Dans le cadre de votre activité vous serez amené à générer un grand nombre de leads. Vous vous trouverez alors en possession d’informations diverses concernant vos clients ou futurs clients. Se posera alors la question de la sécurisation des données. En effet, un usage inadapté de ces informations peut engendrer des atteintes à la vie privée, voire à l’intégrité de la personne concernée.

C’est pourquoi la Loi Informatique et libertés de 1978 impose au responsable une obligation de sécurisation des données qu’il sera amené à traiter.

Il incombera, notamment, au responsable de réaliser des études d’impact afin de déterminer une protection adéquate des leads.

Qu’entend-on exactement par « obligation de sécurité » ? A quel moment intervient-elle ? Quelles sont les conséquences liées à cette obligation ?

Pourquoi une telle obligation ?

En générant des leads vous collectez et vous stockez des données personnelles d’individus. Tout risque de piratage ou de divulgation non autorisée peut influer de manière néfaste sur leur quotidien, leur vie privée ou leur réputation.

Votre entreprise doit agir par anticipation et se poser les questions suivantes :

• Quelles seront les conséquences sur la vie privée de la personne concernée en cas d’accès illégitime à ses données ?
• En cas de disparition ?
• En cas d’altération ?

Elle devra mesurer la plausible gravité de chacune de ces situations pour définir des mesures de protection adéquates.

Le responsable du traitement doit tout mettre en œuvre pour assurer la sécurité des données qu’il a en sa possession.En cas de faille, l’entreprise devra démontrer qu’elle avait tout fait pour l’éviter.

Nul n’est à l’abri d’un mode de piratage jusqu’alors inconnu. En revanche, si le responsable n’avait pas effectué une mise à jour de sécurité alors qu’elle était disponible, il se heurtera à des poursuites…

Que dit la loi en matière de sécurisation des données ?

L’article 34 de la Loi informatique et Libertés dispose que « le responsable du traitement est tenu de prendre toutes précautions utiles au regard de la nature des données et des risques présentés par le traitement » pour assurer leur sécurité.

Ainsi, la personne qui collecte des données à caractère personnel devra tout faire pour qu’elles ne soient pas déformées, endommagées ou que des tiers y aient accès sans autorisation.

Cette obligation est un préalable à toute génération de leads ! Vous ne devez pas commencer à collecter des données sans être certain de pouvoir en garantir la sécurité !

Cela peut passer par le contrôle préalable, par exemple, des matériels et logiciels informatiques qui accueilleront ces données.

Quid de la réglementation européenne ?

La Directive 95/46/CE reprend cette obligation de sécurité. Son article 17 énonce que « les États membres prévoient que le responsable du traitement doit mettre en œuvre les mesures techniques et d’organisation appropriées pour protéger les données à caractère personnel ».

Les données à caractère personnel ne doivent pas être détruites accidentellement ou volontairement, ni perdues, altérées ou encore diffusées.

En pratique comment sécuriser ses données ?

La Commission nationale de l’informatique et des libertés a émis un certain nombre de recommandations en matière de sécurisation des données.

Vous pouvez y avoir accès sur son site internet. Vous y trouverez, sous formes de thématiques, les différentes mesures clefs à adopter en la matière.

Que risquez-vous en cas de défaillance ?

Quelle différence entre une faille et une violation de sécurité ?

L’article 34 bis de la Loi définie une violation de données à caractère personnel comme « toute violation de la sécurité entraînant accidentellement ou de manière illicite la destruction, la perte, l’altération, la divulgation ou l’accès non autorisé à des données » personnelles.

La faille de sécurité, quant à elle, n’entraîne pas nécessairement violation de données. En effet, la faille correspond à un défaut qui peut être corrigé. De ce fait, si le responsable corrige la faille à temps, avant qu’elle n’ai pu être exploitée, alors il pourra empêcher la violation de sécurité.

Comment réagir en cas de violation de sécurité ?

Lorsqu’une violation de sécurité est constatée, le responsable doit en informer la Cnil sans délai. Cette obligation de notification de failles de sécurité est prévue à l’article 34 bis de la Loi Informatique et Libertés. Si cette violation risque de porter atteinte à la vie privée de l’individu, le responsable devra l’en informer également.

Outre cette notification obligatoire, le responsable devra tout faire pour faire cesser la violation.

