En tant qu'intermédiaires, les marchés collectent, stockent et traitent les données personnelles de deux publics cibles : les clients et les vendeurs. À ce titre, les marchés sont soumis aux règles de transparence strictes imposées par le Règlement général sur la protection des données (RGPD), une loi qui régit la collecte et l'utilisation des données personnelles dans l'UE.

Il est important pour les marchés de savoir ce que le RGPD exige des plateformes et qui est responsable des données personnelles. Les marchés doivent également comprendre comment respecter la loi. Dans cet article, nous expliquons l'incidence du RGPD sur les marchés et leurs obligations envers les clients et les vendeurs.

Points clés à retenir

• Le Règlement général sur la protection des données (RGPD) est le cadre juridique régissant la gestion et la sécurité des données personnelles en Europe. À l'instar d'autres entreprises qui traitent les données personnelles de résidents de l'UE, les marchés sont tenus de se conformer au RGPD.
  
• En vertu du RGPD, les marchés doivent fournir certaines informations aux clients et aux vendeurs et obtenir leur consentement. Ils doivent sécuriser les données personnelles, tenir des registres des activités de traitement et permettre aux particuliers d'exercer facilement leurs droits.
  
• Les marchés doivent définir leur implication dans le traitement des données, établir des contrats de responsables conjoints du traitement si nécessaire et effectuer des vérifications rigoureuses de connaissance du client (KYC) pour vérifier leurs clients.
  

Aperçu du RGPD

Le RGPD est une loi européenne qui régit la protection et la sécurité des données personnelles en ligne dans l'UE. Il renforce les droits des utilisateurs et contribue à créer un environnement numérique plus sécuritaire. Le RGPD concerne toutes les entreprises européennes – y compris les places de marché – ainsi que les plateformes internationales qui traitent les données personnelles des résidents de l'UE.

Selon le RGPD, les données sont considérées comme personnelles si elles peuvent être utilisées directement ou indirectement pour identifier un particulier. Cela comprend les prénoms et noms, les adresses courriel, les adresses physiques et de protocole Internet (IP), les coordonnées bancaires, les numéros de téléphone, les numéros d'identification et le comportement sur Internet.

Pour les places de marché, la conformité au RGPD est obligatoire. Elle peut également contribuer à établir la confiance avec les clients et les fournisseurs et à améliorer l'image de marque.

Obligations générales du RGPD pour les marchés

Conformément à l'Article 13 et à l'Article 14 du RGPD, les plateformes doivent informer les clients et les vendeurs que leurs données personnelles font l'objet d'un traitement. Pour des types de traitement spécifiques, y compris la publicité ciblée et le marketing par courriel, les vendeurs et les clients doivent être autorisés à consentir à la collecte et à l'utilisation de leurs données.

Les marchés doivent également assurer une sécurité adéquate des données, tenir des registres des activités de traitement des données et permettre aux particuliers d'exercer leurs droits.

Informer les clients et les vendeurs

Les clients et les vendeurs sur une plateforme ont le droit de savoir si leurs données personnelles sont collectées, sauvegardées, utilisées ou envoyées à des tiers. Au moment de la collecte des données, les marchés doivent afficher des politiques de confidentialité indiquant en termes clairs et simples le type de données collectées, la durée de conservation et la finalité de la collecte. Ils doivent également disposer d'une base juridique pour justifier cette collecte.

L'Article 6 du RGPD énumère les bases juridiques de la collecte et du traitement des données personnelles :

• Exécution d'un contrat
  
• Consentement explicite du particulier
  
• Respect d'une obligation légale
  
• Protection des intérêts vitaux
  
• Exécution d'une mission d'intérêt public
  
• Poursuite d'un intérêt légitime (p. ex., sécurité du site Web, prévention de la fraude, administration interne, marketing)
  

Les marchés doivent également informer les clients et les vendeurs si leurs données sont partagées avec des tiers (p. ex., des sous-traitants ou des fournisseurs de solutions de paiement) et nommer les bénéficiaires des données. Pour la conformité au RGPD, il est important de s'assurer que les politiques de confidentialité sont facilement accessibles. Par exemple, elles peuvent être affichées lorsque les clients et les vendeurs créent des comptes ou sur chaque page Web.

Obtention du consentement

Dans certains cas, les marchés doivent obtenir le consentement éclairé des particuliers pour utiliser leurs données, en particulier lorsque le traitement n'est pas fondé sur l'un des motifs juridiques (p. ex., l'exécution d'un contrat ou un intérêt légitime).

Plus précisément, le consentement est requis pour le marketing par courriel, les témoins non essentiels, la collecte de données pouvant mener à la discrimination (p. ex., selon l'origine ethnique ou l'orientation sexuelle) et la réutilisation des données à d'autres fins.

Les clients et les vendeurs doivent pouvoir consentir librement et sans équivoque avant le traitement. Le langage utilisé doit être clair, simple et facile à comprendre. Les marchés ne peuvent pas utiliser de cases précochées.

Protéger les données

La protection des données personnelles est une partie nécessaire de la conformité au RGPD. Les plateformes doivent prendre des mesures de sécurité fiables et anticiper les activités frauduleuses. Elles doivent chiffrer les données sauvegardées et suivre le protocole Transport Layer Security (TLS). Cela empêche la lecture des données interceptées, divulguées ou volées. Les marchés doivent également se conformer aux exigences de la Norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) pour protéger les renseignements de paiement.

