Repérer les règles de données et de consentement en marketing

Une donnée personnelle se rapporte à une personne identifiée ou identifiable, directement ou indirectement. Il peut s’agir d’un nom, d’une adresse e-mail nominative, mais aussi d’une adresse IP ou d’un identifiant lorsqu’il est associé à une personne.

Pour la Papeterie des Tilleuls, l’adresse e-mail de Claire Martin est une donnée personnelle. Une adresse IP reliée à son compte client l’est aussi, même si son nom n’apparaît pas dans l’adresse IP.

Un traitement est une opération réalisée sur ces données : les collecter, les enregistrer, les consulter ou les utiliser, par exemple.

Ne confondez pas la finalité et la base légale.

• La finalité répond à la question : « Pourquoi utilisons-nous cette donnée ? » Elle doit décrire un objectif précis.
• La base légale répond à la question : « Quel fondement juridique autorise ce traitement ? »

Le consentement est une base légale possible, mais ce n’est pas la seule. Pour les données nécessaires à une commande, l’exécution d’un contrat peut constituer le fondement pertinent. Une même donnée peut être concernée par plusieurs opérations : il faut examiner l’objectif de chacune.

Pour une finalité définie, ne collectez que les données nécessaires : c’est la minimisation. Pour envoyer une newsletter de la Papeterie des Tilleuls, l’Adresse e-mail est normalement nécessaire. Un autre champ doit répondre à un usage précis, annoncé et utile.

Le statut Facultatif donne un choix à la personne, mais ne justifie pas à lui seul la collecte. Sans usage défini, retirez le champ plutôt que de le rendre facultatif.

La transparence ne consiste pas seulement à afficher un lien discret. Au moment de la collecte, la personne doit trouver une information compréhensible et accessible. Une première couche courte peut renvoyer vers des précisions plus complètes.

Pour une collecte de newsletter, indiquez notamment qui traite les données, pourquoi, sur quelle base légale, si la réponse est obligatoire ou facultative et les conséquences pertinentes. Une courte mention ne remplace pas toutes les informations applicables.

Un consentement n’est valable que s’il est libre, spécifique, éclairé et univoque.

• Libre : vous pouvez refuser sans subir de contrainte injustifiée.
• Spécifique : chaque finalité distincte appelle un choix suffisamment distinct.
• Éclairé : les informations utiles sont présentées avant le choix.
• Univoque : la personne manifeste clairement son accord par une action positive.

Le consentement est une base légale possible, pas une formule automatique : il faut examiner le contexte et la finalité concernée.

Visualisez les quatre conditions comme quatre contrôles à réunir, et non comme une seule case à cocher.

Chez Papeterie des Tilleuls, une cliente commande un carnet. L’achat ne doit pas être conditionné à son accord pour recevoir des offres commerciales si ces offres ne sont pas nécessaires à la commande : le choix ne serait pas libre.

De même, une acceptation générale des conditions de vente ne vaut pas, à elle seule, consentement à la prospection par e-mail. L’achat et les offres commerciales répondent à des finalités distinctes : les choix doivent être présentés de façon suffisamment distincte.

Une maquette peut rendre visible une contrainte ou, au contraire, la séparation entre l’achat et les offres commerciales.

Avant de vous appuyer sur un consentement, relisez la maquette avec quatre questions :

1. Le refus est-il possible sans désavantage injustifié ?
2. Les finalités sont-elles séparées lorsque cela est nécessaire ?
3. La personne reçoit-elle une information compréhensible avant son choix ?
4. Doit-elle accomplir un geste clair pour accepter ?

Ajoutez deux vérifications de préparation : la possibilité de retirer le consentement est-elle annoncée, et une preuve adaptée du choix pourra-t-elle être retrouvée ?

Un traceur est une technologie qui lit ou enregistre des informations sur le terminal utilisé : ordinateur, téléphone ou tablette. Il peut s’agir d’un cookie ou d’un autre mécanisme.

Son régime ne dépend pas seulement de l’affichage d’un nom ou d’une adresse e-mail. Un identifiant technique peut aussi servir à reconnaître un navigateur ou à associer des actions. Lorsqu’un traceur implique des données personnelles, les autres obligations applicables à ces données restent à examiner.

