Le régulateur français des données, et ce qu'il attend
La Commission nationale de l'informatique et des libertés — la CNIL — est l'autorité qui contrôle la façon dont les données personnelles sont collectées et utilisées en France, prospection par email comprise. Elle publie des recommandations pratiques détaillées sur la prospection commerciale par voie électronique, et elle les fait appliquer.
Une chose a fondamentalement changé depuis l'entrée en application du RGPD en 2018, et les articles anciens se trompent encore : il n'existe plus aucune obligation de déclarer son fichier de contacts à la CNIL. L'ancien régime déclaratif a été supprimé. Ce qui l'a remplacé, c'est la responsabilité (accountability) : vous devez pouvoir démontrer votre conformité, ce qui suppose en pratique de tenir un registre de vos activités de traitement et de pouvoir produire la preuve du consentement.
Collecter des adresses : ce qui est permis et ce qui ne l'est pas
Les adresses récupérées sur des sites web, des forums et des annuaires ne peuvent pas être utilisées à des fins de prospection. Lorsqu'une personne vous confie elle-même son adresse — via un formulaire, une inscription à une newsletter, un sondage — elle doit être informée à ce moment précis que celle-ci pourra servir à lui adresser des messages commerciaux, et par qui.
Le consentement ne se transmet pas en cascade. Si des adresses sont collectées pour être transmises à des partenaires, la personne doit savoir qui sont ces partenaires au moment où elle consent ; une mention générique du type « nos partenaires » ne suffit pas. La CNIL a lourdement sanctionné des courtiers en données sur ce point exact.
Les deux niveaux de la prospection
La CNIL distingue la prospection d'un consommateur de celle d'un professionnel.
Pour les consommateurs, le consentement préalable est requis, à la seule exception étroite du message adressé à un client existant au sujet de produits ou services analogues à ceux qu'il vous a déjà achetés.
Pour les professionnels, les règles sont plus souples. Un message peut être envoyé sans consentement préalable lorsque son objet est en rapport avec la profession de la personne contactée, à condition qu'elle en soit informée et puisse s'y opposer simplement à tout moment. L'expéditeur doit toujours s'identifier clairement. Il s'agit là de la position de la CNIL et non d'une exemption légale : documentez donc les raisons pour lesquelles vous estimez qu'une campagne donnée entre dans ce cadre.
Combien de temps conserver les données de prospection
Le référentiel de la CNIL recommande de conserver les données d'un prospect qui n'est pas devenu client jusqu'à trois ans à compter du dernier contact émanant de cette personne. Un clic sur un lien ou une demande de documentation constitue un contact ; la simple ouverture d'un email non. Pour les clients, la durée équivalente court à compter de la fin de la relation commerciale.
Ce sont des recommandations qui créent une présomption de conformité, et non des délais légaux fixes : vous pouvez conserver les données plus longtemps si vous pouvez le justifier et le documenter. L'obligation contraignante, c'est le principe de limitation de la conservation posé par le RGPD — ne pas garder des données personnelles au-delà de ce que la finalité exige.
Des sanctions bien réelles
La prospection est une priorité permanente de la CNIL et donne lieu à des sanctions chaque année. Des décisions récentes ont sanctionné des envois sans consentement valable, des formulaires conçus de telle sorte que le consentement n'était ni libre ni univoque, des mécanismes de désinscription obligeant à écrire à un délégué à la protection des données plutôt qu'à cliquer une fois, et la transmission de données de prospects à des tiers sans base juridique appropriée. Les montants vont de dizaines de milliers d'euros à huit chiffres pour les affaires les plus importantes.
La leçon pratique est constante : recueillez le consentement proprement, conservez-en la preuve, rendez le départ facile, et ne traitez pas un fichier de prospects comme un actif que l'on peut faire circuler.
Découvrez aussi : le droit et l'emailing en France, et sur notre blog la CNIL agit et protège les internautes.