La prospection vers les particuliers (B to C) : quelles règles pour transmettre des données à des partenaires ?

28 décembre 2018

La transmission, payante ou non, de données personnelles de clients ou prospects à des partenaires qui souhaitent les réutiliser à des fins de prospection commerciale doit respecter certains principes.

Il est fréquent qu’un organisme souhaite transmettre un fichier de contacts à des partenaires afin que ceux-ci puissent l’utiliser pour leurs opérations de prospection commerciale. Ces transmissions de fichiers sont, en particulier, faites dans le cadre d’accords commerciaux ou à titre onéreux.

Les règles applicables dépendent, en partie, des moyens utilisés par les partenaires à qui les données vont être transmises pour adresser la prospection commerciale.

À noter : au-delà des règles rappelées ci-dessous, chaque organisme devra s’assurer de respecter l’ensemble des obligations posées par la règlementation pour les traitements dont ils assurent la responsabilité (faciliter l’exercice des droits, minimiser les données, limiter leur durée de conservation, assurer leur sécurité, apporter la preuve du recueil d’un consentement valide, etc).

Pour la réutilisation des données à des fins de prospection commerciale par courrier postal ou par appel téléphonique (hors automate d’appel)

 

Lorsqu’un organisme souhaite transmettre des données personnelles afin que ses partenaires puissent réaliser de la prospection commerciale par courrier postal ou par appel téléphonique (hors automate d’appel), la transmission des données peut être fondée sur l’intérêt légitime de l’organisme qui les transmet.

Dans un tel cas, les personnes doivent être informées et mises en mesure de s’opposer de manière simple et gratuite à la transmission de leurs données.

Informer les personnes

Au préalable, l’organisme qui transmet les données doit informer les personnes.

Exemple : sur le support de collecte des données (formulaire en ligne ou formulaire papier).

Cette information doit notamment comprendre des éléments sur l’objectif (la finalité) de cette transmission ainsi que sur les catégories de destinataires de données (exemple : les secteurs concernés, le type de sollicitation, le nombre approximatif de partenaires, etc) afin de permettre aux personnes concernées d’effectuer un choix en toute connaissance de cause.

Dans un objectif de transparence, la CNIL recommande de mettre à la disposition des personnes une liste exhaustive et à jour des partenaires, comportant leur identité et un lien vers la politique de protection des données de chaque partenaire. Cette liste pourrait notamment être accessible depuis le formulaire de collecte des données.   

Permettre aux personnes de s’y opposer

L’organisme qui transmet les données doit permettre aux personnes concernées de s’opposer de manière simple et gratuite à la transmission de leurs données lors de leur collecte et à tout moment.

Le droit d’opposition peut se matérialiser, par exemple, par une case à cocher accompagnée du message suivant :

  Je m’oppose à ce que mes coordonnées postales et/ou mon numéro de téléphone soient transmis aux partenaires [lien vers la liste des partenaires] de la société X à des fins de prospection commerciale par courrier postal et/ou par téléphone.

Pour la réutilisation des données à des fins de prospection commerciale par voie électronique (courrier électronique, SMS, etc.)

Principe général : Information et consentement préalables.

 

Lorsqu’un organisme souhaite transmettre des données personnelles à ses partenaires à des fins de prospection électronique nécessitant le consentement (exemple : par courrier électronique, SMS, automate d’appel, etc.), il doit lui-même obtenir le consentement des personnes pour cette transmission.

L’information délivrée aux personnes lors du recueil du consentement préalable, avant la transmission des données, peut varier selon ce qui est prévu contractuellement entre l’organisme qui collecte les données et ses partenaires. Deux hypothèses peuvent être distinguées.

La CNIL recommande aux organismes transmettant les données de recueillir le consentement pour les opérations de prospection de leurs partenaires au moment de la collecte des données.  Cela permettra à leurs partenaires de pouvoir démarcher directement les personnes ayant consenti à la transmission de leurs données à ces fins.