Un traceur de panier ou d’authentification n’est pas automatiquement exempté : il doit être strictement nécessaire au service expressément demandé.

À l’inverse, un traceur publicitaire ne doit pas être déposé ni lu pendant que la personne n’a pas encore choisi. Pour une mesure d’audience, vérifiez la configuration et les conditions publiées par la Commission nationale de l’informatique et des libertés (CNIL) ; la gratuité ou le nom de l’outil ne suffisent pas.

Pour un traceur qui requiert un consentement aux traceurs, le choix doit intervenir avant son activation. Sur la première couche de la bannière, le refus doit être aussi accessible que l’acceptation.

Présentez clairement Tout accepter, Tout refuser et Personnaliser. Après le choix, un accès tel que Gérer mes choix doit permettre de le modifier simplement.

Ce choix est distinct du consentement à la prospection par e-mail : accepter des traceurs ne permet pas d’envoyer des offres par e-mail, et l’inverse n’est pas vrai non plus.

Pour la prospection commerciale par e-mail en B2C : particuliers, le consentement préalable est la règle générale. Autrement dit, avant d’envoyer une offre commerciale, il faut en principe avoir obtenu le consentement à la prospection de la personne.

Il existe une exception encadrée pour un client existant. Elle n’est pas une autorisation générale d’utiliser toutes les adresses e-mail disponibles.

L’exception du client existant peut être envisagée seulement si plusieurs éléments sont réunis. Vérifiez le dossier : une seule information favorable ne suffit pas.

Samir a créé un compte sur le site de la Papeterie des Tilleuls, mais n’a effectué aucun achat et n’a pas donné de consentement à la prospection. L’entreprise veut lui envoyer une offre de carnets.

Quelle conclusion est la plus prudente ?

Associez chaque situation à la conclusion la plus prudente. L’arbre étudié concerne les e-mails commerciaux B2C ; il ne permet pas de conclure pour le téléphone, les SMS ou le courrier.

Une adresse professionnelle nominative, telle que clara.martin@entreprise.fr, reste une donnée personnelle : elle identifie une personne dans son activité.

B2C : particuliers ; B2B : professionnels. Pour la prospection par e-mail en B2B, le consentement préalable n’est généralement pas requis lorsque l’offre présente un rapport avec la profession exercée par le destinataire. Le point décisif n’est donc pas seulement la forme « professionnelle » de l’adresse : il faut regarder la fonction de la personne et l’utilité possible de l’offre pour cette fonction.

Le B2B ne crée pas une autorisation générale. Une prospection doit notamment être examinée au regard de son origine, de sa finalité et de son impact pour la personne. L’intérêt légitime peut être mobilisé dans certaines situations, mais il demande une appréciation adaptée : ce n’est pas une autorisation automatique.

La personne doit recevoir une information appropriée et pouvoir s’opposer simplement et gratuitement, notamment lors de la collecte des coordonnées et dans chaque e-mail. Une adresse publiée sur Internet n’autorise pas, à elle seule, toute réutilisation.

Après une demande, identifiez d’abord le canal et ce que la personne retire ou refuse.

• Le retrait du consentement à la prospection concerne un accord auparavant donné pour recevoir des offres : les e-mails commerciaux concernés doivent cesser.
• Le droit d’opposition permet de refuser l’utilisation de ses données à des fins de prospection, sans justification : les e-mails commerciaux concernés doivent également cesser.
• Le retrait du consentement aux traceurs concerne le site : il doit mettre fin aux dépôts ou lectures futurs de traceurs qui reposaient sur cet accord.

Un clic sur « Se désinscrire » dans un e-mail commercial traduit donc un retrait ou une opposition selon la situation initiale. Il ne faut pas demander à la personne de choisir elle-même cette qualification juridique.

Chaque e-mail commercial de la Papeterie des Tilleuls doit identifier l’annonceur et permettre d’accéder gratuitement à « Se désinscrire », sans imposer de connexion à un compte.

