Depuis l’entrée en vigueur du RGPD le 25 mai dernier, une multitude d’articles fleurissent sur ce qu’il est possible de faire ou non sous l’empire du Règlement. Une information particulière a attiré notre attention ces derniers jours. En effet, plusieurs sites internet (comme ici) indiquent que la prospection par mail à l’attention des professionnels n’est pas soumise au consentement des personnes à partir du moment où la sollicitation est en rapport avec leur profession, et ce, même si l’adresse mail contient le nom et/ou le prénom du professionnel concerné.
De notre point de vue, ces affirmations catégoriques mériteraient d’être nuancées. Explications.
Consentement RGPD et adresses professionnelles : prudence !
Rappelons d’abord que le consentement est l’un des fondements permettant de rendre licite un traitement de données personnelles : il est prévu par les articles 6 à 8 du RGPD. Il doit être libre, éclairé et le responsable du traitement doit conserver la preuve que le consentement au traitement a été obtenu.
Les partisans de l’interprétation selon laquelle la prospection par mail auprès de professionnels ne requiert pas le recueil de leur consentement se base probablement sur des documents réalisés par la CNIL avant l’entrée en vigueur du RGPD. En effet, dans ce document daté d’octobre 2016, il est précisé que le message publicitaire envoyé sur l’adresse mail professionnelle d’une personne physique et dont l’objet est en rapport avec sa profession n’a pas besoin d’avoir reçu le consentement du destinataire. Cependant la CNIL précise que l’organisme qui envoie un tel email doit avoir prévenu au préalable le professionnel de l’utilisation de son adresse électronique à cette fin.
Mais cette explication date d’avant l’entrée en vigueur du RGPD.
Mise à jour 13/06/2018 : La CNIL a précisé, le 30 mars 2018, que le principe qui prévaut lors de la prospection commerciale par mail est le recueil préalable de l’accord du destinataire. Une nuance est apportée à ce principe : en matière de prospection à destination d’un professionnel, il faut que le destinataire ait été, au préalable informé que ses données à caractère personnel seraient traitées à cette fin. Nous sommes donc dans un degré d’obligation inférieur au recueil du consentement : le responsable du traitement n’a pas à prouver qu’il a obtenu le consentement préalable du professionnel, il doit prouver qu’il a bien délivré l’information. Toujours est-il qu’une obligation, certes moins lourde que le recueil du consentement, pèse sur le responsable du traitement qui souhaite faire de la prospection par mail à destination de professionnels.
La prospection professionnelle en principe soumise à l’information préalable
Certains pourraient estimer qu’une adresse professionnelle n’est pas une donnée à caractère personnel : pourtant, dès que le nom et/ou le prénom de la personne physique y sont intégrés, une adresse mail professionnelle est bien considérée comme étant une donnée personnelle. Les adresses mail professionnelles entrent donc dans le champ d’application du Règlement.
De plus, le Règlement dresse, à son article 6, la liste des fondements autres que le consentement de l’individu permettant de justifier le traitement de ses données personnelles : il s’agit de l’existence d’une relation contractuelle, du respect d’une obligation légale, de la sauvegarde des intérêts vitaux de la personne, de l’exécution d’une mission d’intérêt public, ou de l’existence d’intérêts légitimes du responsable du traitement.
Nous voyons que le RGPD ne prévoit, à aucun moment, de fondement spécifique aux adresses mail professionnelles. Dès lors que ces adresses sont des données à caractère personnelles et que leur traitement ne repose pas sur l’une des 5 conditions vues ci-dessus, le consentement devrait être nécessaire à la mise en place d’un traitement. Tout envoi de mails de prospection à des professionnels, sur leur adresse contenant leur nom et/ou leur prénom, devrait avoir été précédé du recueil de leur consentement.
Mise à jour 13/06/2018 : Toutefois, cette obligation de recueillir le consentement pourrait ne pas être applicable si l’on se reporte au considérant n°47 du RGPD qui précise que « le traitement de données à caractère personnel à des fins de prospection peut être considéré comme étant réalisé pour répondre à un intérêt légitime ». En d’autres termes, si le responsable du traitement apporte la preuve de son intérêt légitime à réaliser une prospection commerciale par mail à destination des professionnels, il n’a pas besoin de recueillir le consentement du destinataire. Inversement, si l’intérêt légitime du responsable du traitement n’est pas démontré, le consentement du destinataire de la communication doit avoir été recueilli.
Il n’en demeure pas moins que l’obligation d’information préalable reste applicable en toutes circonstances. Dès lors qu’une adresse mail professionnelle identifiante est recueillie, le responsable du traitement doit donc l’informer que son adresse sera utilisée ultérieurement à des fins de prospection commerciale.
Tripalio propose de retrouver tous les bons conseils pour bien réussir la mise en conformité avec le RGPD dans un dossier spécial de plus de 150 pages : cliquez ici pour en savoir plus.