Pour que ce consentement soit éclairé, les personnes doivent notamment être clairement informées de l’identité des partenaires pour le compte desquels le consentement est collecté et des finalités pour lesquelles les données seront utilisées. Une liste exhaustive et mise à jour doit être mise à la disposition des personnes au moment du recueil de leur consentement. Les modalités suivantes peuvent notamment être envisagées :

  • soit la liste est visible directement sur le support de collecte ;
  • soit la liste est trop longue et un lien hypertexte peut renvoyer vers la liste ainsi que vers les politiques de confidentialité des partenaires.

En pratique, l’organisme qui transmet les données peut recueillir le consentement à la transmission des données et aux opérations de prospection pour le compte de ses partenaires par le biais d’une seule et même case à cocher (décochée par défaut).

  J’accepte que mon adresse électronique soit transmise aux partenaires [lien vers la liste des partenaires] de la société X à des fins de prospection commerciale par courrier électronique.

 

Cette hypothèse implique 2 étapes distinctes :

1. L’organisme qui transmet les données doit préalablement informer les personnes sur les catégories de destinataires lors du recueil du consentement à la transmission des données

L’organisme devra notamment informer les personnes de l’objectif de la transmission des données et des catégories de destinataires.

Sur ce dernier point, la CNIL recommande de préciser le type de sollicitation, le nombre approximatif de partenaires et leur secteur d’activité. Le recueil du consentement suppose, en effet, que la personne puisse apprécier l’ampleur et les conséquences de la transmission de ses données à laquelle elle consent.

Les données transmises permettront aux partenaires d’adresser un message aux personnes concernées pour leur proposer de consentir à être démarchées par voie électronique (voir ci-dessous).

2. Les partenaires doivent recueillir le consentement pour leurs opérations de prospection par voie électronique

Avant de pouvoir valablement démarcher les personnes, les partenaires devront contacter les personnes pour recueillir leur consentement.

Le fait de solliciter, par voie électronique, les personnes pour leur proposer de recevoir des offres commerciales est un traitement de données personnelles qui peut reposer sur l’intérêt légitime de l’organisme. Ce dernier devra s’assurer que les personnes peuvent raisonnablement s’y attendre :

  • en vérifiant que les personnes ont reçu une information suffisante lors de la transmission de leurs données par l’entreprise qui les a transmises (exemple : elles ont eu connaissance du type de sollicitation, du nombre approximatif de partenaires et de leur secteur d’activité) ;
  • en limitant le nombre de sollicitations adressées à une même personne afin que la prospection ne constitue pas une nuisance importante.

La CNIL rappelle que les partenaires doivent veiller à ce que les sollicitations visant à recueillir le consentement, lorsqu’elles sont réalisées par voie électronique, ne fassent pas la promotion de leur image ou des biens et services qu’ils commercialisent.

 

Pas de transmission possible du consentement de partenaire en partenaire

Dans tous les cas, le consentement recueilli par l’organisme qui transmet les données, pour le compte de ses partenaires, n’est valable que pour ces derniers. Les partenaires qui souhaitent envoyer, à leur tour, les informations reçues à leurs propres partenaires (exemple : l’adresse électronique), doivent recueillir de nouveau le consentement des personnes pour la transmission des données et, si cela est prévu, pour les opérations de prospection de leurs propres partenaires. L’ensemble des règles rappelées ci-dessus leur est donc applicable.


Dans toutes les situations

Si cela n’a pas déjà été fait, les partenaires qui reçoivent les données doivent, quand ils communiquent pour la première fois avec la personne prospectée et au plus tard dans un délai d’un mois, l’informer des caractéristiques du traitement de ces données personnelles.

Cette information doit notamment comporter le nom de la société qui a transmis les données au partenaire (société à la source ou à l’origine de la collecte), les droits de la personne dont notamment son droit de s’opposer ou de retirer son consentement à la prospection commerciale.

 

Prospection commerciale : la transmission de données à des partenaires