Pour les traceurs soumis au consentement, le retrait doit être aussi simple que le choix initial. Un accès tel que « Gérer mes choix » permet de modifier la décision. Ce retrait concerne les dépôts ou lectures futurs fondés sur le consentement aux traceurs ; il ne remplace pas une désinscription aux e-mails, et l’inverse n’est pas vrai non plus.

Faire disparaître un e-mail de la boîte de réception ne suffit pas. La demande doit être répercutée dans les listes et outils qui servent réellement à la prospection concernée, puis son effet doit être vérifié.

Pour prévenir une réinscription involontaire, une liste d’exclusion peut être utile. Elle doit contenir seulement les données nécessaires à cette finalité et sa conservation doit être justifiée. Une désinscription n’entraîne pas l’effacement automatique de toutes les données : certaines données liées à une commande peuvent relever d’une obligation légale ou d’une autre finalité valable.

La Commission nationale de l’informatique et des libertés (CNIL) est l’autorité française de référence pour les repères étudiés. Ses ressources permettent de vérifier le périmètre et les conditions d’une règle ; elles ne remplacent pas l’examen du contexte.

Pour la Papeterie des Tilleuls, commencez par formuler une question précise : quel canal est utilisé, pour quel public, avec quelle finalité et d’où viennent les données ? Choisissez ensuite la famille de ressource correspondante, puis lisez les conditions et limites indiquées.

Une recommandation ne s’applique pas à partir de son seul titre. Avant de retenir une règle, vérifiez les éléments factuels de la situation :

• le canal : e-mail, traceur ou autre canal ;
• le public : particulier, professionnel ou mineur ;
• la finalité poursuivie ;
• l’origine des données ;
• les conditions et exceptions précisées par la ressource.

Si ces éléments ne correspondent pas clairement au cas, ne déduisez pas une exception. Différez l’action concernée et consultez une ressource officielle à jour ; sollicitez le délégué à la protection des données s’il existe, ou un conseil juridique adapté.

Le schéma présente les cinq questions à vérifier avant d’appliquer un repère, puis le chemin de prudence lorsqu’un élément reste incertain.

Avant le lancement, vous recevez ce dossier de la Papeterie des Tilleuls. Il réunit une newsletter destinée au B2C : particuliers et une prospection par e-mail destinée au B2B : professionnels.

1. Le formulaire de newsletter demande : Adresse e-mail — Obligatoire ; Prénom — Facultatif ; Date de naissance — Obligatoire ; Adresse postale — Obligatoire. Il indique seulement : « Recevez nos nouveautés ».

1. Une case déjà cochée autorise la réception d’offres commerciales.

1. Dès l’arrivée sur le site, des traceurs publicitaires sont activés. La bannière propose « Tout accepter » et « Personnaliser », mais pas « Tout refuser ». Aucun accès ultérieur « Gérer mes choix » n’est prévu.

1. Un e-mail commercial B2C est envoyé après la simple création d’un compte, sans choix préalable signalé.

1. Un partenaire transmet des adresses professionnelles nominatives de responsables de bureau. L’offre porte sur des fournitures de bureau, mais l’origine précise des coordonnées et l’information des personnes ne sont pas documentées.

1. Les e-mails affichent « Se désinscrire », mais ce lien impose une connexion au compte ; seule la plateforme d’envoi est mise à jour.

Une grille ne rend pas un verdict global : elle transforme des faits en actions traçables. Dans « Règle repérée », commencez par l’un des trois libellés suivants, puis notez le repère utile.

• Précaution repérée : une mesure utile est identifiable, sans conclure à elle seule sur l’ensemble du dispositif.
• Correction nécessaire : le dossier montre un écart clair à traiter avant lancement.
• Vérification complémentaire : une information ou une condition manque ; ne supposez pas qu’une exception s’applique.

Pour documenter un point, utilisez les ressources de la Commission nationale de l’informatique et des libertés (CNIL) déjà repérées :

• CNIL — Informer les personnes
• CNIL — Cookies et autres traceurs : les outils et codes sources
• CNIL — La prospection commerciale par courrier électronique
• CNIL — Le droit d’opposition : refuser l’utilisation de vos données

Si les faits restent incertains, indiquez ce qu’il faut vérifier et orientez ce point vers une ressource à jour, le délégué à la protection des données s’il existe, ou un conseil compétent.