Cartographier les obligations de confidentialité de la mode, du loyalty app aux cabines connectées

Un scanner corporel installé dans un flagship à la Levi's capte 200 000 points de données sur votre torse en quatre secondes pour recommander une taille de jean. Ce scan n'est pas « juste des mesures ». Au regard de plusieurs lois, il s'agit de données biométriques, l'une des catégories les plus encadrées au monde, et les collecter sans le bon consentement peut coûter à un retailer plusieurs milliers de dollars par client.

Cette leçon montre comment trois cadres réglementaires s'appliquent aux touchpoints réellement déployés par les marques de mode : loyalty apps, scan corporel pour la taille, clienteling RFID. À la fin, vous saurez quel consentement chacun exige et quoi vérifier avant le lancement.

Les trois lois qu'il vous faut vraiment connaître

RGPDRGPDRèglement de l'UE encadrant la collecte, le stockage et l'usage des données personnelles, avec des amendes indexées sur le chiffre d'affaires mondial.Voir la définition complète → (Europe)

Le Règlement général sur la protection des données (RGPD) est la loi européenne qui encadre les données personnelles des personnes situées dans l'UE, en vigueur depuis 2018. Une donnée personnelle, c'est tout ce qui identifie une personne : nom, email, historique d'achat, et même un identifiant d'appareil.

Deux points comptent pour la mode :

• La base légale. Il vous faut une raison juridique pour traiter des données. Les plus courantes sont le consentement (le client accepte activement) et l'intérêt légitime (vous avez un besoin business réel qui ne prime pas sur les droits du client).
• Les données sensibles. C'est un niveau plus strict qui inclut les données biométriques utilisées pour identifier quelqu'un. Il exige un consentement explicite, une exigence plus élevée que le consentement ordinaire.

Les amendes atteignent 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

CCPA / CPRA (Californie)

Le California Consumer Privacy Act (CCPA), élargi par le California Privacy Rights Act (CPRA) entré en application en 2023, donne aux résidents californiens le droit de savoir, de supprimer et de s'opposer à la « vente » ou au « partage » de leurs informations personnelles. L'application relève de la California Privacy Protection Agency (CPPA) et de l'Attorney General de l'État.

Différence clé avec le RGPD : le CCPA fonctionne surtout en opt-out. Vous pouvez collecter des données, mais vous devez permettre au client de dire « ne vendez pas et ne partagez pas mes informations ». Une douzaine d'autres États américains ont désormais des lois similaires (Virginie, Colorado, Texas et d'autres), donc un déploiement américain n'est jamais mono-État.

Les lois biométriques (le point le plus tranchant)

Les règles les plus strictes aux États-Unis sont les lois biométriques des États. La plus importante est le Biometric Information Privacy Act (BIPA) de l'Illinois, qui date de 2008.

C'est le BIPA qui empêche les équipes juridiques de la mode de dormir. Il exige un consentement écrit avant la collecte d'identifiants biométriques (géométrie du visage, empreintes digitales et, point important pour les technologies de taille, les scans corporels permettant d'identifier une personne). Il ouvre aussi un droit d'action privé : les particuliers peuvent poursuivre directement, avec des dommages légaux couramment cités à 1 000 dollars par violation par négligence et 5 000 dollars par violation intentionnelle.

Le Texas et l'État de Washington ont également des lois biométriques, mais elles n'ouvrent pas de droit d'action privé, si bien que le BIPA alimente l'essentiel du contentieux.

Pour une référence en langage clair, l'IAPP US State Privacy Legislation Tracker est une carte gratuite et bien tenue de qui applique quoi.

Touchpoint 1 : le loyalty app

Un loyalty app est une machine à données. Il collecte l'email, l'historique d'achat, la localisation et des profils comportementaux (ce que vous consultez, quand, à quelle fréquence).

Ce qu'exige le RGPD : une base légale pour chaque usage. Envoyer une confirmation de commande ? Intérêt légitime ou contrat. Envoyer du marketing ? Consentement, via une case d'opt-in claire et non précochée. Construire un profil pour prédire le prochain achat ? C'est du profilage, et le client peut s'y opposer.

Ce qu'exige le CCPA : si vous partagez les données de l'app avec des partenaires publicitaires (Meta, Google) pour faire du retargetingretargetingDiffuser des publicités aux utilisateurs ayant déjà visité votre site ou interagi avec votre marque, pour les faire revenir et déclencher la conversion.Voir la définition complète →, cela compte comme du « partage ». Vous devez proposer un lien visible « Do Not Sell or Share My Personal Information ».

La vérification concrète

Constituez un inventaire des données (une cartographie documentée de ce que vous collectez, pourquoi, où cela réside et à qui vous l'envoyez). La plupart des manquements sur les programmes de fidélité ne relèvent pas d'une mauvaise intention. C'est une équipe marketing qui envoie discrètement des données à un cinquième vendor publicitaire que personne n'a recensé.

Une ligne d'inventaire minimale ressemble à ceci :

field: email_address
source: loyalty signup form
purpose: order confirmation + marketing
lawful_basis: consent (marketing), contract (transactional)
shared_with: [Klaviyo, Meta CAPI]
ccpa_category: "shared"
retention: 24 months after last purchase

Si un vendor présent dans shared_with n'apparaît pas dans votre politique de confidentialité, vous avez un trou.

Touchpoint 2 : le scan corporel pour la taille

C'est là que la fashion tech entre le plus violemment en collision avec le droit. L'essayage virtuel, les scans corporels 3D et les outils de recommandation de taille (des sociétés comme Zeekit, rachetée par Walmart, ou 3DLOOK opèrent sur ce terrain) peuvent capter la géométrie du corps.

