Commande de CBD et données personnelles : ce que dit le droit

Une commande de CBD laisse la même trace qu’une commande de café ou de chaussures : identité, adresse de livraison, historique d’achat, données de paiement traitées par un prestataire, et une série de traceurs déposés pendant la visite. Le régime applicable est le droit commun de la protection des données, sans exception liée au produit. Ce qui change, c’est la sensibilité que beaucoup d’acheteurs attachent à cet historique, et donc l’intérêt de savoir ce qui est conservé, pendant combien de temps, et ce qu’on peut demander à faire supprimer.

Ce qu’une boutique peut collecter

Une donnée ne se collecte pas parce qu’elle est disponible, mais parce qu’elle sert à une finalité déterminée. Pour une vente en ligne, cela couvre les éléments nécessaires à la commande, à la livraison, à la facturation et au service après-vente. Une date de naissance peut se justifier par une vérification d’âge, un numéro de téléphone par la livraison. En revanche, un champ obligatoire sans lien avec la commande n’a pas d’assise évidente, et rien n’oblige un acheteur à le remplir sans explication.

Combien de temps ces données restent

La CNIL rappelle que les données personnelles ne peuvent pas être conservées indéfiniment et qu’une durée doit être déterminée par le responsable du traitement. Elle décrit trois étapes successives : la base active, pendant laquelle les données servent l’objectif du traitement ; l’archivage intermédiaire, lorsque les données ne servent plus cet objectif mais répondent à une obligation légale, avec un accès limité à des personnes habilitées ; l’archivage définitif, réservé à des cas particuliers. La commission cite l’exemple des données de facturation, qui doivent être conservées dix ans.

Pour la prospection commerciale, le référentiel de la CNIL sur la gestion des activités commerciales fixe des repères plus précis. Les données relatives aux clients peuvent être conservées pendant la relation commerciale, puis pendant trois ans à compter de la fin de cette relation. Les données de prospects peuvent l’être pendant trois ans à compter de leur collecte ou du dernier contact venant du prospect. Une newsletter reçue quatre ans après un achat unique, sans aucun contact entre-temps, sort donc de ce cadre.

Les traceurs déposés pendant la visite

Tous les cookies ne se valent pas. Certains sont exemptés de consentement parce qu’ils sont nécessaires au service demandé : ceux qui conservent le contenu d’un panier d’achat sur un site marchand ou qui permettent la facturation des produits achetés, ceux liés à l’authentification, à la personnalisation de l’interface, à l’équilibrage de charge, ainsi que ceux qui mémorisent vos choix en matière de consentement. Les autres, publicité personnalisée et boutons de réseaux sociaux en particulier, supposent un accord préalable.

Le principe pratique tient en une phrase de la CNIL : il doit être aussi simple de retirer son consentement que de le donner. Un lien permanent en pied de page ou un module de gestion accessible à tout moment sont les formes attendues. Un bandeau qui propose « tout accepter » sans équivalent pour refuser ne correspond pas à cette exigence.

Les droits que vous pouvez exercer

La CNIL détaille plusieurs droits ouverts à toute personne : information, accès, rectification, effacement, opposition, portabilité, limitation, déréférencement dans les moteurs de recherche, et intervention humaine face à une décision automatisée.

• Le droit d’accès permet de demander la copie des données détenues et de vérifier leur exactitude.
• L’organisme doit répondre dans les meilleurs délais et au plus tard dans un délai d’un mois, porté à trois mois pour une demande complexe, à condition de vous en informer pendant le premier mois.
• La réponse doit indiquer les objectifs d’utilisation, les catégories de données, les destinataires, la durée de conservation et l’existence de vos autres droits.
• En l’absence de réponse dans le délai, une plainte peut être adressée à la CNIL avec les preuves de vos démarches préalables.

La discrétion, une question de conditions générales

Beaucoup d’acheteurs se soucient moins du droit que de l’emballage : nom du destinataire sur le colis, mention de l’expéditeur, libellé du prélèvement sur le relevé bancaire. Aucun de ces points n’est réglementé de façon spécifique pour le chanvre, ce qui signifie qu’ils dépendent entièrement de la boutique. Ils se vérifient avant de payer, dans les conditions générales de vente ou par une question au service client, et la réponse obtenue vaut engagement contractuel. Un site qui reste évasif sur ce point le sera probablement aussi sur le reste, comme le montre notre page sur la transparence des boutiques.

Les vérifications utiles avant le paiement

Trois pages méritent d’être ouvertes une fois, sur une boutique où vous comptez commander plusieurs fois : la politique de confidentialité, qui doit nommer le responsable de traitement et les durées appliquées ; la page de gestion des cookies, qui doit permettre le retrait ; les mentions légales, qui identifient l’entité à laquelle adresser une demande. Sans ces éléments, une demande d’effacement n’a pas de destinataire, et notre page sur reconnaître un site fiable montre que cette absence va rarement seule.

Un historique d’achat se gère, il ne s’oublie pas

La règle qui simplifie tout le reste est celle de la durée : les données ne restent pas là par défaut, elles restent parce qu’une finalité ou une obligation légale le justifie. Trois ans après le dernier contact pour la prospection, dix ans pour la facturation. Entre ces deux bornes, un acheteur peut demander l’accès, la rectification ou l’effacement de ce qui n’a plus de raison d’être conservé, et attendre une réponse dans le mois.