Home Depot a fourni à tort des données client à la stratégie Meta »

Une enquête menée par le commissaire à la protection de la vie privée du Canada a révélé que Home Depot Canada avait fourni à Meta les adresses électroniques des clients et les données d’achat dans le cadre d’un programme de mesure des publicités, sans informer les clients de la manière d’utiliser ces données.

Depuis 2018, Home Depot Canada recueille les courriels des clients à la caisse, dans le but déclaré d’envoyer des reçus d’achat électroniques.

Cependant, la commission a constaté que Home Depot avait également fourni ces e-mails et les données d’achat en magasin associées à Meta. Les données comprennent une version hachée de l’e-mail du client, l’heure de son achat, les produits achetés, le service auprès duquel il a acheté et le magasin dans lequel l’achat a été effectué. Meta associera l’e-mail à un compte Facebook existant et comparera les informations d’achat aux publicités qu’un utilisateur peut avoir vues comme un moyen de mesurer l’efficacité, en alimentant les résultats dans un rapport au détaillant.

La commission a également déclaré que Home Depot autorisait Meta à utiliser ces données pour ses propres activités commerciales, telles que le ciblage d’annonces non liées à Home Depot.

Tout cela fait partie de Home Depot Canada en utilisant la plate-forme de conversions hors ligne de Facebook, qui permet aux annonceurs de connecter les données CRM et de point de vente pour mesurer l’impact des publicités sur les événements hors ligne – comme les ventes en magasin – ainsi que de créer des audiences personnalisées et cibler les futures campagnes publicitaires.

Bien que la participation à ce type de plate-forme ne viole pas les règles de confidentialité, l’enquête de la commission a révélé que Home Depot n’avait pas obtenu le consentement approprié pour la collecte de données qu’il utilisait pour ces activités, et n’avait pas non plus informé les clients que leurs données seraient utilisées de cette manière.

“Lorsque les clients sont invités à fournir leur adresse e-mail, ils ne sont jamais informés que leurs informations seront partagées avec Meta par Home Depot, ni comment elles seront utilisées par une autre entreprise”, a déclaré le commissaire à la protection de la vie privée Philippe Dufresne dans un communiqué. . “Ces informations seront importantes pour la décision d’un client d’obtenir ou non un reçu électronique.”

La position de Home Depot est qu’en acceptant que les clients fournissent des e-mails, il a reçu un consentement implicite pour la pratique par le biais de sa propre politique de confidentialité et de Meta, ce dernier expliquant le programme de conversions hors ligne. Le détaillant a cité “l’épuisement du consentement” comme raison pour ne pas informer les clients de son partage d’informations avec Meta.

Mais la commission a rejeté cet argument pour plusieurs raisons. Premièrement, ces politiques de confidentialité ne seront pas facilement accessibles aux clients au moment où ils fourniront leur adresse e-mail. Deuxièmement, ces politiques de confidentialité ne fournissaient pas d’explication claire de la pratique. Quoi qu’il en soit, la commission a déclaré que l’activité était du genre pour laquelle Home Depot aurait dû obtenir une autorisation d’adhésion et a fourni une explication claire, basée sur les dispositions de la LPRPDE et les directives de conformité qu’elle avait précédemment publiées.

L’une des raisons pour lesquelles Home Depot pense pouvoir s’appuyer sur le consentement implicite est que les informations partagées avec Meta ne sont pas “sensibles”. Bien que la commission ait reconnu que cela était vrai dans le contexte spécifique de la mesure de l’efficacité des publicités, elle a déclaré que les données pourraient être sensibles si elles étaient utilisées pour modéliser le comportement d’achat et les emplacements où les clients achètent. Il peut également être sensible si Meta le combine avec d’autres données dont il dispose sur un utilisateur.

“Alors que les entreprises cherchent de plus en plus à fournir des services par voie électronique, elles doivent examiner attentivement toute utilisation consécutive d’informations personnelles, qui peut nécessiter un consentement supplémentaire”, a déclaré Dufresne. “Dans ce cas, les clients de Home Depot ne s’attendaient probablement pas à ce que leurs informations personnelles soient partagées avec une plate-forme de médias sociaux tierce simplement parce qu’ils ont choisi un reçu électronique.”

La commission a recommandé que Home Depot cesse de divulguer les informations personnelles des clients à Meta jusqu’à ce qu’il puisse s’assurer qu’il obtient le consentement approprié des clients.

Home Depot coopère avec les recommandations et a cessé de pratiquer Meta en octobre. Le détaillant a également accepté de poursuivre la pratique uniquement s’il a obtenu le consentement préalable des clients, de les informer de la manière dont leurs informations seront utilisées et de mettre à jour sa politique de confidentialité pour inclure la pratique, ainsi que de fournir des informations sur la manière de se désinscrire.

La décision intervient alors que le projet de loi C-27, qui remanierait les lois canadiennes sur la protection de la vie privée, continue de faire son chemin à la Chambre des communes. Un élément clé du projet de loi explique comment obtenir un consentement approprié pour la collecte de renseignements personnels, ce qui comprend la fourniture d’informations détaillées sur les données collectées, la manière dont elles sont utilisées et les tiers auxquels les données seront partagées. Le projet de loi obligerait également les entreprises à être plus transparentes sur la manière dont les données sont collectées et utilisées.

Le projet de loi a reçu sa deuxième lecture à la Chambre des communes en novembre. Il sera renvoyé au comité lorsque le gouvernement fédéral reviendra de sa pause hivernale le 30 janvier.