Le Legal Spot
Si l’envoi d’une newsletter vous permet de conserver un lien ou promouvoir votre activité auprès de vos clients ou prospects, il constitue un traitement de données personnelles, encadré par le RGPD.
En effet, l’envoi d’une newsletter implique de collecter des données personnelles : les adresses email des abonnés, ou encore, le cas échéant, les données relatives à l’analyse des envois. Elles doivent donc être traitées conformément aux exigences du RGPD, notamment quant au consentement des personnes concernées, à leurs droits, ou à la transparence.
Voici un point sur vos principales obligations au titre du RGPD pour envoyer des newsletters à vos clients ou prospects.
La nécessité d’obtenir le consentement pour envoyer une newsletter dépend de plusieurs critères et selon que celle-ci est envoyée à des particuliers (BtoC) ou à des professionnels (BtoB).
Pour les particuliers, le consentement préalable à l’envoi de la newsletter est le principe. En clair, vos clients ou prospects doivent consentir à la collecte de leurs données et à l’envoi de votre newsletter (principe de l’opt-in).
Il existe une exception, prévue par le Code des postes et télécommunications électroniques en matière de prospection commerciale. Lorsque la personne concernée est déjà cliente de votre entreprise (elle a déjà acheté un produit ou eu recours à vos services), il est possible de lui envoyer des emails de prospection commerciale pour des produits ou services similaires à ceux-ci et fournis par votre entreprise.
Le recours à cette exception est strictement contrôlé par la CNIL. Par exemple, une société a été sanctionnée pour avoir envoyé des courriels de prospection commerciale aux personnes qui avaient simplement créé un compte en ligne sur son site internet, sans avoir nécessairement réalisé des achats (amende administrative de 500 000 euros, dont 200 000 au titre de manquements relatifs aux cookies et à la prospection par courriel). La société aurait alors dû recueillir le consentement de ces personnes, l’exception ne pouvant s’appliquer faute d’achat préalable.
En outre, lorsque l’exception s’applique, vous devez informer les destinataires de vos courriels que leur adresse sera utilisée à des fins de prospection commerciale, et de leur droit à s’opposer à tout moment aux envois (opt-out).
Pour les professionnels, l’envoi de newsletters peut être fondé sur l’intérêt légitime de votre entreprise : le consentement n’est donc pas nécessaire.
Cela étant, il faudra respecter les conditions suivantes pour adresser votre newsletter à des professionnels sans se fonder sur leur consentement :
Le consentement de vos clients ou prospects à l’envoi de votre newsletter doit être libre, spécifique, éclairé et univoque.
En pratique, il faudra donc informer vos clients ou prospects quant aux modalités et finalités du traitement de leurs données, mais aussi que le consentement résulte d’une action positive : formulaire d’inscription à compléter, case à cocher (non pré-cochée), etc.
Lors de la collecte de l’adresse mail et de l’inscription à la newsletter, les informations suivantes devront être fournies aux destinataires de votre newsletter :
Ces informations doivent être présentées de manière claire, compréhensible, et aisément accessible.
En pratique, un premier niveau d’information devra être affiché lors de la collecte des données, afin de présenter l’essentiel des informations (sur la page d’inscription).
Cette mention d’information pourra ainsi renvoyer vers un second niveau d’information, plus complet (dans votre politique de confidentialité par exemple).
Les destinataires de votre newsletter doivent pouvoir s’opposer à l’envoi de celle-ci à tout moment.
Concrètement, chaque newsletter doit comporter un lien permettant de se désabonner, qui doit être visible et fonctionnel. La page permettant de gérer les abonnements doit également être simple, et ne doit pas décourager le désabonnement (vérifications ou étapes inutiles par exemple).
Si vous avez recours à des outils de gestion et d’envoi de newsletters, les éditeurs de ces solutions sont susceptibles d’être qualifiés de sous-traitants de votre entreprise au sens du RGPD.
En effet, ceux-ci peuvent traiter des données personnelles (les adresses mail de vos clients ou prospects) pour votre compte et sur vos instructions.
Il faudra alors vous assurer que ces éditeurs proposent la conclusion d’un contrat de sous-traitance (data processing agreement, ou DPA), qui devra contenir un ensemble de clauses obligatoires (confidentialité, sécurité des données, sort des données à l’issue du contrat, assistance, etc.).
Vous devrez également vérifier que ces sous-traitants présentent les garanties suffisantes pour répondre aux exigences du RGPD.
Enfin, si vous avez recours à des outils permettant de collecter des statistiques (ouvertures, clics, etc.), et que celles-ci ne sont pas anonymes, le traitement de ces analytics devra être effectué conformément aux exigences du RGPD. Vous devrez notamment informer vos abonnés, ou encore déterminer une durée de conservation de ces données qui ne soit pas excessive.
La CNIL sanctionne régulièrement des entreprises qui commettent des manquements au RGPD et aux règles applicables en matière de prospection commerciale par voie électronique.
La conformité RGPD de votre newsletter vous permet à la fois de sécuriser votre entreprise, mais aussi de vous assurer de la confiance de vos abonnés. Il s’agit également d’une question d’image vis-à-vis de ces derniers.
Legal Spot Avocats vous accompagne dans la mise en conformité de vos envois de newsletters et de vos campagnes d’email marketing. Contactez-nous.
