumise au RGPD doit respecter les droits des personnes en matière de protection des données et en faciliter l’exercice. Ces droits comprennent le droit d’accès, de rectification, d’opposition au traitement et de limitation du traitement, ainsi que les droits à l’effacement et à la portabilité des données.

Obligations des marketplaces envers les clients dans le cadre du RGPD

En vertu du RGPD, les marketplaces doivent respecter le principe de minimisation des données, qui consiste à ne collecter que les données à caractère personnel strictement nécessaires à la finalité déclarée. Ce principe s’applique aussi bien aux clients qu’aux vendeurs.

Les plateformes ne peuvent donc collecter que les informations strictement nécessaires au traitement des commandes. Il leur est interdit de recueillir des données à des fins non définies.

Obligations des marketplaces envers les vendeurs au titre du RGPD

Les marketplaces doivent définir leur rôle dans le traitement des données. En règle générale, elles sont considérées comme responsables du traitement des données liées au fonctionnement de leur plateforme, notamment celles utilisées pour la création des comptes et la catégorisation des produits. Les vendeurs, quant à eux, sont considérés comme responsables du traitement des données relatives aux commandes passées.

Toutefois, les marketplaces peuvent être considérées comme responsables conjoints du traitement lorsqu’elles participent activement à la détermination des finalités et des moyens du traitement. Certaines, par exemple, ne se contentent pas de mettre en relation les clients et les vendeurs, mais exploitent également les données des clients à des fins de publicité ciblée ou dans le cadre de programmes de fidélité. Dans ce cas, les parties doivent conclure un accord de responsabilité conjointe du traitement.

D’où l’importance accrue de procédures rigoureuses de connaissance du client (KYC). Les marketplaces doivent vérifier l’identité de leurs partenaires commerciaux avant d’établir une relation d’affaires avec eux. Ces procédures permettent de s’assurer de l’identité des vendeurs et d’offrir aux clients un environnement sûr, fiable et transparent.

Stripe Connect est spécialement conçu pour les marketplaces. La solution prend en charge les procédures KYC en vérifiant l’identité des vendeurs lors de leur inscription sur la plateforme.

Comment Stripe Connect peut vous aider

Stripe Connect gère et automatise les mouvements de fonds entre plusieurs parties pour les plateformes logicielles et les marketplaces. Il offre un processus d’onboarding rapide, des composants intégrés, des virements internationaux, et bien plus encore.

Connect peut vous aider à :

• Vous lancer en quelques semaines : utilisez les fonctionnalités hébergées ou intégrées de Stripe pour une mise en production plus rapide, tout en évitant les frais initiaux et les délais de développement normalement requis pour faciliter les paiements.

• Gérer les paiements à grande échelle : utilisez les outils et les services proposés par Stripe pour gérer les risques, les rapports de marges, les formulaires fiscaux, les moyens de paiement internationaux ou la conformité lors de l’onboarding.

• Vous développer à l’international : aidez vos utilisateurs à attirer davantage de clients dans le monde entier en proposant des moyens de paiement locaux et en simplifiant le calcul des taxes sur les ventes, de la TVA et de la TPS.

• Créer de nouvelles sources de revenus : optimisez vos revenus liés aux paiements en percevant des frais sur chaque transaction. Monétisez les fonctionnalités de Stripe en proposant sur votre plateforme des paiements en personne, des virements instantanés, l’encaissement des taxes sur les ventes, des solutions de financement, des cartes d’entreprise, et bien plus encore.

En savoir plus sur Stripe Connect, ou démarrez dès aujourd’hui.

FAQ sur le RGPD et les marketplaces