A noter : Pour l’instant, cette obligation de notification ne concerne que « les fournisseurs de services de communications électroniques au public ». Aucune disposition légale ne vient définir cette expression. Cependant, l’usage veut que l’on retienne les fournisseurs d’accès à internet ainsi que les opérateurs télécoms.

Le prochain règlement européen sur la protection des données personnelles (applicable en mai 2018), étendra cette obligation à tous les responsables de traitement (cf. article 33).

Quelles sont les sanctions possibles ?

Le fait de générer des leads sans s’être préalablement assuré de leur sécurisation est réprimé pénalement. En effet, l’article 226-17 du CP sanctionne le fait de ne pas mettre en œuvre les mesures prescrites à l’article 34 de la Loi I&L. La peine encourue est de cinq ans d’emprisonnement et de 300 000 euros d’amende.

Par ailleurs, si un préjudice est établi suite à une défaillance en matière de sécurité, le responsable du traitement pourra voir sa responsabilité civile engagée. En effet, l’article 1240 du code civil énonce que « tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ».

Par conséquent, en cas d’atteinte aux données personnelles d’un individu et en cas de préjudice, la personne lésée pourra poursuivre le responsable sur ce fondement. L’objectif étant, ici, d’obtenir réparation : soient des dommages et intérêts.

La question de la responsabilité dans la situation d’un contrat de sous-traitance

Il peut arriver qu’une entreprise décide de confier certaines opérations de traitement de données personnelles à un ou plusieurs sous-traitants. Ce terme désigne toute personne qui traite des données à caractère personnel pour le compte d’un responsable de traitement. Cette hypothèse est prévue à l’article 35 de la Loi Informatique et Libertés.

D’une part, le sous-traitant ne pourra intervenir sur les données que sur ordre du responsable du traitement. D’autre part, le sous-traitant devra s’engagé contractuellement à mettre en œuvre toutes les mesures techniques et organisationnelles possibles pour assurer une sécurisation optimale des données.

A ce titre, l’article 17 de la Directive 95/46/CE énonce également que le responsable du traitement « doit choisir un sous-traitant qui apporte des garanties suffisantes au regard des mesures de sécurité technique et d’organisation (…) et qu’il doit veiller au respect de ces mesures ».

     Que se passe-t-il en cas de défaillance ?

Il a été établi que le fait pour un responsable de traitement de conclure un contrat de sous-traitance n’induisait pas un transfert de responsabilité. En effet, la sous-traitance ne décharge nullement le responsable du traitement. « La seule mention d’une obligation de sécurité dans un contrat de sous-traitance ne dispense ainsi pas le responsable de traitement de s’assurer lui-même » de la sécurité des données (CE, 30 déc. 2015, Sté Orange, n°385019).

La sécurisation des données concerne à la fois le responsable, et à la fois le sous-traitant. De ce fait, la responsabilité et la possible sanction en la matière les concernent tous deux également.

Finalement, l’obligation de sécurisation des données constitue un préalable indispensable à tout traitement. Une sécurité adéquate pour vos fichiers clients-prospects constitue une valeur ajoutée à vos leads. En effet, un fichier qui se vend bien est un fichier légal et protégé…

La loi Informatique et Libertés de 1978 fixe des conditions cumulatives que les entreprises doivent respecter pour générer des leads en toute légalité. Le lead est un contact dont le potentiel commercial est avéré. Une fois ce contact obtenu, vous pourrez l’utiliser dans le cadre de votre activité. Se pose alors la question de la durée de conservation du lead.

Combien de temps pouvez-vous garder et utiliser cette information ?

Non seulement, pour être légalement généré, un lead doit être déclaré préalablement auprès de la Cnil. Mais, cette déclaration doit nécessairement indiquer la durée de conservation de l’information. On parle également de principe de temporalité (ou encore de droit à l’oubli).

En effet, la durée de vie d’une donnée à caractère personnel n’est pas illimitée. Au-delà d’un certain temps, vous devrez supprimer les informations que vous avez collectées… Les leads ne font pas exception à ce principe, c’est pourquoi il faut veiller à régulièrement trier vos données.

Une conservation du lead limitée

L’alinéa 5 de l’article 6 de la Loi Informatique et Libertés de 1978 énonce que les données à caractère personnel doivent être conservées de façon à pouvoir identifier la personne concernée . De plus, la conservation des données ne doit pas excéder « la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées ».

