Quiz marketing : éviter les données sensibles

Un quiz marketing peut recommander un produit sans constituer un dossier sur la santé ou la vie intime du visiteur. Commencez par supprimer les questions sensibles qui ne sont pas nécessaires au conseil, puis examinez les résultats déduits, les données transmises et les réutilisations commerciales. Ajouter une case de consentement à un questionnaire trop intrusif ne résout pas ces problèmes.

Le risque ne se limite pas à la question « avez-vous une maladie ? ». Une combinaison de réponses, un score ou le nom d’une audience peut aussi révéler une information sensible. Ce guide propose une méthode de conception pour une PME qui souhaite publier un quiz de recommandation, sans transformer un besoin de produit en profil personnel injustifié.

Ce qui rend une réponse sensible

L’Art. 9(1) du RGPD protège notamment les données révélant la santé, les opinions politiques, les convictions religieuses, l’appartenance syndicale et la vie ou l’orientation sexuelle. Il pose une interdiction de traitement assortie d’exceptions. Un questionnaire commercial n’échappe pas à cette règle parce qu’il est court, gratuit ou présenté comme ludique. RGPD, Art. 9.

La qualification dépend du contenu et du contexte. « Quelle largeur de siège recherchez-vous ? » décrit d’abord une caractéristique de produit. « Quelle maladie vous empêche de rester assis ? » demande une information de santé. Entre ces deux formulations, il faut examiner ce que les réponses permettent réellement de comprendre et l’usage prévu, sans déclarer sensible toute préférence de confort.

La CNIL explique que certaines données deviennent des données de santé par leur croisement, lorsqu’il permet de conclure à un état ou à un risque pour la santé. Cette appréciation se fait au cas par cas. Une information n’a donc pas besoin de provenir d’un médecin pour relever de cette catégorie. Définition CNIL des données de santé.

L’Art. 4(15) définit ces données par ce qu’elles révèlent sur la santé. Remplacer « douleur chronique » par le code interne « segment S4 » ne change pas la signification conservée par l’entreprise. Un pseudonyme n’efface pas davantage le lien avec une personne lorsque des informations supplémentaires permettent de le rétablir. RGPD, Art. 4(5) et 4(15).

Refaire un questionnaire à partir du besoin de produit

Prenons un projet fictif de vendeur de fauteuils de bureau. Son objectif annoncé est d’orienter l’adulte vers des modèles adaptés à son espace et à ses préférences. Il ne propose pas de diagnostic médical. L’équipe a rédigé cinq questions que le responsable conformité examine avant toute mise en ligne.

Cette grille ne rend pas universellement licite une reformulation. Elle documente le choix de ce projet : proposer un catalogue fonctionnel sans connaître la cause médicale d’une préférence. Si le commercial utilise ensuite « accoudoirs réglables » pour attribuer une pathologie, la finalité et l’analyse changent à nouveau.

L’équipe conserve aussi une question sur le budget recherché. Cette information n’est pas, à elle seule, une catégorie de l’Art. 9 ; elle reste personnelle si elle est rattachable au visiteur. Elle doit donc servir le besoin annoncé, sans alimenter discrètement une estimation de sa vulnérabilité financière.

Le résultat retenu est « modèles avec accoudoirs réglables compatibles avec une hauteur donnée ». Le résultat rejeté est « profil médical nécessitant un fauteuil spécialisé ». Le changement porte sur ce que le système déduit, et pas seulement sur les mots visibles dans le formulaire.

Séparer la recommandation, le contact et la prospection

Dans ce projet, le visiteur peut consulter la sélection sans donner son email. Un bouton distinct lui permet de demander un devis pour un modèle choisi. Le commercial reçoit alors les coordonnées nécessaires, la référence du produit et les précisions fonctionnelles utiles ; il ne reçoit pas automatiquement tout l’historique du quiz.

Cette séparation applique la minimisation de l’Art. 5(1)(c) et la protection dès la conception de l’Art. 25. Elle réduit les données en circulation sans promettre que le parcours est anonyme : le serveur ou les outils intégrés peuvent encore traiter des identifiants techniques. RGPD, Art. 25.

Identifiez une base de l’Art. 6 pour chaque traitement personnel. La demande effective de devis peut relever des mesures précontractuelles demandées par la personne, dans les limites de l’Art. 6(1)(b). Ce fondement ne couvre pas automatiquement la collecte antérieure d’un profil détaillé ni l’inscription à une newsletter. Le guide du formulaire de contact conforme aide à distinguer les champs nécessaires et facultatifs.

La réception du résultat ne doit pas être confondue avec l’accord pour des campagnes ultérieures. Le canal, les destinataires et le contenu de ces campagnes nécessitent leur propre examen, présenté dans le guide de la génération de leads. Une adresse donnée pour recevoir une réponse déterminée n’autorise pas toutes les utilisations commerciales imaginables.

Si une donnée sensible reste réellement nécessaire

Certains projets ne peuvent pas atteindre leur objectif sans cette donnée. Il faut alors identifier une exception applicable de l’Art. 9(2), en plus d’une base de l’Art. 6, et respecter les autres exigences du RGPD. L’intérêt commercial de l’entreprise ne constitue pas, en lui-même, une exception à l’interdiction.

Le consentement explicite de l’Art. 9(2)(a) est une possibilité sous conditions, pas une autorisation générale. La personne doit comprendre quelles informations sensibles sont traitées, pour quelle finalité et par qui. L’accord doit être libre, spécifique, éclairé et démontrable ; son retrait doit être aussi simple que son recueil, conformément à l’Art. 7.

