Loi 25 et biométrie : la voix pour confirmer une livraison ?

L’utilisation d’enregistrements vocaux pour confirmer une livraison soulève des questions concernant la conformité à la Loi?25 et la protection de renseignements personnels sensibles. Cet article analyse cette pratique sous l’angle des principes de transparence, proportionnalité et consentement.

Voici la situation?: lors de la livraison de meubles achetés dans un magasin bien connu au Québec, le livreur n’a pas simplement demandé une signature pour confirmer la réception, mais a plut?t utilisé un enregistrement vocal. Bien que ?a puisse sembler anodin, je suis resté surpris de cette pratique, surtout dans un contexte où la voix est considérée comme un renseignement biométrique.

En quoi est-ce en lien avec le marketing?? L’expérience client englobe chaque point de contact avec l’entreprise, et la livraison constitue une étape clé de cette expérience. Une pratique comme l’utilisation d’enregistrements vocaux peut affecter positivement ou négativement la perception globale de la marque. Le marketing, en tant que garant de la satisfaction client et de la fidélisation, doit s’assurer que toutes les pratiques respectent les attentes des consommateurs et les exigences légales en matière de protection des données.

La politique de confidentialité de l’entreprise

La politique trouvée sur le site web du détaillant indique ceci?:

??Enregistrements?: enregistrement audio ou vidéo lorsque vous nous appelez, lorsque vous venez dans nos magasins ou lors de la livraison.

Nous n’utilisons pas ces enregistrements pour vous identifier ou authentifier, mais ceux-ci peuvent être écoutés à des fins de contr?le de la qualité de nos services. Advenant le cas que vous ne souhaitiez pas être enregistré, veuillez nous en aviser dès le début de votre communication et des solutions de rechange vous seront alors offertes.??

Bien que cette politique semble claire sur certains points, elle n’est pas exempte de lacunes. Voyons ?a à travers les principes clés de la Loi?25.

1. Caractère biométrique de la voix

La voix, considérée comme élément biométrique par la Commission d'accès à l'information du Québec , exige une protection renforcée, une évaluation des facteurs relatifs à la vie privée et même une divulgation à la commission. Avec les récentes avancées technologiques, le clonage vocal devient une menace réelle, ce qui rend ces données encore plus sensibles.

Même si la politique du détaillant précise que les enregistrements ne sont pas utilisés pour identifier ou authentifier les clients, il est probable qu’ils seraient utilisés en cas de litige pour démontrer, par exemple, qu’un item a été livré en bon état. D'ailleurs, la CAI est claire: ??L’utilité et la commodité (c’est plus simple, c’est plus pratique) ne justifient pas la collecte de caractéristiques ou de mesures biométriques.??

2. Proportionnalité et la nécessité

La Loi?25 stipule que la collecte de renseignements personnels doit être nécessaire et proportionnelle à la finalité poursuivie. Dans ce cas précis?:

• Une simple signature papier ou électronique aurait été suffisante pour confirmer la réception des items et la satisfaction de leur état.
• L’utilisation de la voix semble excessive et disproportionnée par rapport au but visé.

3. Consentement clair et explicite

Un enregistrement vocal nécessite un consentement libre, éclairé et spécifique, mais rien de tel n’a été obtenu dans cet exemple?:

• Le livreur n’a pas demandé de permission, n’a pas expliqué les finalités de l’enregistrement vocal ni sa durée de conservation.
• Aucune alternative, comme une signature, n’a été proposée.
• Le consentement a été implicite, ce qui est contraire aux exigences de la Loi?25.

L’utilisation d’enregistrements vocaux pour confirmer une livraison illustre une inadéquation entre le moyen (collecte vocale) et la finalité (confirmation de la livraison).

Les principes de transparence, proportionnalité et consentement ne semblent pas avoir été respectés, ce qui constitue une violation potentielle de la Loi?25.