Ainsi, la licéité de la génération de leads reste subordonnée à une condition d’expiration de l’information collectée.

Pourquoi limiter la conservation ?

Cette condition supplémentaire permet d’encadrer dans le temps l’usage de l’information collectée. Via ce principe, on s’assure que la donnée sera toujours bien employée. En effet, une donnée « périmée » pourrait faire l’objet d’une utilisation ou d’une réutilisation inadéquate…

De ce fait, on évite une accumulation de données ou leur emploi à des fins autres que celles pour lesquelles elles ont été collectées (confère article sur la Finalité du traitement ).

Qu’entend-on par « durée nécessaire aux finalités » ?

Une fois la finalité fixée atteinte, il n’y a plus lieu de conserver l’information. En effet, la conservation d’un fichier client-prospect ne doit se faire que dans le but d’atteindre la finalité initialement déterminée.

A cet égard, la loi n’impose pas toujours de délai précis au terme duquel il faudrait détruire l’information. C’est donc au responsable du traitement, en accord avec ces dispositions, de définir une durée de conservation du lead adéquate. Selon les hypothèses, cette limitation varie et peut correspondre à quelques secondes ou à plusieurs années !

 Ce que dit la norme simplifiée NS-048

L’article 5 de la Norme Simplifiée NS-048 relative aux fichiers clients-prospects énonce également que « les données à caractère personnel relatives aux clients ne peuvent être conservées au-delà de la durée strictement nécessaire à la gestion de la relation commerciale ».

Elle apporte une précision s’agissant des données collectées dans le cadre de prospection commerciale (ce qui est le cas du lead). Sous réserve du respect de la Loi Informatique et Libertés, les données de clients utilisées dans le cadre de prospection commerciale, pourront être conservées jusqu’à trois ans après la fin de la relation commerciale.

Par exemple, le lead pourra être détruit trois ans après la date d’expiration d’une garantie, après un acte d’achat ou au terme d’un contrat…

Au terme de ce délai de trois ans, le responsable du traitement pourra recontacter la personne concernée pour lui proposer de poursuivre la relation. Inversement, ou en l’absence de réponse positive et explicite de ladite personne, les données devront être supprimées.

Quid de la réglementation européenne ?

La directive 95/46/CE reprend les termes de la Loi informatique et libertés en la matière.

En effet, les données à caractère personnel doivent être  » conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement « .

En outrepassant cette durée limitée de conservation du lead, les entreprises s’exposent à des sanctions…

Que risquez-vous en cas de non-respect de cette obligation ?

Le non-respect de l’obligation de conservation du lead peut être réprimé. C’est pourquoi les entreprises ne doivent pas négliger ce point.

En effet, le défaut de limitation de durée peut entraîner une sanction pénale. A ce titre, l’article 226-20 du CP sanctionne « le fait de conserver des données à caractère personnel au-delà de la durée prévue ». La peine encourue par le responsable du traitement est de cinq ans d’emprisonnement et de 300 000 euros d’amende.

Cet article vient réprimer la conservation qui aurait outrepassé la durée strictement nécessaire à la réalisation de la finalité fixée. Une telle sanction induit corrélativement la suppression des données litigieuses.

D’un point de vue technique, l’efficacité d’une telle sanction interroge. En effet, les données sont-elles réellement effacées au terme de cette durée légale de conservation ? Premièrement, la plupart des entreprises ne savent même pas où se trouvent leurs données et ne prennent pas la peine de les « trier ». D’autre part, dans la situation où l’on assure avoir supprimé une donnée, il est difficile de vérifier si elle l’a vraiment été…Elle reste bien trop souvent conservée. Par ailleurs, il presque impossible de supprimer des données dès lors qu’elles ont été mises en ligne.

On trouve peu de jurisprudence en la matière mais, du fait de l’accroissement des collectes et traitements de données, le respect de cette condition va revêtir, à l’avenir, une importance considérable.

La génération de leads consiste à obtenir un contact, dont le potentiel commercial est avéré. Ce contact est obtenu grâce à ses données personnelles (telles que son adresse e-mail, son numéro de téléphone…). Cette opération s’opère la plupart du temps via le remplissage d’un formulaire internet.Si, aujourd’hui, recueillir les données d’un potentiel client est chose aisée, cela doit s’effectuer au regard des droits des personnes (tel que le respect du principe de l’opt-in par exemple).

