Protect your personal data on the internet!

Personal data is any information on an identified or identifiable physical person.

As your data is personal, they concern you and you should have control over them. Since the 25 May 2018 and regulation (UE) 2016/679, called the General Data Protection Regulation (GDPR), your personal data is protected in Europe. Therefore, for any collection, transfer, saving, and use of your data the trader needs your agreement.

Yes. You have the right to know if your data is being collected, transferred, stored, modified, etc.

You should also be informed about:

• The identity of the person responsible for the collection of your data,
• The reasons for the collection,
• The recipients of your data,
• How long your data is being kept,
• Your right to file a claim with the proper authorities.

Make sure that you pay for your order on a site using a secure connection. The address of the site should start with https:// and a closed lock symbol should appear.

To avoid the pirating of your banking information, you can opt to use a single use bankcard if your bank offers that service. A one-time code will be sent to you in order to pay. This code cannot be used a second time.

Yes, but only if you have expressly consented by checking a box, not just by simply accepting the general sales conditions or via a pre-checked box.

You always have the right to contact the professional to demand the removal of your banking information.

It depends on the context and purpose of the request.

In certain specific cases, the law allows, or even requires, the seller to request and keep a copy of your identity card. They may also request only certain information, such as the number on your ID.

In the event of ‘reasonable doubt’ about your identity, a seller may ask you for information to prove your identity.

However, the personal data collected must be strictly necessary for the purpose pursued. A seller musn’t reuse this data for commercial purposes in particular.

In other situations, a professional may need to temporarily keep your ID if needed for a specific service.

In most cases, simply presenting your ID is sufficient, without the seller needing to keep it. For example, if a delivery person asks you to prove your identity in order to hand-deliver a parcel, simply show them your ID card. A scan or photocopy of the document is not justified.

Tip: Do not hesitate to ask the retailer why your identity document is required, how long it will be kept and for what purpose. In accordance with the GDPR, the seller must always have a legitimate reason for collecting a copy of your ID.

If, based on their response, you believe that keeping the document is not justified, you have the right to object. Request the deletion of the document if you have already sent a copy. If you do not receive a response, you can contact the relevant data protection authority. In France, this is the CNIL.

For more information, see our article ‘Requiring proof of identity to validate a purchase: is it legal?’

To protect your private life, set limited access to your photos and your profile, and regularly check the privacypreferences of your account.

Avoid responding to geolocation questions if it is not necessary, and do not respond to messages sent from people you do not know.

Also, leave the bare minimum of contact information and avoid giving details of your private life to remain unknown to those with bad intentions.

If you are one of the 2 billion users of WhatsApp, you have received a message asking you to accept the application’s new conditions of use before 15 May 2021. If you do not accept the transfer of a certain amount of personal data to Facebook, who purchased the application in 2014, you will no longer be able to use WhatsApp. Is this legal?

In the European Union, you have to give your free and informed consent for your personal data to be collected, recorded, or communicated to others. This consists, for example, of telling you which information will be handled by the trader, for what purpose and inviting you to check a box to approve your consent on the handling of each data. For example, when you open a site they offer you options concerning the use of cookies.

However, the GDPR states that the collection, recording, and transfer of personal data can be justified by a “legitimate interest”, with user consent not being necessary. For example, information recorded to fight against fraud, to assure the security of people or computer systems and networks, for historic, scientific, or statistical purposes, etc.

WhatsApp uses a legitimate interest to impose its general use conditions, to know how to improve and for the security of its services. This would include better tracking of spammers/fraudsters between the different Facebook entities and using the technologies of Facebook and other services of the group to improve the application.

The legitimate interest invoked by WhatsApp raises questions under the GDPR. The authority of personal data protection in Italy, judging the application’s new privacy policy as unclear, has already decided to raise the question before the European Data Protection Board, composed of the national authorities in charge of data protection (like the CNIL in France) and the European Data Protection Supervisor. This has pushed WhatsApp to reconsider and delay the implementation of these general use conditions from 8 February 2021 until 15 May 2021.