La réponse et la responsabilité de l’entreprise

Comme à mon habitude, j’ai pris l’initiative de communiquer avec l’entreprise pour partager mes observations et évaluer leur niveau d’ouverture à revoir cette pratique. La réponse obtenue, transmise par la directrice des communications a été essentiellement le discours habituel affirmant que l'entreprise se conforme ??strictement aux lois en vigueur, notamment à la Loi?25, et que nous attachons une grande importance au respect de la vie privée de nos clients.?? Il semble que ce processus ait été mis en place lors de la pandémie, afin que ses clients puissent confirmer la réception de leur livraison tout en respectant les mesures sanitaires.

Il est utile de souligner quelques point:?:

• ce qui était peut-être acceptable (proportionnalité) dans un contexte de pandémie ne l’est peut-être plus maintenant, d’autant plus que c’était pré-Loi?25?
• manifestement, aucune EFVP n’a été effectuée?
• une simple mention dans la politique n’est pas suffisante?
• à mon avis, il est toujours risqué d’affirmer qu’on se conforme ??strictement?? aux lois, puisqu’il y a toujours une question de contexte et de circonstance.

Qu’est-ce que l’entreprise devrait faire?:

• Effectuer un évaluation des facteurs relatifs à la vie privée
• Mettre en place une politique claire sur l’utilisation des enregistrements vocaux.
• Former les employés et sous-traitants: expliquer les finalités de la collecte, obtenir un consentement valide et offrir des solutions alternatives.

Pourquoi est-ce important??

Cette situation met en lumière pourquoi la Loi?25 est essentielle pour protéger les citoyens des dérives dans l’utilisation des données personnelles sensibles. Elle souligne aussi l’importance de sensibiliser les entreprises québécoises aux exigences de cette loi afin d’éviter de telles pratiques.

à votre avis, l’utilisation d’enregistrements vocaux pour une confirmation de livraison est-elle justifiée ou disproportionnée?? Partagez votre opinion?!

Contactez-moi si vous souhaitez que je fasse un audit confidentiel de vos pratiques marketing et de vos technologies martech. Je suis également disponible pour animer un atelier en privé ou à titre de conférencier.

2025-01-15: Dans les commentaires, il est question du fait que la voix ne serait pas un élément biométrique lorsqu'elle n'est pas utilisée pour une authentification.

La CAI souligne ceci:

"Quiconque souhaite utiliser la biométrie a l'obligation de le divulguer à la Commission s'il :

• Vérifie ou confirme l’identité au moyen d’un procédé permettant de saisir des caractéristiques ou des mesures biométriques;
• Crée une banque de caractéristiques ou de mesures biométriques – dans ce cas, la divulgation doit être faite au moins 60 jours avant la mise en service de la banque."

Mais qu'en est-il du cas où la voix est utilisé comme "preuve" dans le cas d'une livraison? N'est-ce pas une confirmation d'identité?

Dans tous les cas, une EFVP devrait être effectuée. Consultez le guide "Biométrie : principes à respecter et obligations légales des organisations" de la CAI.

Stéphane Hamel est un expert reconnu en marketing numérique, analytique et gouvernance des données. Il met à profit son expertise pour aider les entreprises à naviguer avec succès dans la complexité croissante du marketing, de la technologie et de la conformité, notamment en lien avec des enjeux tels que la Loi 25. Titulaire d’un MBA en e-business de l’Université Laval et d’un Graduate Certificate in Information Privacy de l’Université York, il est également certifié comme Online Certified Professional Trainer.

En plus de ses services-conseils, Stéphane enseigne à la Faculté des sciences de l’administration de l’Université Laval, où il offre des cours de marketing et d’analytique, et intervient à l’Université de Calgary dans le cadre de modules sur la science des données. Conférencier prisé, il s’est produit à plus de 150 événements en Amérique du Nord et en Europe, partageant sa capacité à vulgariser des sujets complexes de manière engageante et percutante. Sollicité régulièrement par les médias, il est une voix respectée dans les domaines de la protection des données et de l'utilisation éthique des données marketing.