En outre, une articulation entre génération de leads et respect des droits des personnes s’impose. Quelles sont les obligations incombant au responsable de la collecte de ces données ? La personne intéressée peut-elle avoir accès aux informations la concernant ? Peut-elle demander à les récupérer ou à les voir effacées ?

L’obligation d’information du responsable de la collecte

L’article 32 de la Loi informatique et libertés de 1978 prévoit une première obligation d’information pour l’entreprise qui va générer le lead. Cette obligation se retrouve également à l’article 6 de la Norme simplifiée NS-048 relative aux fichiers clients-prospects.

La personne dont les données vont être récupérées doit être informée sur le traitement qu’elles vont subir (quelles données ont été collectées ? pour quoi faire ?). Ainsi, le responsable de la collecte doit toujours préciser son identité.  Celui-ci doit également indiquer la finalité d’une telle génération (à des fins commerciales par exemple).

Cet article pose le principe selon lequel la personne doit être informée des « caractéristiques essentielles du traitement de ses données et de ses droits » (CE, 24 Aout 2011, HSBC Private Bank, n°336382).

C’est pourquoi d’autres droits, tel que le droit d’accès aux données, découlent de cette première obligation d’information.

La possibilité d’accéder aux données

Par ailleurs, l’article 39 de cette même loi permet l’accès de la personne concernée à ses données. Par conséquent, tout individu, justifiant de son identité, doit pouvoir obtenir des informations relatives à l’utilisation de ses données.

Vous devrez donc être en mesure de lui en fournir une copie (sous une forme accessible).

Aucune condition ne pourra être imposée à l’octroi de cet accès ! Il vous sera impossible d’exiger une somme d’argent correspondant au coût de la reproduction de l’information, par exemple.

Cependant, vous pourrez vous opposer à toute demande manifestement abusive. En effet, le nombre, le caractère répétitif ou systématique d’une demande peut être un motif valable pour ne pas y faire droit. Cela étant dit, si la Cnil estime ce refus infondé vous pourrez être retoqué.

En somme, « toute personne peut à tout moment avoir accès aux données à caractère personnel la concernant contenues dans un fichier » (CE, 20 Octobre 2010, Sté Centrapel, n°327916).

Ce droit n’est finalement qu’un corollaire de l’obligation d’information qui pèse sur le responsable de la collecte.

Outre ce droit d’accès à ses propres données auprès du responsable de la collecte, toute personne peut demander à les rectifier ou même les effacer.

Le droit de rectification, de mise à jour et d’effacement des données

Les entreprises détenant des informations personnelles doivent être en mesure de les modifier, les rectifier ou encore les effacer, sur simple demande de la personne concernée.

En effet, l’article 40 de la Loi informatique et libertés de 1978 dispose que toute personne peut demander la rectification, l’effacement ou encore la mise à jour de ses données personnelles. Cette possibilité concerne des données qui seraient « inexactes, incomplètes, équivoques, périmées » ou dont l’emploi serait interdit.

A noter : S’agissant des droits d’accès, de rectification et d’effacement, vous devrez également faire droit à la demande des héritiers d’une personne décédée.

Quid de la réglementation européenne ?

S’agissant du droit d’information, les articles 10 et 11 de la directive 95/46/CE énoncent que le responsable du traitement informe la personne concernée du traitement de ses données.

Par ailleurs, l’article 12 impose au responsable du traitement l’obligation d’un droit d’accès et de rectification des données concernées.

Des sanctions pénales sont prévues en cas de violation de ces obligations.

Non-respect des droits des personnes et sanctions

Le non-respect des droits des personnes est sanctionné par le Code pénal en tant que contraventions. Le refus de transmettre, de rectifier ou d’effacer des données est pénalement répréhensible. Le défaut d’information à l’égard de la personne est également sanctionné.Les articles R.625-10 à R.625-12 du CP régissent ces situations.

La sanction est identique pour chacune de ces infractions et correspond au montant de l’amende prévue pour les contraventions de cinquième classe, soit un montant de 1500 euros. Ce montant peut être porté à 3000 euros en cas de récidive (art. 132-11 et 132-15 CP).

