Le nouveau règlement général sur la protection des données (GDPR) doit entrer en vigueur en mai 2018 mais il existe déjà beaucoup de ressources pour vous guider vers la conformité. Dans cet article, nous allons nous intéresser en détail à la question de la collecte du consentement, en prenant des exemples concrets pour illustrer les meilleures pratiques sur le sujet. La collecte du consentement devient très sensible, car le consentement doit désormais respecter 5 conditions :
- Dissocié : Les demandes de consentement doivent être distinctes des autres termes et conditions. Le consentement ne devrait pas être une condition préalable à la signature d’un service, à moins que cela ne soit nécessaire pour ce service.
- Acceptation active : les cases pré-cochées ne sont pas valides. Utilisez des cases d’activation non cochées ou des méthodes d’activation similaires.
- Granulaire : Donner des options granulaires à consentir séparément pour différents types de traitement.
- Nommé : Nommez votre organisation et tous les tiers qui s’appuieront sur le consentement – même des catégories précisément définies d’organisations tierces ne seront pas acceptables en vertu du GDPR.
- Facile à retirer : Dites aux gens qu’ils ont le droit de retirer leur consentement à tout moment, et comment le faire. Il doit être aussi facile de se retirer que de donner son consentement. Cela signifie que vous devrez disposer de mécanismes de retrait simples et efficaces.
Il y a un autre changement important qui devrait figurer dans l’agenda du responsable marketing, à savoir le besoin pour les marques de tenir un registre des consentements qu’elles ont. C’est-à-dire ce que les utilisateurs ont dit et comment ils ont donné leur consentement.
Consentement dégroupé – Qui le fait bien ?
Consentement dégroupé – Sainsbury’s
Voici un bon exemple signé Sainsbury. Regardez comment les blocs de contenu blanc séparent les sections «Termes et conditions» clairement indiqués et «Autorisations de contact». La section d’autorisation de contact exige que les utilisateurs choisissent une option. Soit «oui,, s’il vous plaît» ou «non merci». C’est très claire, et c’est ce que le consommateur aime voir lors de l’inscription à un compte e-commerce. Tout n’est pas parfait cependant. En effet, la permission pour l’email, le courrier postal, les SMS et le téléphone sont tous regroupés dans la même case, mais en ce qui concerne le consentement dégroupé (séparé des CGV), Sainsbury’s frappe la cible.
Consentement dégroupé – Réseau de protection des données
On pourrait s’attendre à ce que le Data Protection Network (Réseau de protection des données) soit au top pour ce genre de choses. Nous nous sommes récemment inscrit pour pouvoir télécharger des conseils sur le GDPR et les «intérêts légitimes» . Tout en les rejoignant, nous avons noté le consentement dégroupé et les curseurs rouge-vert très bien pensé. Un bon opt-in UX.
Consentement granulaire – Qui le fait bien ?
Rappelez-vous, le consentement granulaire signifie que vous acceptez chaque méthode de contact séparément, qui, si elle est personnalisée par le traitement des données, relève du GDPR.
Consentement granulaire – Woolworth’s Australia
Voici un bel exemple de Woolworth’s Australia, tiré de l’enregistrement du compte. Ils utilisent trois cases à cocher différentes: SMS, email et courrier. Cela signifie que les utilisateurs peuvent obtenir des informations via le canal voulu, plutôt qu’une approche «tout ou rien». Bien que Woolworth’s Australia ne dépende pas de la Commission Européenne, il y a beaucoup d’entreprises internationales qui font cela, et devront donc se conformer au GDPR.
Consentement granulaire – Age UK
Age UK divise le consentement marketing (en remplissant un formulaire en ligne pour faire un don) dans les cases à cocher pour l’email, le téléphone, le SMS et le courrier. Ce qui est également bien, c’est que chaque chaîne (hormis le courrier) nécessite un opt-in actif.
Bien que le consentement pour le publipostage doit être accepté, certains autres organismes sont moins transparents. En effet certains ne laissent même pas le choix aux utilisateurs de s’abonner à leurs informations, puis leur demande de prendre contact pour modifier cela. Une procédure que peu d’internautes suivent. Notez que le marketing par la poste peut être considéré comme un intérêt légitime pour les organismes de bienfaisance. Le GDPR stipule que «le traitement de Données Personnelles à des fins de marketing direct peut être considéré comme réalisé pour un intérêt légitime». Cependant, comme le souligne le Réseau de protection des données, «les organisations devront toujours s’assurer qu’elles peuvent établir la nécessité et équilibrer leurs intérêts avec ceux des personnes recevant les communications de marketing direct». Cela signifie que le courrier peut être difficile à justifier chaque semaine, mais un courrier trimestriel destiné à informer les utilisateurs sur le travail de charité peut sembler plus sensé.
