MesEnvies.fr revendique plusieurs centaines de milliers de listes actives, entre listes de naissance et listes de Noël. Derrière chaque compte se trouvent un nom, un prénom, parfois un numéro bancaire et un historique d’envies qui dessine un profil de consommation précis. La question de la sécurisation de cet espace personnel mérite d’être posée au-delà du simple choix du mot de passe.
Données collectées sur MesEnvies : ce que votre compte contient vraiment
La page de création d’un compte MesEnvies.fr demande un nom, un prénom et un mot de passe d’au moins six caractères. Pour les listes jointes (couple), un second nom et un second prénom sont ajoutés. Jusque-là, rien de surprenant.
Le contenu de la liste enrichit considérablement le profil. Chaque article ajouté provient d’une enseigne identifiée (Vertbaudet, Aubert, boutique locale), avec parfois une photo prise depuis un téléphone. La plateforme propose aussi de communiquer un numéro de compte bancaire pour recevoir des dons libres, ce qui élève le niveau de sensibilité des données stockées.
En cumulant identité civile, préférences de consommation, réseau social (famille, amis qui consultent la liste) et coordonnées bancaires, le compte MesEnvies dépasse la simple liste de souhaits. Il constitue un traitement de données personnelles au sens du RGPD, avec des obligations de protection proportionnelles à la nature des informations collectées.
Mot de passe et accès au compte : les failles à corriger
Le formulaire de connexion MesEnvies repose sur trois champs : prénom, nom et mot de passe. L’exigence minimale affichée est de six caractères, sans mention d’obligation de complexité (majuscule, chiffre, caractère spécial).
Six caractères constituent un seuil faible selon les recommandations actuelles de la CNIL. Un mot de passe court, sans diversité de caractères, reste vulnérable aux attaques par force brute ou par dictionnaire.
Vérifications à faire sur votre propre compte
- Votre mot de passe fait-il au moins douze caractères, avec un mélange de lettres, chiffres et symboles ? Si non, le changer immédiatement reste la première mesure utile.
- Ce mot de passe est-il réutilisé sur d’autres services (messagerie, banque, réseaux sociaux) ? Un mot de passe partagé entre plusieurs comptes multiplie l’exposition en cas de fuite sur l’un d’eux.
- Avez-vous testé la fonction « oubli mot de passe » pour vérifier comment la plateforme gère la réinitialisation ? Le processus de récupération donne un indice sur le niveau de sécurité global du service.
La plateforme ne mentionne pas de mécanisme d’authentification à deux facteurs. Sur un service qui peut stocker des coordonnées bancaires, l’absence d’authentification forte constitue un point de vigilance.
Conservation et suppression des données personnelles
MesEnvies indique que les utilisateurs peuvent « modifier ou supprimer votre compte et vos listes à tout moment ». Cette promesse correspond à l’exercice du droit à l’effacement prévu par le RGPD. En revanche, les conditions concrètes de cette suppression méritent attention.
La CNIL a renforcé en 2024 ses exigences sur l’effacement sécurisé des données. La simple suppression d’un compte ne garantit pas que les données soient réellement détruites sur les serveurs, les sauvegardes ou les supports physiques. La réglementation impose désormais un effacement certifiable, interdisant la réutilisation de supports contenant des données personnelles sans suppression préalable vérifiable.
Pour un utilisateur, la démarche concrète consiste à demander par écrit la suppression du compte, puis à solliciter une confirmation que les données ont bien été effacées des systèmes actifs et des sauvegardes. Le RGPD donne un délai d’un mois au responsable de traitement pour répondre.
Durée de conservation : une zone floue
Les contenus publics de MesEnvies.fr ne précisent pas de durée de conservation des données après suppression d’une liste ou inactivité du compte. Le RGPD impose pourtant que toute collecte de données personnelles soit assortie d’une durée de conservation définie et proportionnée à la finalité du traitement.
Une liste de naissance a une utilité limitée dans le temps. Si les données persistent des années après la naissance de l’enfant, la question de la proportionnalité se pose. Les utilisateurs peuvent exercer leur droit d’accès (article 15 du RGPD) pour obtenir l’ensemble des informations détenues et vérifier ce qui a été conservé.
Gestion des habilitations : qui accède à vos données côté plateforme
La sécurité d’un compte ne dépend pas uniquement du mot de passe choisi par l’utilisateur. Elle repose aussi sur la gestion interne des droits d’accès au sein de l’équipe qui opère le service.
Le guide de la sécurité des données personnelles de la CNIL, mis à jour en mars 2024, impose comme socle minimal de définir des profils d’habilitation, de valider les demandes d’accès par un responsable, de supprimer les permissions dès qu’un collaborateur n’est plus habilité, et de réaliser une revue des droits d’accès au minimum annuelle. Pour les comptes à privilèges ou ayant accès à des données sensibles, la fréquence recommandée est trimestrielle.
Ces exigences s’appliquent à tout responsable de traitement, y compris les plateformes de listes en ligne. Un utilisateur n’a pas de visibilité directe sur ces pratiques internes, mais il peut interroger le responsable de traitement sur les mesures techniques et organisationnelles mises en place, comme le prévoit l’article 32 du RGPD.
Consentement et partage avec des tiers
Le modèle de MesEnvies repose sur l’ajout de produits issus de n’importe quelle enseigne. Chaque lien vers un magasin externe génère potentiellement un transfert de données de navigation (adresse IP, cookies, identifiants de session) vers le site marchand concerné.
Le consentement de l’utilisateur doit couvrir ces transferts pour respecter la réglementation. La question se pose aussi pour l’utilisation de services tiers intégrés à la plateforme (hébergement, outils d’analyse, système de paiement pour les dons libres).
Avant de renseigner des informations bancaires ou de partager largement une liste contenant des choix personnels, vérifier la politique de confidentialité du service et identifier les sous-traitants impliqués dans le traitement reste une précaution élémentaire.
La sécurisation d’un espace comme MesEnvies passe par des gestes individuels (mot de passe robuste, vérification des données conservées, exercice du droit d’accès) et par des garanties que seul le responsable de traitement peut apporter. Demander des comptes à la plateforme sur ses pratiques de protection n’est pas un excès de prudence, c’est l’exercice normal des droits que le RGPD accorde à chaque utilisateur.