A noter : l’article R.625-13 du même code prévoit la responsabilité des personnes morales pour l’ensemble de ces contraventions.

En définitif, la génération de leads ne peut se faire sans le respect des droits de la personne concernée. Non seulement, vous devez l’informer des données que vous avez en votre possession, mais vous devez aussi pouvoir lui en fournir un accès et une possible modification. Tout ceci implique que vous sachiez exactement où sont stockées et conservées vos données…

La Loi du 6 janvier 1978, dite Informatique et Libertés, repose sur une distinction selon la finalité des fichiers et la nature des données. En outre, la loi différencie le régime d’autorisation pour les traitements de données sensibles du régime de déclaration pour la mise en œuvre des traitements de données.

Tant les particuliers que les professionnels doivent s’y conformer. La génération de leads, en tant que collecte de données à caractère personnel, n’échappe pas à cette obligation déclarative. En effet, en générant des leads, vous obtenez tout simplement un contact (des coordonnées postales, une adresse IP, un numéro de téléphone, une adresse électronique…), et le fait même de collecter des données correspond à un traitement de données personnelles.

S’agissant de la qualification juridique du lead, nous vous invitons à consulter l’article s’y rapportant.

Comment déclarer la génération de leads auprès de la Cnil ?

Par principe, tout fichier ou traitement se rapportant à des données à caractère personnel doit être déclaré auprès de la Cnil. Cette déclaration doit s’opérer préalablement à la constitution du fichier-client et quel que soit son traitement par la suite. Les leads générés correspondent à un traitement de données (puisqu’il s’agit de la collecte de contacts commerciaux).

Quel type de déclaration effectuer ?

On note deux types de déclaration :

• la déclaration normale
• la déclaration simplifiée

Le régime de droit commun est celui de la déclaration normale. Après avoir déclaré un certain nombre d’éléments (nom du responsable du traitement, catégorie de personnes concernées par le traitement, finalité du traitement…) auprès de la commission, celle-ci renverra un récépissé attestant de l’accomplissement des formalités de déclaration. Vous pourrez donc exploiter les données que vous avez collecté.

Or, au fil des années, la Cnil a mis en place des normes spécifiques afin de simplifier les obligations de déclaration des catégories de traitements les plus fréquentes. Cette possibilité n’est possible que pour les traitements dont la mise en œuvre ne porte pas atteinte aux libertés ou à la vie privée. On compte actuellement 55 normes de ce type, dont la norme NS-048 relative aux fichiers clients-prospects et vente en ligne.

Cette norme simplifiée concerne les traitements de données personnelles ayant pour finalités la gestion des clients, la prospection, l’échange de fichiers de clients et de prospects, l’élaboration de statistiques commerciales, la cession, la location ou encore les opérations de fidélisation.

De ce fait, elle concerne directement la génération de « leads ».

Que contient la déclaration simplifiée ?

L’article premier de la délibération de 2016 et concernant la norme NS-048, énonce que « Peut bénéficier de la procédure de la déclaration simplifiée de conformité à la présente norme tout traitement automatisé relatif à la gestion de clients et de prospects qui répond aux conditions suivantes ».

Ainsi, il vous faudra préciser les informations suivantes :

1. La finalité du traitement
2. Les données à caractère personnel ou catégories de données à caractère personnel traitées
3. La ou les catégories de personnes concernées
4. Les destinataires ou catégories de destinataires auxquels les données sont communiquées
5. La durée de conservation des données

Finalement, cette déclaration simplifiée tire son nom de la norme à laquelle elle doit se conformer. En l’espèce, il ne s’agit que d’une déclaration de conformité à la norme simplifiée NS-048.

Qui est responsable de la déclaration simplifiée ?

La déclaration simplifiée devra être présentée par le responsable du traitement ou par la personne pouvant le représenter. De plus, lorsque le responsable du traitement est un service ou une personne physique, le nom de la personne morale dont il est issu devra être précisé.

La Cnil fera ensuite parvenir un récépissé de déclaration au responsable qui, dès sa réception, pourra mettre en œuvre le traitement des données.

La Loi informatique et Libertés s’impose tant aux particuliers qu’aux professionnels et son non-respect n’est pas sans risques. En effet, le manquement à la déclaration préalable est sévèrement réprimé…

Que risquez-vous en cas de non-respect de cette obligation ?

