L'essayage virtuel est-il conforme au RGPD ? Ce que les marchands de l'UE doivent savoir

L'essayage virtuel est l'une des rares fonctionnalités e-commerce qui demande une photo d'eux-mêmes à l'acheteur. Pour un marchand vendant dans l'UE ou au Royaume-Uni, ce simple fait introduit le RGPD dans la conversation avant même le lancement de la fonctionnalité. L'essentiel de la question de la conformité se résume à deux choses : ce que l'outil fait réellement de la photo, et si la documentation entre le marchand et le fournisseur le reflète honnêtement.

Une photo d'essayage virtuel est-elle une donnée personnelle au sens du RGPD ?

Oui, sans grand débat. Le RGPD définit largement les données personnelles : toute information se rapportant à une personne physique identifiée ou identifiable. Une photo montrant le visage ou le corps d'un acheteur est qualifiée dès l'instant où elle peut être rattachée à cet acheteur, même si l'entreprise sous-jacente la traite une fois et la supprime une seconde plus tard. Une courte rétention réduit le risque, mais elle ne soustrait pas la photo au champ d'application du RGPD.

C'est important car les marchands supposent parfois qu'une fonctionnalité qui « ne stocke rien » est automatiquement conforme. Elle déclenche toujours les obligations fondamentales du RGPD : une base légale pour le traitement, une information claire à l'acheteur, et, puisque le traitement réel est généralement externalisé à un fournisseur, un accord approprié couvrant le rôle de ce fournisseur.

L'essayage virtuel est-il considéré comme une donnée biométrique ?

C'est là que réside la nuance juridique, et bien la comprendre est plus important que de la survoler. L'article 9 du RGPD désigne les données biométriques comme une catégorie spéciale, définie à l'article 4(14) comme des données résultant d'un traitement technique spécifique relatives aux caractéristiques physiques permettant ou confirmant l'identification unique d'une personne physique. Le traitement des données de catégorie spéciale nécessite une base légale plus solide que les données personnelles ordinaires, généralement un consentement explicite.

• Les outils qui cartographient la géométrie faciale pour placer précisément des lunettes ou du rouge à lèvres (courant dans l'essayage de lunettes et de maquillage) extraient des mesures utilisées pour identifier les traits du visage, ce qui est l'activité exacte pour laquelle l'article 9 a été rédigé.
• Les outils qui superposent un vêtement sur un corps dans une photo sans extraire les points de repère faciaux font quelque chose de structurellement différent : ils ajustent la pose et les proportions, et non pas l'identification de la personne à qui appartient le visage.
• Les orientations réglementaires sur cette distinction ne sont pas entièrement établies. Les commentaires de l'ICO britannique et plusieurs cabinets d'avocats de l'UE ont conseillé de traiter les photos des acheteurs comme des données de catégorie spéciale par prudence, même pour l'essayage de vêtements, tandis que d'autres interprètent le critère d'identification unique de l'article 4(14) de manière plus restrictive.

La leçon pratique pour un marchand est de ne pas parier sur l'interprétation la plus restrictive. Quelle que soit la conclusion finale d'un régulateur sur ce débat, demander un consentement explicite et spécifique avant le téléchargement d'une photo et choisir un fournisseur qui évite l'analyse faciale par conception sont des approches qui tiennent la route quelle que soit l'interprétation.

Qui est le responsable du traitement et qui est le sous-traitant ?

En vertu du RGPD, le marchand exploitant la boutique est presque toujours le responsable du traitement des données : c'est la boutique qui décide pourquoi une fonctionnalité d'essayage existe, la propose aux acheteurs et gère la relation client. Le fournisseur de la technologie d'essayage, y compris Corlen, est le sous-traitant des données, agissant strictement selon les instructions documentées du marchand plutôt que pour ses propres objectifs.

L'article 28 du RGPD exige un contrat écrit entre le responsable du traitement et le sous-traitant couvrant l'objet du traitement, sa durée, sa nature et sa finalité, les catégories de données personnelles et de personnes concernées, ainsi que les obligations et droits du responsable du traitement. Ce contrat est l'Accord de Traitement de Données, et un marchand ne devrait pas activer une fonctionnalité d'essayage sans en avoir un signé et archivé.

Que doivent réellement mettre en place les marchands de l'UE ?

1. Un ATD signé avec le fournisseur, nommant chaque sous-traitant impliqué (hébergement cloud, fournisseur du modèle d'IA, envoi d'e-mails, etc.), et non pas seulement une référence générique à des « tiers ».
2. Une étape de consentement claire et spécifique avant le téléchargement de la photo, distincte des conditions générales de service, indiquant à quoi la photo est utilisée et combien de temps elle est conservée.
3. Une période de conservation clairement définie, en chiffres concrets : « selon les besoins » n'est pas une politique de conservation qu'un régulateur ou un acheteur peut évaluer.
4. Un processus documenté pour les demandes d'exercice des droits des personnes concernées, car un acheteur peut demander à n'importe quel maillon de la chaîne, marchand ou fournisseur, de supprimer sa photo ou d'expliquer ce qu'il en est advenu.
5. Des garanties de transfert international (généralement des clauses contractuelles types) si un sous-traitant exploite des infrastructures en dehors de l'UE ou du Royaume-Uni, ce qui est courant pour les outils basés sur l'IA fonctionnant sur les principaux fournisseurs de cloud.

L'approche de Corlen en matière de RGPD pour l'essayage virtuel

L'Accord de Traitement de Données de Corlen le stipule directement plutôt que de le laisser à l'inférence : Corlen ne traite pas de données de catégorie spéciale ou biométriques, et n'effectue jamais de reconnaissance faciale ou d'analyse faciale sur aucune photo qu'il traite. Sur une boutique Shopify, une photo soumise via le bouton « Essayer » est traitée en mémoire pour la seule requête qui génère un aperçu et n'est jamais écrite dans une base de données ou un stockage de fichiers. Sur une borne en magasin, les photos sont supprimées automatiquement dans les 2 heures, ou immédiatement si l'acheteur demande leur suppression.

L'ATD nomme également chaque sous-traitant impliqué (Google Cloud pour la génération IA elle-même, Supabase pour le stockage, Resend pour les e-mails, Stripe pour la facturation, Vercel pour l'hébergement), s'engage à appliquer des clauses contractuelles types pour tout transfert international, et fournit aux marchands un contact direct pour les demandes d'exercice des droits des personnes concernées. Un marchand évaluant n'importe quel fournisseur d'essayage, et pas seulement Corlen, devrait s'attendre au même niveau de spécificité avant de s'inscrire. Découvrez comment la même approche de confidentialité est perçue du point de vue d'un acheteur dans L'essayage virtuel est-il sûr ?, ou essayez Corlen avec votre propre photo pour voir tout le processus par vous-même.