Quelles règles encadrent la transmission de données personnelles à des partenaires ?
La prospection vers les particuliers est une des préoccupations premières de la CNIL pour l’année 2022.
En effet, il existe des règles strictes à propos de la transmission des données personnelles d’un utilisateur à des partenaires commerciaux. On parle alors de transfert de données personnelles à un tiers.
La CNIL définit ce procédé comme :
La transmission, payante ou non, de données personnelles de clients ou prospects à des partenaires qui souhaitent les réutiliser à des fins de prospection commerciale.
Nous allons nous intéresser à la notion de transmission de données personnelles dans un but de prospection. Cet article englobe les transmissions vers un partenaire commercial.
Comment sont utilisées les données personnelles dans le cadre de la transmission ?
Certains organismes souhaitent transmettre un ou plusieurs fichiers de contact à des partenaires commerciaux. Ceux-ci ont pour but d’utiliser les données utilisateurs de ces fichiers pour leurs opérations de prospection commerciale. Ces transmissions subsistent dans le cadre d’accords commerciaux mais aussi à titre onéreux.
Ce système impose tout de même des règles d’application basiques en rapport avec le RGPD, comme :
- faciliter l’exercice des droits;
- minimiser les données;
- limiter leurs durée de conservation;
- créer et conserver des preuves du recueil de consentement;
- assurer leur sécurité et bien d’autres…
Certaines règles sont propres à la transmission des données personnelles à des fins de prospection commerciale, et cela en fonction du canal de communication utilisé par le partenaire.
Quelles sont les réglementations spécifiques à la prospection commerciale ?
Nous traiterons la prospection commerciale par courrier postal ou par appel téléphonique (hors automate d’appel) mais aussi par voie électronique (SMS, e-mail, etc.).
Canal N°1 : La réutilisation des données personnelles à des fins de prospection commerciale dans le cadre d’une communication par courrier postal ou par appel téléphonique (hors automate d’appel)
Les principes généraux permettant la conformité de la transmission des données via ce canal sont les suivants :
- L’information préalable;
- Le droit d’opposition.
Dans ce cas, la transmission des données peut être fondée sur l’intérêt légitime#1; de l’organisation qui propose les données des utilisateurs. Cela indique que le consentement préalable n’est pas nécessaire à la transmission.
En effet, les prospects peuvent être contactés par courrier postal ou par appel téléphonique sans que l’utilisateur n’ait donné son consentement. Le droit d’information préalable et le droit d’opposition sont donc les deux règles à respecter.
Les utilisateurs doivent être informés de la transmission de leurs données
Dans un objectif de transparence, l’information de transmission de données personnelles à des partenaires commerciaux doit être donnée aux utilisateurs. Nous pouvons retrouver cette information sur le support de collecte de données, que ce soit un formulaire en ligne ou papier.
L’information doit tout de même comprendre certains éléments, comme la finalité de la transmission ainsi que des informations sur le destinataire des données en question.
Il est aussi recommandé de donner accès à une liste mise à jour des partenaires pour qu’ils soient facilement identifiables. Cette liste peut être proposée sur un support numérique comme le formulaire de contact ou le site internet.
Une obligation de permettre aux utilisateurs de pouvoir s’opposer à l’utilisation de ses données personnelles
Deux règles s’appliquent à cette obligation. Le transmetteur de données doit permettre aux utilisateurs de pouvoir s’opposer au transfert de leurs données de la manière la plus simple possible mais aussi gratuitement.
Ce droit peut se matérialiser par une case à cocher suivi du message d’opposition, que ce soit dans un formulaire ou autre solution de recueil et de gestion de données et consentement.
Nous allons maintenant nous intéresser au cas N°2, qui est celui de la transmission de données personnelles à des fins de prospection commerciale par un canal de communication par voie électronique.
Canal N°2 : La réutilisation des données personnelles à des fins de prospection commerciale dans le cadre d’une communication par voie électronique (SMS, e-mail, etc.)
L’utilisation de données par des canaux de communication électroniques sont eux aussi soumis à deux règles distinctes. Nous retrouvons le même principe qui est celui de l’information préalable, expliqué ci-dessus.
Le deuxième principe est celui du consentement préalable.
En effet, lorsqu’un organisme souhaite transmettre des données à un tiers à des fins de prospection, celui-ci doit nécessairement obtenir le consentement des utilisateurs et pour le traitement en question.
Il existe 2 moyens d’obtenir ce consentement, par le biais du transmetteur ou par celui du partenaire.
Le transmetteur a recueilli le consentement avant de transmettre les données à son ou ses partenaires
Pour recueillir le consentement éclairé, l’organisme doit informer les utilisateurs de l’identité de chacun de ses partenaires auxquels les données vont être transmises.
Le traitement, qui est ici la transmission de données à but de prospection commerciale doit aussi être informé auprès de l’utilisateur.
Une fois que le consentement a été recueilli, les partenaires peuvent directement démarcher les utilisateurs concernés.
Le transmetteur n’a pas recueilli le consentement avant de transmettre les données à son ou ses partenaires
Dans ce cas, le transmetteur doit obligatoirement informer les utilisateurs de la transmission de données personnelles ainsi que des éléments d’identification des partenaires.
Avant d’entraîner des démarches de prospection, le partenaire doit contacter les utilisateurs afin de demander et recueillir leur consentement. Et cela, dans un délai d’un mois après avoir reçu les données des utilisateurs.
Les deux canaux de communication, par courrier postal ou par appel téléphonique et par voie électronique, englobent des réglementations différentes dans le cadre de la transmission de données personnelles à des fins de prospection. Nous allons maintenant nous intéresser aux solutions qui peuvent vous aider à devenir conforme face aux exigences de la CNIL.
Comment répondre aux nouvelles exigences de la CNIL ?
Comme nous l’avons vu précédemment, la transmission des données à des partenaires et à des fins de prospection est encadrée par de nombreuses réglementations. Le processus des organisations doit donc être modifié afin de respecter la conformité de ses transferts mais aussi dans le but de créer une relation de confiance avec ses utilisateurs.
Comme vous l’avez compris, le consentement, son transfert, et la gestion de la preuve sont les clés d’une transmission de données personnelles réussie et conforme. Fair&Smart, vous aide dans la transformation de votre processus de transfert, que vous soyez transmetteur ou partenaire.
Pour vous aider à mieux appréhender la question de la mise en œuvre d’une stratégie de transmission de données, nous vous avons spécialement concocté un article !
Celui-ci vous expliquera comment maitriser le risque légal tout en respectant l’expérience utilisateur.
Bonne lecture !
Pour en savoir plus, nous vous conseillons de vous rendre sur la page de notre service de gestion du consentement et des préférences. Vous pouvez aussi nous poser directement vos questions via notre page contact.
Vous souhaitez en savoir plus sur Fair&Smart et nos solutions de gestion de données personnelles, cliquez sur le bouton ci-dessous :
Rejoignez-vous sur les réseaux sociaux :