Le non-respect de la Loi Informatique et Libertés de 1978 peut être réprimé :

• Par la Cnil, via son pouvoir de contrôle et de sanction
• Par les tribunaux, puisque certaines violations de la loi sont définies comme étant des délits ou des contraventions

Chaque année la Cnil effectue un certain nombre de contrôles sur place, sur pièces ou en ligne (cf. Art.44 de la Loi informatique et Libertés de 1978). En 2016, pas moins de 430 contrôles furent effectués ! De ce fait, la commission s’assure que des traitements « clandestins », dont les responsables n’auraient pas respecté les obligations légales, ne soient pas mis en œuvre.

La procédure répressive prévue à l’article 45 de la Loi Informatique et Libertés met à disposition de la commission un pouvoir de sanction pouvant aller du simple avertissement ou d’une mise en demeure, à la sanction pécuniaire et l’injonction selon les cas.

L’absence de déclaration simplifiée : une infraction pénale

Outre la possibilité pour le juge d’ordonner l’effacement des données litigieuses, le non-respect de la déclaration simplifiée répond d’une sanction pénale spécifique.

En effet, l’article 226-16 du Code Pénal vient réprimer « le fait, y compris par négligence, de procéder ou de faire procéder » à un traitement de données à caractère personnel sans avoir respecter l’obligation préalable de déclaration. La peine maximale encourue est de 5 ans d’emprisonnement et de 300 000 euros d’amende. Cet article punit également des mêmes peines le non-respect d’une injonction par la Cnil (de cesser le traitement par exemple ou de retrait d’autorisation).

Une sanction identique est prévue pour tout traitement de données qui ne serait pas conforme à la norme simplifiée qui lui correspond.

Ainsi, la mise en œuvre d’un traitement de données sans respect de la formalité préalable déclarative peut faire l’objet d’une plainte au pénal !

Par ailleurs, la chambre criminelle de la Cour de Cassation, dans une décision du 23 mai 1991 (n°90-87.555), a estimé que le délit de non-respect de l’obligation de déclaration simplifiée était un délit continu. De ce fait, peu importe qu’un long délai se soit écoulé depuis le temps où les démarches auraient dû être effectuées : il n’y a pas de prescription à attendre !

En somme, ne pas déclarer le fait de générer des leads ou la création d’un fichier client-prospect, par exemple, à la Cnil peut vous coûter très cher ! Il convient de préciser que la loi pénale ne fait pas de différence entre une réelle volonté de frauder et un acte accomplit par négligence ou par méconnaissance de la loi.

Enfin, cette obligation est appelée à subir une importante mutation du fait de l’entrée en vigueur prochaine du Règlement Général sur la Protection des Données personnelles…

En 2004, la Loi pour la confiance dans l’économie numérique (LCEN) inscrivait à l’article L.34-5 du Code des postes et des communications électroniques, l’interdiction de toute prospection commerciale automatisée sans consentement.

Cet article défini la prospection directe comme le fait de « promouvoir directement ou indirectement des biens, des services ou l’image d’une personne vendant des services ou des biens ». En effet, depuis l’accès facilité aux adresses électroniques des individus, la génération de leads n’a jamais été aussi aisée. Dorénavant, les entreprises peuvent cibler rapidement et précisément leurs envois (selon la catégorie professionnelle, le métier exercé par la personne, sa fonction dans l’entreprise…).

Les entreprises peuvent choisir parmi plusieurs stratégies afin de démarcher des clients. Il leur est possible d’opter pour une stratégie d’opt-out, par laquelle elles prospecteront directement auprès de l’individu. A contrario, elles peuvent choisir une stratégie d’opt-in dans laquelle l’accord de l’individu sera nécessaire pour entamer toute relation.

Mais, depuis 2002, l’opt-in est la règle en matière de prospection commerciale. En effet, les directives européennes de 2002 et 2009 protègent les « abonnés et les utilisateurs » de la prospection commerciale non désirée.

En quoi consiste une telle stratégie ? Quelles obligations sont à respecter par les professionnels pour la mise en place d’un opt-in ?

Le principe marketing de l’opt-in

 De quoi s’agit-il ?

La génération de leads, en tant que collecte de données à caractère personnel, doit répondre à certaines contraintes. Elle doit, notamment, être licite et loyale.

