Votre reçu par courriel? Des détaillants dévoilent ce que vous achetez en magasin à Meta

Des données d’utilisateurs de Facebook colligées par CBC/Radio-Canada révèlent que plusieurs détaillants bien connus au pays ont transmis des informations sur leurs clients à Meta, la maison mère du réseau social. Et ce n’est pas clair si les consommateurs en ont été avertis.

Des achats à La Baie d’Hudson, Gap, Lululemon, Best Buy, Sephora, Anthropologie, PetSmart et Bed, Bath & Beyond, entre autres, ont été répertoriés dans les données de Facebook que nous avons analysées.

Il s’agit d’un signal d’alarme, estime Wendy Wong, professeure au Département de science politique de l’Université de la Colombie-Britannique, qui s’intéresse aux technologies émergentes et à la protection de la vie privée.

« Ces révélations nous montrent à quel point le public ne sait pas quelle part de nos activités est traçable. »

Le mois dernier, le magasin de rénovation Home Depot a été épinglé par le commissaire à la vie privée du Canada pour avoir transmis à Facebook des informations privées de ses clients qui préféraient obtenir leur reçu par courriel.

Dans son rapport cinglant, le commissaire Philippe Dufresne dévoilait que le quincaillier envoyait systématiquement les détails des reçus électroniques à Meta, sans en informer les clients et sans obtenir leur consentement, depuis au moins quatre ans.

Ces informations permettent à Meta d’adapter ses annonces publicitaires dans le cadre de son programme de conversions hors ligne, qui se fie notamment aux achats en boutique et aux réservations par téléphone.

Le rapport indiquait que les détails d’achats peuvent être de nature très sensible lorsqu’ils révèlent, par exemple, des informations sur la santé, la sexualité ou les finances des consommateurs.

C'était peut-être pas toujours sensible, si on achète du bois ou de la quincaillerie, mais pour d'autres magasins, d'autres types d'achats, c’est très intime, a affirmé Philippe Dufresne en entrevue avec Radio-Canada.

Le commissaire à la protection de la vie privée du Canada, Philippe Dufresne, a présenté à la presse son plus récent rapport le 26 janvier dernier.

Photo : La Presse canadienne / Spencer Colby

Bien que l’enquête du commissaire se soit uniquement penchée sur Home Depot, cette pratique pourrait être beaucoup plus répandue, selon lui.

Les compagnies doivent être claires avec les clients, doivent expliquer ce qu'elles veulent faire avec l'information et avec qui elles souhaitent la partager et pourquoi, affirme M. Dufresne.

« On ne peut pas présumer que les clients consentent à ça simplement parce qu'ils choisissent un reçu électronique. »

La Compagnie de la Baie d'Hudson dit avoir suspendu tous les transferts de données vers Meta depuis la publication de ce rapport. Sa porte-parole Tiffany Bourré ajoute que l'entreprise revoit présentement ses pratiques de communication de données.

Comment repérer vos achats hors ligne

L’enquête du commissaire à la protection de la vie privée découle d’une plainte déposée par un consommateur qui, en supprimant son compte Facebook, a découvert que la plateforme avait une liste de ses achats effectués chez Home Depot. C’est lorsque l’entreprise a nié avoir transmis ses informations au réseau social que l’homme a décidé de porter plainte.

Une vingtaine de journalistes de CBC/Radio-Canada ont téléchargé leurs données personnelles sur leur activité en dehors de Facebook, en suivant la démarche (Nouvelle fenêtre) que propose le réseau social par souci de transparence.

Carl-Edwin Michel présente sa rétrospective techno de l'année 2021.

Photo : Dado Ruvic/Reuters

On y trouve répertoriés nos achats dans plusieurs grandes chaînes. Ces données montrent, par exemple, les détails d’achats effectués ces derniers mois dans des magasins PetSmart et qui correspondent aux reçus électroniques.

L'entreprise PetSmart figure parmi les entreprises qui communiquent à Meta, la maison mère de Facebook, des détails sur les achats de leurs clients.

Photo : Radio-Canada

L’entreprise de produits pour animaux de compagnie dit constamment revoir ses pratiques de partage de données, mais refuse de préciser combien de données personnelles elle a transmises à Meta et comment elle avertit ses clients lorsqu’elle envoie des reçus par courriel.

Nous pouvons partager les informations que nous collectons avec des entreprises qui nous fournissent des services de soutien, peut-on lire dans la politique de confidentialité de PetSmart.

Le commissaire à la protection de la vie privée a cependant déclaré qu’une telle déclaration, semblable à celle de Home Depot, ne constitue pas un consentement pour la divulgation d’informations personnelles avec Meta.

Les autres détaillants dont les achats sont répertoriés dans les données de Facebook analysées comprennent les chaînes de mode Anthropologie et Gap, qui possède également les marques Banana Republic, Old Navy et Athleta.

CBC/Radio-Canada a contacté chaque détaillant et lui a fourni des données d'achat téléchargées à partir de Facebook. Gap a refusé de commenter le dossier, alors que les autres sociétés n'ont pas donné suite à nos demandes.

Pour le consommateur moyen, ça peut sembler envahissant, affirme Opeyemi Akanbi, professeure adjointe à l’École de communication professionnelle de l’Université métropolitaine de Toronto. Mais pour les entreprises, ces données sont très précieuses [...] pour avoir une meilleure idée de ce que font les gens et pour mieux cibler la publicité.

Opeyemi Akanbi, professeure adjointe à l’École de communication professionnelle de l’Université métropolitaine de Toronto

Photo : Radio-Canada

Cependant, en vertu de la loi canadienne (Nouvelle fenêtre), les sociétés doivent habituellement obtenir le consentement des personnes lorsqu’elles recueillent, utilisent ou communiquent des renseignements personnels les concernant.

Le risque, c’est la banalisation de la vie privée ou de la protection des renseignements personnels. Il faut absolument lutter contre ça, affirme le commissaire Philippe Dufresne.

C’est un droit fondamental.

Vers une loi avec plus de mordant

Au Canada, toutefois, les entreprises courent peu de risques. Le Commissariat à la protection de la vie privée n’a pas le pouvoir d’imposer des amendes. Il ne peut faire que des recommandations.

Il pourrait bientôt y avoir un prix à payer pour les entreprises qui protègent mal les informations privées de leurs clients : le projet de loi C-27, à la Chambre des communes, prévoit notamment des pénalités pouvant aller jusqu’à 25 millions de dollars, ou 5 % des revenus mondiaux, selon le montant le plus élevé.

Home Depot, pour sa part, dit avoir cessé d'utiliser l'outil de conversions hors ligne de Meta en octobre dernier, après avoir été approché par le Commissariat à la protection de la vie privée.

La maison mère de Facebook a refusé de préciser combien de détaillants canadiens lui fournissent des données sur leurs clients. Les utilisateurs du réseau social peuvent demander à la plateforme (Nouvelle fenêtre) de cesser d’enregistrer leurs interactions en magasin et ailleurs sur le web.

Il est important d’être conscient de la mise en données de nos vies, lance Wendy Wong, de l’Université de la Colombie-Britannique. Cette expression fait référence à la monétisation et la marchandisation de nos données personnelles.

Cela se produit que nous en soyons conscients ou non.

Avec les informations de Thomas Daigle et Megan McCleister, de CBC