Une formulation « j’accepte les conditions et l’utilisation de mes données » ne décrit pas ce choix. À l’inverse, nommer une donnée et une finalité dans une déclaration explicite ne suffit toujours pas si le parcours impose un traitement inutile pour accéder à une offre sans rapport. La nécessité et la proportionnalité restent à établir.

Ne transposez pas l’exception de prise en charge sanitaire de l’Art. 9(2)(h) à un simple vendeur parce qu’il parle de bien-être. Ce régime suppose les finalités et les conditions prévues par le texte, dont celles du paragraphe 3. Une réponse adressée à un questionnaire privé n’est pas non plus, de ce seul fait, manifestement rendue publique par son auteur.

Si l’équipe ne peut justifier l’exception et les garanties, elle doit retirer la collecte concernée ou suspendre ce parcours. Conserver le catalogue ordinaire permet de poursuivre l’activité sans publier le questionnaire litigieux. Une analyse d’impact ne remplace pas l’exception manquante.

Vérifier les sorties, pas uniquement les écrans

Le document de conception doit nommer ce qui quitte le quiz. Pour le vendeur de fauteuils, la consigne retenue est : aucun récit de santé, aucun segment médical et aucune réponse brute dans les outils publicitaires ; seules les informations utiles à la demande de devis rejoignent son dossier.

Demandez au prestataire de montrer, avec des réponses fictives, le contenu des échanges réseau, des exports, des notifications et des journaux. Examinez également les noms de pages, les paramètres des liens et les événements de mesure. Une interface sans champ sensible peut encore transmettre l’ancien score si le connecteur n’a pas été modifié.

Le résultat attendu doit être écrit avant la démonstration. Pour une sélection sans demande de contact, aucune fiche commerciale nominative ne doit être créée dans la configuration choisie. Pour un devis, le dossier contient le modèle demandé et les coordonnées prévues. Ces exigences décrivent le projet ; elles ne prétendent pas attester une configuration technique effectivement testée ici.

Si une sortie interdite apparaît, bloquez le connecteur ou le parcours concerné, corrigez la règle puis contrôlez à nouveau les branches affectées. Si le prestataire ne permet pas d’observer ou de limiter les transmissions, changez la conception ou l’outil avant lancement. Une attestation générale « conforme RGPD » ne répond pas à cette question concrète.

Les lectures ou écritures dans le terminal relèvent aussi de l’Art. 82 de la loi Informatique et Libertés : consentement préalable, sauf exception prévue par le texte. L’accord relatif à une donnée sensible ne vaut pas indistinctement accord pour tous les traceurs. Art. 82 et guide des cookies.

Expliquer le parcours et préparer les droits

La notice doit correspondre à la version réellement livrée. Pour notre exemple, une première couche pourrait annoncer : « Vos choix de caractéristiques servent à afficher une sélection. Si vous demandez un devis, nous transmettons au service commercial vos coordonnées et les éléments nécessaires à cette demande. »

Cette proposition est à adapter ; elle ne constitue pas une notice complète. Ajoutez notamment l’identité du responsable, les bases, les destinataires, les durées ou critères, les droits et les éventuels transferts exigés par l’Art. 13. N’annoncez pas une absence de conservation si des journaux contiennent encore les réponses.

Définissez séparément le sort des réponses temporaires, du devis et des éventuelles preuves. Une conservation commerciale de plusieurs années n’est pas un réglage par défaut pour chaque détail du questionnaire. Prévoyez aussi la correction ou la suppression d’un résultat personnel erroné et l’arrêt de ses réutilisations concernées.

Un classement automatique évaluant les préférences peut constituer un profilage au sens de l’Art. 4(4). L’Art. 22 vise un périmètre plus étroit : une décision exclusivement automatisée produisant un effet juridique ou affectant significativement la personne de façon similaire. Une simple suggestion de fauteuil ne suffit pas à établir ce seuil ; un usage déterminant l’accès à un service appelle une autre analyse. RGPD, Art. 22.

Examinez enfin l’obligation d’analyse d’impact avant le traitement, selon l’Art. 35, notamment en présence d’un risque élevé ou d’un traitement à grande échelle de données sensibles. Pour une notation commerciale, prolongez cette revue avec les critères de lead scoring et la distinction entre diagnostic gratuit et score commercial.

Ce qu’il faut retenir

• Concevez les questions à partir du produit, sans exiger une justification intime inutile.
• Examinez aussi les catégories déduites et les informations exportées.
• Une exception de l’Art. 9 ne dispense ni de base légale ni de minimisation.
• Une transmission non maîtrisée doit être corrigée avant d’ouvrir le parcours.

FAQ

Un quiz sans nom est-il anonyme ?

Pas nécessairement. Un compte, un identifiant technique ou un rapprochement peut permettre de rattacher les réponses à une personne. L’absence de champ « nom » ne suffit pas à conclure.

Peut-on garder uniquement le score ?

Seulement après examen de sa signification, de son utilité et de sa licéité. Un code décrivant une situation de santé reste sensible lorsqu’il constitue une donnée personnelle, même sans les réponses initiales.

Faut-il demander un consentement pour toute préférence ?

Non automatiquement. Il faut qualifier le traitement et choisir sa base applicable. Une préférence de couleur n’est pas une donnée de santé ; les traceurs et les usages publicitaires restent à examiner séparément.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.