Dans une démarche d’opt-out, il est possible pour l’entreprise de démarcher un individu directement. Le consentement de la personne est supposé par défaut. Celle-ci pourra simplement s’opposer pour l’avenir à cette prospection. A l’inverse, l’opt-in nécessite le consentement clair et préalable de l’individu ainsi qu’une possibilité de se désinscrire (art.L.34-5 CPCE) avant toute prospection. De ce fait, un acte positif de l’individu est nécessaire. Cette obligation d’un consentement préalable se trouve également à l’article 6 de la Norme simplifiée NS-048 relative aux fichiers clients-prospects.

Le consentement :

Selon la Commission Nationale de l’Informatique et des Libertés (Cnil), le consentement doit être « libre, spécifique et informé ».

De ce fait, il est strictement interdit, par exemple, de faire de la prospection par SMS si la personne ne vous a pas expressément donné son accord pour le faire.

Généralement, sur les sites internet la manifestation de ce consentement s’opère via une case à cocher (une case pré-cochée est contraire à la loi). L’individu ayant refusé l’enregistrement de ses coordonnées est présumée avoir refusé ce démarchage…

Par ailleurs, il faudra recueillir le consentement de l’individu pour chaque nouveau traitement de ses données (en cas de transfert des données à une entreprise partenaire par exemple).

La possibilité de renoncer à la prospection commerciale :

Au moment de la génération du lead, il faut que l’individu puisse s’opposer de manière simple et claire à l’utilisation de ses données à des fins commerciales. C’est pourquoi, les entreprises doivent toujours préciser la finalité de la collecte (en outre, que les données serviront à des fins commerciales ou non).

Quelques illustrations

Si la jurisprudence en la matière est peu abondante, elle a pu, néanmoins, se prononcer sur des cas intéressants.

A cet égard, le fait de collecter sur internet l’adresse électronique d’une personne physique à son insu peut être regardé comme illicite et déloyal (CASS. Crim, n°05-83.423).

Le fait de recueillir les données personnelles d’individus sur un site internet concurrent et de les employer, et ce malgré leur opposition, constitue un traitement de données déloyal (CE, 9 novembre 2015, Sté Néressis, n°384673).

La question du double opt-in

Cependant, le recueillement du consentement de l’individu pose parfois problème. En effet, comment s’assurer que l’individu souhaitais vraiment cocher la case ? L’a-t-il seulement vraiment fait ? Etait-il réellement intéressé par une telle prospection ou était-ce une erreur de sa part ?

La pratique du double opt-in permet de répondre à ces problématiques. Ce mécanisme consiste à obtenir un double consentement de la personne.

Dans un premier temps, l’individu s’inscrit à votre newsletter en laissant son adresse électronique. Puis, il cliquera sur le lien de confirmation se trouvant dans le mail de suivi. Suite à cette opération, le lead sera généré et vous pourrez ajouter ce contact à votre fichier client-prospects.

Ainsi, le double opt-in propose un niveau supplémentaire de confirmation à votre mécanisme d’inscription.

Est-il possible d’écarter ce principe ?

L’article L.34-5 du CPCE prévoit des exceptions à ce principe. En effet, le consentement préalable de la personne n’est plus requis lorsque :

• Les données de la personne ont déjà été recueillies légalement une première fois à l’occasion d’une vente ou d’une prestation de service
• La nouvelle prospection concerne des produits ou services similaires et, sera effectuée par la même personne
• Il doit être possible pour l’individu de s’opposer à cette prospection à chaque nouvelle sollicitation

A noter : ces trois conditions sont cumulatives !

Dans certains cas, la stratégie d’opt-out peut intervenir si les conditions de l’opt-in ont été respectées une première fois. A titre d’exemple, je suis élagueur professionnelle, je décide de commander une nouvelle tronçonneuse sur un site de matériel spécialisé. De ce fait, je pourrais par la suite recevoir d’autres promotions pour des rotofiles, des têtes de débroussailleuse, des sécateurs ou tout autres produits proposés par ce même site.