La question critique : le scan identifie-t-il l'individu ?

• Si le système stocke un scan rattaché à votre compte et capable de vous reconnaître à nouveau, il s'agit très probablement de données biométriques. Le RGPD veut un consentement explicite. Le BIPA veut un consentement écrit et un calendrier publié de conservation et de destruction.
• Si l'outil vous mesure, renvoie une taille et supprime immédiatement le scan brut (traitement on-device, en ne gardant que « taille 32 »), le risque biométrique baisse fortement.

Ce choix de conception, conserver ou supprimer, est la décision de confidentialité la plus importante dans les technologies de cabine d'essayage.

La vérification concrète

Avant de lancer un dispositif de scan corporel, posez trois questions par écrit au vendor :

1. Le scan brut est-il stocké, et si oui, où et pour combien de temps ?
2. Peut-il ré-identifier un client qui revient à partir de la géométrie de son corps ?
3. Le traitement se fait-il on-device ou dans le cloud ?

Si la réponse à la question 2 est oui, traitez-le comme de la biométrie et construisez le parcours de consentement explicite. Ne vous reposez pas sur une ligne enterrée dans des conditions générales.

Touchpoint 3 : le clienteling RFID

Les tags RFID (Radio Frequency Identification) sont des puces intégrées aux vêtements, lues sans contact. Des retailers comme Inditex, maison mère de Zara, ont largement déployé la RFID pour l'inventaire.

La RFID d'inventaire est à faible risque : elle suit des vêtements, pas des personnes. La ligne de la confidentialité est franchie avec le clienteling, où la tablette d'un vendeur relie l'identité d'un client VIP à ce qu'il a pris en main, essayé, et aux endroits où il s'est attardé.

Ce que dit le droit : dès que vous rattachez des lectures RFID à un client nommé, cela devient une donnée personnelle. Le RGPD exige une base légale et de la transparence (le client doit savoir que le magasin le profile). Le CCPA lui donne le droit de la consulter et de la supprimer.

La vérification concrète

Vérifiez si la RFID et le CRMCRMCustomer Relationship Management : logiciel et stratégie pour gérer et analyser les interactions clients tout au long de leur cycle de vie.Voir la définition complète → (Customer Relationship Management, votre base clients) sont reliés. Si un dashboard de clienteling affiche « Sofia a essayé 4 robes, en a acheté 1 », cette jointure existe et déclenche l'ensemble des obligations liées aux données personnelles. Assurez-vous que les clients ont été informés, idéalement à l'inscription au programme de fidélité, que leur comportement en magasin peut être enregistré.

Construire la couche de gouvernance

Les vérifications ponctuelles ne suffisent pas. Il faut une gouvernance reproductible.

L'AIPD : la pré-analyse du risque

Une analyse d'impact relative à la protection des données (AIPD, ou DPIA) est une revue structurée que vous menez avant de lancer un traitement à haut risque. Le RGPD en exige une pour le suivi biométrique ou comportemental à grande échelle. Le scan corporel et le clienteling RFID y entrent tous les deux.

Une AIPD répond à : quelles données, quel risque, quelles garanties, est-ce proportionné ? Documentez-la. Si un régulateur demande pourquoi vous avez lancé un scanner corporel, l'AIPD est votre défense.

Les contrats vendors

L'essentiel du risque data dans la mode se situe chez les vendors : la startup de fit-tech, la plateforme de fidélité, le réseau publicitaire. Sous RGPD, ce sont des sous-traitants, et vous (la marque) êtes le responsable de traitement et restez juridiquement responsable de leur comportement. Il vous faut un accord de traitement des données (DPA) avec chacun, précisant la sécurité, la conservation et la suppression.

La cadence d'audit

Une checklist annuelle pratique :

• Mettre à jour l'inventaire des données. De nouveaux vendors depuis l'an dernier ?
• Tester une demande de suppression de bout en bout. Le scan biométrique est-il réellement détruit ?
• Vérifier que chaque pixel ad-tech correspond à un partenaire de « partage » déclaré.
• Confirmer qu'une AIPD existe pour toute nouvelle technologie de cabine d'essayage ou de clienteling.

Un exemple chiffré

Une marque américaine déploie des scanners corporels dans 50 magasins de l'Illinois. Elle stocke des scans identifiants sans consentement écrit. Supposons que 20 000 clients se fassent scanner la première année.

Sous BIPA, les violations par négligence sont couramment citées à 1 000 dollars chacune (c'est une valeur illustrative issue du texte de loi, pas une prédiction de règlement) :

20 000 x 1 000 = 20 000 000 dollars d'exposition théorique.

Le correctif ne coûte presque rien : un écran de consentement écrit et une politique de suppression automatique à 30 jours. La gouvernance est peu coûteuse. Le contentieux non.

Points clés

• Reliez le touchpoint à la loi. Les loyalty apps déclenchent des règles de consentement et d'opt-out ; les scans corporels et le clienteling peuvent déclencher le droit biométrique, le niveau le plus strict.
• Le choix de conception conserver ou supprimer sur les scans corporels est le levier de confidentialité le plus puissant de la fashion tech. Supprimez les scans bruts quand vous pouvez.
• Les dommages par personne du BIPA (couramment cités entre 1 000 et 5 000 dollars) font de l'Illinois la juridiction la plus risquée pour les technologies de cabine d'essayage ; obtenez un consentement écrit avant tout scan identifiant.
• Vous restez responsable de vos vendors. Signez des DPA et tenez un inventaire des données à jour ; la plupart des violations sont des fuites discrètes vers des partenaires publicitaires non recensés.
• Menez une AIPD avant le lancement pour tout suivi biométrique ou comportemental, et auditez chaque année les suppressions et les pixels publicitaires.