Pour une couche de sécurité supplémentaire, les marchés peuvent également exiger une Authentification forte du client (SCA) lors de la connexion aux comptes et restreindre les droits d'accès des employés.

La plupart des plateformes nomment un délégué à la protection des données (DPO) pour superviser la conformité au RGPD. Les DPO sont utiles lors du traitement de données sensibles à grande échelle. Ils peuvent fournir une évaluation impartiale des pratiques actuelles de gestion des données et offrir des conseils. Les marchés doivent signaler les violations de données aux autorités compétentes – la Commission nationale de l'informatique et des libertés (CNIL) – dans un délai de 72 heures.

Remarque : Les marchés ayant des sous-traitants (p. ex., des fournisseurs de solutions de paiement ou des fournisseurs de services de courriel) doivent s'assurer que les sous-traitants se conforment également au RGPD et maintiennent un niveau de sécurité approprié. L'Article 28 du RGPD exige la signature d'accords de traitement des données (DPA) pour régir l'utilisation de sous-traitants.

Tenir des registres de traitement

Conformément à l'Article 30 du RGPD, les marchés qui traitent des données personnelles en ligne et comptent plus de 250 employés doivent tenir des registres de traitement. Les registres doivent inclure des descriptions détaillées du traitement qui fournissent un aperçu des opérations effectuées. Cela inclut des informations sur les parties concernées (p. ex., les responsables du traitement, les DPO et les sous-traitants), les catégories de données, l'utilisation des données, les bénéficiaires des données, la durée de conservation et les mesures de sécurité.

Les plateformes comptant moins de 250 employés ne sont tenues de tenir des registres que pour certains types de traitement.

Respecter les droits des particuliers

Toute entité assujettie au RGPD doit respecter les droits relatifs à la protection des données et permettre aux particuliers d'exercer facilement leurs droits. Ceux-ci incluent le droit d'accès, de rectification, d'opposition et de limitation du traitement, ainsi que les droits à l'effacement et à la portabilité des données.

Obligations des marchés envers les clients en vertu du RGPD

En vertu du RGPD, les marchés doivent respecter la règle de minimisation, ce qui signifie qu'ils ne doivent collecter que les données personnelles strictement nécessaires à la finalité établie. Ce principe s'applique à la fois aux clients et aux vendeurs.

Cela signifie que les plateformes ne peuvent collecter que la quantité minimale d'informations nécessaires à la commande et qu'il leur est interdit de collecter des données à des fins indéfinies.

Obligations des marchés envers les vendeurs en vertu du RGPD

Les marchés doivent définir leur implication dans le traitement des données. Généralement, ils sont considérés comme responsables du traitement des données liées aux opérations de la plateforme. Cela inclut la création de comptes et la catégorisation des produits. Parallèlement, les vendeurs sont considérés comme responsables du traitement des données liées aux commandes passées.

Cependant, les marchés peuvent être considérés comme responsables conjoints du traitement des données s'ils jouent un rôle actif dans la détermination des finalités et des méthodes de traitement. Par exemple, certains marchés vont au-delà de la mise en relation des clients avec les vendeurs et utilisent les données des clients pour de la publicité ciblée ou des programmes de fidélité. Dans ces cas, les parties doivent signer un contrat de responsables conjoints du traitement.

Cela rend les processus stricts de Connaissance du client (KYC) encore plus importants. Les marchés doivent vérifier l'identité de leurs partenaires commerciaux avant de faire affaire avec eux. Le processus KYC permet d'authentifier les vendeurs et d'assurer des environnements sécurisés, fiables et transparents pour les clients.

Stripe Connect est conçu spécifiquement pour les marchés. Il gère le processus KYC en vérifiant l'identité des vendeurs lors de leur inscription sur la plateforme.

Comment Stripe Connect peut vous aider

Stripe Connect orchestre les mouvements de fonds entre plusieurs parties pour le compte de plateformes logicielles et de places de marché. Il offre une inscription des utilisateurs rapide, des composants intégrés, des virements internationaux, etc.

Connect peut vous aider à :

• Être opérationnel en quelques semaines : utilisez des fonctionnalités intégrées ou hébergées par Stripe pour accélérer la mise en service en évitant les coûts initiaux et le temps de développement généralement requis pour accepter les paiements.

• Gérer les paiements à grande échelle : utilisez les outils et services de Stripe pour éviter de mobiliser des ressources supplémentaires pour la production de rapports sur les marges, les formulaires fiscaux, la gestion du risque, les modes de paiement mondiaux ou la conformité liée à l’inscription des utilisateurs.

• Se développer à l’international : aidez vos utilisateurs à attirer davantage de clients dans le monde entier en proposant des modes de paiement locaux et le calcul facile des taxes de vente, de la TVA et de la TPS.

• Bâtir de nouveaux canaux de revenus : optimisez les revenus des paiements en collectant des frais sur chaque transaction. Monétisez les capacités de Stripe sur votre plateforme en activant les paiements en personne, les virements instantanés, la perception des taxes de vente, les financements, les cartes commerciales, et bien plus encore.

Découvrez-en plus sur Stripe Connect, ou commencez dès aujourd’hui.

FAQ sur le RGPD et les marchés