Par ailleurs, la Cnil explique que les adresses électroniques professionnelles peuvent ne pas être concernées par ce principe. Cependant, vous devrez vous assurer que le message que vous envoyez l’est au titre de la fonction que la personne exerce.  Vous décidez, par exemple, de contacter Mr.X, directeur du service informatique de l’entreprise Z, pour lui proposer votre nouveau logiciel.  Dans cette situation vous n’aurez pas à respecter ce principe. A contrario, si vous êtes un professionnel du tourisme et que, disposant de l’adresse e-mail professionnelle de Mr.X, vous décidez de lui envoyer une brochure pour votre camping… Cette situation s’apparentera à du spamming.

Quid de la réglementation européenne ?

Le droit de l’Union Européenne s’est prononcée à plusieurs reprises sur la question du consentement préalable.

La Directive 95/46/CE énonce à son article 7 qu’un traitement de données à caractère personnel ne peut s’effectuer que si « la personne concernée a indubitablement donné son consentement ».
Par ailleurs, le texte énonce également la possibilité pour l’individu de s’opposer à toute prospection commerciale. Au titre de l’article 14, la personne concernée peut « s’opposer, sur demande et gratuitement, au traitement des données à caractère personnel la concernant envisagé par le responsable du traitement à des fins de prospection ».

En 2002, une nouvelle directive (2002/58/CE) vient compléter ces droits. Son article 13 dispose qu’une « prospection directe ne peut être autorisée que si elle vise des abonnés ayant donné leur consentement préalable ».
La directive 2009/136/CE viendra modifier cette disposition en étendant cette prospection « aux abonnés et aux utilisateurs ».

En définitif, il s’agit d’un mécanisme protecteur des données à caractère personnel. Pour générer des leads en toute légalité le respect de cette notion apparaît nécessaire. En effet, la loi sanctionne le défaut de consentement préalable ainsi que le non-respect du droit d’opposition.

 Que risquez-vous en cas de non-respect de ce principe ?

Le principe même de cette stratégie induit le recueil d’un consentement et la possibilité pour la personne de refuser la prospection. La sanction en cas de violation de ces deux conditions sont prévues par le Code des postes et des communications électroniques et par le Code pénal.

Le traitement de données malgré l’opposition de l’individu

L’article 38 de la Loi informatique et Libertés de 1978 prévoit la possibilité pour toute personne physique de s’opposer au traitement de ses données personnelles. L’alinéa 2 de cet article dispose que ce droit d’opposition se fasse gratuitement et sans l’obligation d’un motif légitime.

De plus, l’article R.10-1 du CPCE énonce que toute prospection effectuée alors même que la personne avait exprimé son refus, est puni, pour chaque sollicitation, du montant de l’amende prévue pour les contraventions de quatrième classe.

Enfin, le non-respect de ce droit d’opposition est réprimé pénalement via l’article 226-18-1 du code pénal. En effet, le fait de traiter les données personnelles d’un individu dans le cadre d’une prospection commerciale, malgré l’expression de son refus (le fait d’avoir renvoyer un sms de désabonnement aux offres et promotions, le fait d’avoir envoyé un mail pour se désinscrire d’une newsletter) , peut être puni de cinq d’emprisonnement et de 300 000 euros d’amende.

Le traitement de données en l’absence de consentement préalable

L’article R.10-1 du CPCE sanctionne également le traitement de données personnelles en l’absence du consentement de la personne concernée. La sanction pécuniaire est la même qu’en cas de non-respect du droit d’opposition.

Cependant, le défaut de consentement préalable n’est pas sanctionné pénalement… Se pose donc la question de savoir si l’absence de consentement peut être sanctionné par l’article 226-18-1 du CP, au même titre que la violation du droit d’opposition ?

La Chambre criminelle de la Cour de cassation, dans une décision du 14 mars 2006 (n°05-83.423), a tenté de répondre à cette interrogation.

Le raisonnement des juges est tel que le défaut de consentement fera nécessairement obstacle au droit d’opposition, c’est pourquoi il a été possible de sanctionner le responsable du traitement au titre de l’article 226-18-1 du CP.

Cependant, une clarification législative de ces deux notions semble aujourd’hui nécessaire…

La génération de leads dans le cadre d’une prospection commerciale devra respecter le cadre légal imposé par le principe de l’opt-in. Ce dernier est, en effet, la règle en la matière. La possibilité pour votre entreprise de générer des leads doit se faire en accord avec le droit des personnes. Cela ne pourra se faire sans l’obtention de leur accord et la possibilité de refuser une telle prospection.