If you reside in France, you can lodge a complaint to the Commission Nationale Informatique et Libertés (CNIL) in the event of a violation of your rights. The CNIL is in charge of informing the lead authority (the national authority of data protection wherever the trader/social network is established). This other authority will decide whether to handle the claim itself or to leave it to the CNIL.

Not automatically. Just because you have not connected to your account on a social network does not mean that your data have been deleted or that they can no longer be exploited. Find out what happens to an account you no longer use on a social network.

The authorities of personal data protection in the European Union recommend that various social networks delete accounts that stay inactive for a certain period, but these recommendations are not always respected.

Make sure to delete your account. The social network should erase the entirety of your data. If you do not receive a response to your demand to delete the account, contact the CNIL if the social network is established in France or the national authority in charge of data protection in the European country where it is based.

Not without your consent, because digital majority in France is set at 15 years of age. In Europe, the GDPR has left each country to set its own age of “digital majority” which must be between 13 and 16 years. This is to say that any professional, including social networks, must obtain the consent of the legal guardians to collect personal data from minors until they reach digital majority.

No. No participation in a competition can be conditional on your acceptance to receive commercial prospecting or to share your information with partners of the game organiser. You should be able to participate freely in a competition. Similarly, the organiser of the game cannot plan to give you additional chances in the competition upon the condition that you accept commercial prospecting.

Collected information can only be used for the purposes of the game and the delivery of a prize in the event of winning, unless you have consented to receive commercial prospecting. This consent must be clearly written (a specific box to check, not by the mere acceptance of the game’s rules).

You must have been given the “information technology and liberties” mentions on the participation form as well as the rules of the game in which there should be a “privacy” section.

Under the GRDP, the organiser of the game must provide one specific checkable box for each act of consent.

In many European countries, if you are paying less than 50€, you no longer have to insert your card into the terminal. With technology that allows distance exchanges, called Near Field Communication (NFC), your card is equipped with a chip allowing no-contact payment. With the help of this technology, your name, the list of transactions made by your card, your credit card number, and its expiration date are always susceptible to capture by any poor-intentioned person nearby with an independent or smartphone-integrated NFC reader.

You can deactivate no-contact payment on your credit card, but in general the chip remains active and your banking information can still be captured. To avoid such a risk, you should use a card that is not equipped with NFC or ask your bank to deactivate the NFC chip.

Loyalty cards allow traders to create customer loyalty and, thanks to collected personal data (age, address, email, average spending at the store, buying habits, etc.), to analyse customer profiles to adapt their loyalty program, the products they offer, their advertising, etc.

All this information can also be sold for the price of gold to partner companies for commercial prospecting.

Do not give any personal or banking information without having verified the origin of the email. Fake emails asking for personal information, call phishing, are growing on the internet.

Know that no bank or public organisation will ask for important information by email. Consult the site of your bank, insurance company or public service. There you will surely find information concerning cases of phishing or formats of their emails, listing the information that they would never ask of you via email, and informing you of their normal mode of contact. Some also offer a representative to whom you can send a copy of the fake email.

If you have doubt, contact the alleged company on its site or via representative or customer adviser to be sure of the email’s origin.

If a site is mentioned in a suspect email, solicit the opinion of an expert on the site phishing initiative.

More information in our article on phishing.

To follow your navigation on a website, login indicators, called “cookies”, are often frequently deposited by the server of the visited website. Cookies automatically install themselves on your hard drive, trace your navigation on the site, and recognise you when you return. Cookies are used in this way to analyse audiences and visits of sites in order to improve their quality.

One of the roles of cookies is also to target your interests and create a specific profile for you as a buyer. It is because of this that you can see advertisements directly related to a product searched earlier on another website.

Sites must collect your prior consent before depositing a cookie concerning you, expressing to you the reason for the cookie and the means that you have to object the cookie’s deposit. This message normally appears upon your first visit to a website. Your consent is valid for 13 months. Outside of this period, new consent must be asked of you.

You can however deactivate the use of cookies by modifying the settings of your browser. The risk however is that this impedes the use of certain services on many sites. You can block cookies from third party sites (advertisement inserts on a site) if you wish to limit the tracing of your navigation.