Organismes désignés – Qui le fait bien ?
Quelles entreprises nomment clairement les organisations qui auront accès aux données de l’utilisateur ?
Organisations désignées – Waitrose
Voici un exemple clair de Waitrose lors de l’inscription sur le site. L’utilisateur peut consentir à recevoir des mises à jour de Waitrose, John Lewis ou John Lewis Financial Services. Chaque organisation a sa propre case à cocher. Cependant, techniquement, il s’agit toujours d’une désactivation, car l’utilisateur doit cliquer sur les boutons s’il ne souhaite PAS recevoir des communications. Un peu sournois.
Organisations désignées – Age UK
Voici un deuxième exemple qui correspond parfaitement à la clarté que le GDPR cherche à fournir aux utilisateurs. Age UK définit clairement dans quelles circonstances les utilisateurs (faisant un don) peuvent être contactés, que leurs données ne seront jamais vendues, et que les utilisateurs peuvent changer d’avis sur le consentement. Fondamentalement, il y a aussi une ligne qui indique clairement à quelles organisations nous nous référons.
Active opt-in – Qui le fait bien ?
Activation active – Walmart Canada
Walmart Canada – où les règlements sont stricts, y compris la CASL (législation anti-spam canadienne) – utilise non seulement un opt-in actif, spécifiquement pour les courriels, mais a aussi le mot «facultatif» entre parenthèses, pour informer les utilisateurs qu’ils ne sont pas obligés de cocher la case. De plus, il est bon de voir une description claire du contenu que vous pourriez recevoir.
Facile à retirer – Qui le fait bien ?
Facile à retirer – The Guardian
Ce type de fonctionnalité est assez standard dans de nombreux secteurs (par exemple, dans les médias et le commerce électronique), mais il ne l’est pas encore pour tout le monde en tant que libre-service. The Guardian montre comment ceux qui se sont inscrits à un compte peuvent retirer l’autorisation dans leurs paramètres de compte. Ils montrent également comment retirer l’autorisation de profilage qui peut avoir un impact sur les publicités qu’un utilisateur voit.
Une fonctionnalité que le Guardian offre (ci-dessous), est de supprimer complètement votre compte (droit d’effacement). Lorsque vous effectuez cette opération à partir des paramètres de votre compte, vous disposez de nombreuses informations claires sur l’impact que cela aura, des commentaires que vous avez faits aux abonnements payants en place. Les pages stipulent également: « La suppression de votre compte supprime les informations personnelles de notre base de données, votre adresse e-mail est définitivement supprimée et la même adresse email ne peut pas être réutilisée pour créer un nouveau compte. »
Autre bonne pratique
La clarté de Channel 4
Nous voulions inclure l’exemple de Channel 4, avec une campagne vidéo en 2012, lorsque le diffuseur cherchait à préparer les utilisateurs à l’enregistrement obligatoire. Lorsque vous vous inscrivez pour un compte Channel 4 sur le site All 4, vous pouvez voir Alan Carr en vedette sur le côté droit et un lien vers la vidéo («Our viewers promise»). Il y a un titre clair – «comment nous utilisons vos informations» – et le texte mentionne la publicité sur mesure, et se trouve sous la copie détaillant «raisons de s’inscrire».
Il y a un UX assez unique en bas du formulaire avec des utilisateurs capables de cliquer pour voir un exemple de newsletter (voir le texte lié dans la capture d’écran ci-dessous). C’est une manière innovante d’aider l’utilisateur à décider s’il veut ou non opter pour les communications. Le seul reproche que nous pouvons faire avec cette case à cocher est que l’explication qui l’accompagne pourrait être clarifiée. Tout le monde ne sait pas ce que signifie FOMO, par exemple.
Ces différents exemples ne sont pas difficiles à mettre en place. Ce sont les tâches de bureau qui représentent le véritable défi: comment conserver les enregistrements de tous les traitements, de tous les consentements accordés par les utilisateurs, comment permettre aux utilisateurs de transmettre leurs données à un autre fournisseur, etc. Mais, comme les entreprises doivent chercher à se mettre en conformité avec le GDPR d’ici mai 2018, la partie la plus visible de cette conformité – le fait d’obtenir le consentement et de faire savoir à l’utilisateur qu’il peut résigner à tout moment – devrait bientôt devenir une priorité.
Si le sujet du UX vous intéresse, je vous invite fortement à parcourir cet article :