These types of recreational genetic tests offered on the internet directly to consumers are allowed in many European countries like Denmark, Cyprus, Finland, Germany, Italy, Luxembourg, or the Netherlands but are prohibited in Portugal and France, where they can only be carried out with a court order in certain proceedings (paternity research, medical reasons, or research). These tests are still prohibited in France even if you order the test from a company based in a European country where they are allowed.

By asking for the analysis of your DNA, you are transmitting sensitive information protected by the law (because it allows for the identification of a physical person) to a laboratory. You have rights over these data, such as the right to information, the right to access, and the right to have your genetic data forgotten.

Les cartes de fidélité permettent aux professionnels de fidéliser leurs clients. Grâce aux données personnelles collectées, elles permettent de dresser des profils de clients pour adapter leur programme de fidélité, leurs produits vendus, leur publicité… Le magasin collecte toute sortes de données : âge, adresse, e-mail, dépense moyenne dans l’établissement, habitudes d’achat…

Les magasins peuvent aussi vendre ces informations à prix d’or à des sociétés partenaires en vue d’une prospection commerciale.

Non. Aucune jeu concours ne peut conditionner votre participation au fait que vous acceptiez de recevoir une prospection commerciale, ou de communiquer vos coordonnées à des partenaires de l’organisateur du jeu. Vous devez pouvoir participer au jeu concours de manière libre. De la même manière, l’organisateur du jeu ne peut prévoir de vous accorder des chances supplémentaires au tirage au sort du jeu concours à condition que vous acceptiez de recevoir une prospection commerciale.

Le professionnel ne peut utiliser les informations recueillies que dans le cadre du jeu et de la remise du lot en cas de gain, sauf si vous avez consenti à recevoir de la prospection. Vous devez clairement écrire votre consentement. Par exemple, via une case à cocher spécifique et non pas un consentement déduit de l’acceptation du règlement du jeu.

Vous devez avoir vu les mentions « informatiques et libertés » sur le formulaire de participation ainsi que le règlement du jeu dans lequel doit figurer une rubrique « vie privée ».

Depuis le RGPD, l’organisateur du jeu concours doit prévoir une case à cocher spécifique pour chaque consentement.

Ne donnez aucune information personnelle et bancaire sans avoir vérifié la provenance du courriel.  Des faux e-mails demandant des informations personnelles, appelés phishing, se multiplient sur Internet.

Sachez qu’aucune banque ou organsime public ne demande des informations importantes par mail. Consultez le site de votre banque ou assurance, vous y trouverez sûrement des informations concernant les cas de phishing. Elle montre généralement le format de ces e-mails, et liste les informations qu’elle ne vous demanderait en aucun cas par courriel. Renseignez-vous sur le mode de prise de contact traditionnel de votre banque. Certaines proposent également un interlocuteur à laquelle vous pouvez faire parvenir une copie du faux e-mail.

En cas de doute, contactez la société prétendue sur son site internet ou via votre interlocuteur direct ou conseiller afin de vous assurer de l’origine de l’e-mail.

Si un e-mail suspect mentionne un site, sollicitez l’avis d’un expert sur le site phishing initiative.

Pour suivre votre navigation sur un site Internet, le serveur du site visité dépose des témoins de connexion. Ces “cookies” s’installent automatiquement sur votre disque dur et permettent de tracer votre parcours sur le site et de vous reconnaître lorsque vous y retournez. Les cookies servent ainsi à analyser les audiences et fréquentations des sites afin d’améliorer leur qualité.

Un des rôles des cookies est également de cibler vos centres d’intérêts et vous attribuer un profil spécifique en tant qu’acheteur. C’est comme ça que vous pouvez voir apparaitre en surfant sur Internet une publicité en lien direct avec le produit recherché sur un site précédent.

Les sites doivent recueillir au préalable votre consentement avant de déposer un cookie vous concernant. Ils doivent vous indiquer la finalité du cookie et les moyens mis à votre disposition pour vous opposer au dépôt du cookie. Ce message apparaît en principe lors de votre première visite sur le site. Votre consentement est valable 13 mois. Au-delà de cette période, ils doivent vous demander un nouveau consentement.

Vous pouvez cependant désactiver l’utilisation des cookies en modifiant les paramètres de votre navigateur. Le risque est toutefois que cela empêche l’utilisation de certaines fonctionnalités sur plusieurs sites. Vous pouvez toutefois bloquer les cookies des sites tiers (encart publicitaire sur un site) si vous souhaitez limiter le traçage de notre navigation.

Plusieurs pays européens autorisent ce type de tests génétiques dit récréatifs et proposés sur Internet. C’est le cas au Danemark, à Chypre, en Finlande, en Allemagne, en Italie, au Luxembourg ou aux Pays-Bas. Mais la France interdit ces tests. Vous ne pouvez effectuer un test que sur demande d’un tribunal dans le cadre de certains procédures (recherche de paternité, fins médicales ou de recherche). L’interdiction vaut en France quand bien même vous commanderiez le test à une société établie un pays européen qui l’autorise.

En demandant l’analyse de votre ADN, vous transmettez au laboratoire une information sensible protégée par la loi car elle permet l’identification d’une personne physique. Il s’agit donc de données personnelles pour lesquels vous avez des droits comme le droit à l’information, le droit d’accès et le droit à l’oubli de vos données génétiques.

Plus d’informations dans notre article sur l’achat d’un test ADN sur Internet.

La société Meta pratiquait sur ses plateformes Facebook et Instagram une politique de traitement des données personnelles jugée non conforme au Règlement Général sur la Protection des Données (RGPD). En conséquence,  l’autorité nationale irlandaise de protection des données personnelles l’a condamnée en janvier 2023 à une amende à hauteur de 390 millions d’euros.

L’autorité reprochait notamment à Meta d’obliger ses utilisateurs à donner leur consentement à l’exploitation de leurs données personnes pour accéder à ses services.

Meta a donc décidé depuis novembre dernier de proposer une offre payante pour accéder à Facebook et Instagram, en alternative à la version gratuite. En acceptant de s’abonner à la version payante, les consommateurs ne réceptionneront plus de publicités. Le réseau n’exploitera plus leurs données personnelles à des fins de publicité ciblées, contrairement à la version gratuite.

En proposant cette version payante, Meta espère notamment se conformer en RGPD en revendiquant l’existence d’une alternative équitable à la version gratuite, pour laquelle l’utilisation de traçeurs (cookies) est prévue.

Il reste à savoir si l’offre payante de Meta peut réellement consister en une alternative permettant aux utilisateurs ayant refusé la version gratuite, d’accéder à ces réseaux sociaux, et si ces derniers ont donc un véritable choix, notamment au vu du tarif de l’abonnement payant.

Le Comité européen de la protection des données (CEPD) pourrait prochainement se positionner sur cette question.

Non. Un réseau social n’a pas le droit de se baser sur un profilage ni d’utiliser les données personnelles d’une personne mineure pour lui adresser de la publicité, dès lors qu’il a la certitude raisonnable qu’il a affaire à une personne mineure.

Cette règle provient du règlement européen Digital Services Act (DSA) qui s’impose à toutes les autres plateformes en ligne européennes ou visant des consommateurs européens depuis février 2024.

Depuis le 6 mars 2024, le règlement européen Digital Markets Act (DMA)s’impose à certaines grandes plateformes désignées par la Commission européenne. Ce règlement prévoit notamment que ces grandes marketplaces ne pourront pas collecter vos données personnelles suite à des achats de produits ou services que vous auriez effectués par leur intermédiaire afin de vous adresser directement de la publicité.

Une seule exception : si vous y avez expressément consenti. Mais si vous consentez à la réception de telles publicités, vous pouvez toujours retirer votre consentement par la suite.

Toute marketplace qui enfreindra ce règlement sera passible d’une amende allant jusqu’à 10% de son chiffre d’affaires annuel mondial, voire 20% en cas d’infractions répétées.