RGPD et mails professionnels : faut-il obtenir le consentement ?

Depuis l’entrée en vigueur du RGPD le 25 mai dernier, une multitude d’articles fleurissent sur ce qu’il est possible de faire ou non sous l’empire du Règlement. Une information particulière a attiré notre attention ces derniers jours

En effet, plusieurs sites internet (comme ici) indiquent que la prospection par mail à l’attention des professionnels n’est pas soumise au consentement des personnes à partir du moment où la sollicitation est en rapport avec leur profession, et ce, même si l’adresse mail contient le nom et/ou le prénom du professionnel concerné. 

De notre point de vue, ces affirmations catégoriques mériteraient d’être nuancées. Explications. 

Consentement RGPD et adresses professionnelles : prudence !

Rappelons d’abord que le consentement est l’un des fondements permettant de rendre licite un traitement de données personnelles : il est prévu par les articles 6 à 8 du RGPD. Il doit être libre, éclairé et le responsable du traitement doit conserver la preuve que le consentement au traitement a été obtenu. 

Les partisans de l’interprétation selon laquelle la prospection par mail auprès de professionnels ne requiert pas le recueil de leur consentement se base probablement sur des documents réalisés par la CNIL avant l’entrée en vigueur du RGPD. En effet, dans ce document daté d’octobre 2016, il est précisé que le message publicitaire envoyé sur l’adresse mail professionnelle d’une personne physique et dont l’objet est en rapport avec sa profession n’a pas besoin d’avoir reçu le consentement du destinataire. Cependant la CNIL précise que l’organisme qui envoie un tel email doit avoir prévenu au préalable le professionnel de l’utilisation de son adresse électronique à cette fin. 

Mais cette explication date d’avant l’entrée en vigueur du RGPD.

La CNIL a précisé, le 30 mars 2018, que le principe qui prévaut lors de la prospection commerciale par mail est le recueil préalable de l’accord du destinataire. Une nuance est apportée à ce principe : en matière de prospection à destination d’un professionnel, il faut que le destinataire ait été, au préalable informé que ses données à caractère personnel seraient traitées à cette fin. Nous sommes donc dans un degré d’obligation inférieur au recueil du consentement : le responsable du traitement n’a pas à prouver qu’il a obtenu le consentement préalable du professionnel, il doit prouver qu’il a bien délivré l’information. Toujours est-il qu’une obligation, certes moins lourde que le recueil du consentement, pèse sur le responsable du traitement qui souhaite faire de la prospection par mail à destination de professionnels. 

La prospection professionnelle en principe soumise à l’information préalable

Certains pourraient estimer qu’une adresse professionnelle n’est pas une donnée à caractère personnel : pourtant, dès que le nom et/ou le prénom de la personne physique y sont intégrés, une adresse mail professionnelle est bien considérée comme étant une donnée personnelle. Les adresses mail professionnelles entrent donc dans le champ d’application du Règlement. 

De plus, le Règlement dresse, à son article 6, la liste des fondements autres que le consentement de l’individu permettant de justifier le traitement de ses données personnelles : il s’agit de l’existence d’une relation contractuelle, du respect d’une obligation légale, de la sauvegarde des intérêts vitaux de la personne, de l’exécution d’une mission d’intérêt public, ou de l’existence d’intérêts légitimes du responsable du traitement. 

Nous voyons que le RGPD ne prévoit, à aucun moment, de fondement spécifique aux adresses mail professionnelles. Dès lors que ces adresses sont des données à caractère personnelles et que leur traitement ne repose pas sur l’une des 5 conditions vues ci-dessus, le consentement devrait être nécessaire à la mise en place d’un traitement. Tout envoi de mails de prospection à des professionnels, sur leur adresse contenant leur nom et/ou leur prénom, devrait avoir été précédé du recueil de leur consentement. 

Toutefois, cette obligation de recueillir le consentement pourrait ne pas être applicable si l’on se reporte au considérant n°47 du RGPD qui précise que « le traitement de données à caractère personnel à des fins de prospection peut être considéré comme étant réalisé pour répondre à un intérêt légitime« . En d’autres termes, si le responsable du traitement apporte la preuve de son intérêt légitime à réaliser une prospection commerciale par mail à destination des professionnels, il n’a pas besoin de recueillir le consentement du destinataire. Inversement, si l’intérêt légitime du responsable du traitement n’est pas démontré, le consentement du destinataire de la communication doit avoir été recueilli. 

Il n’en demeure pas moins que l’obligation d’information préalable reste applicable en toutes circonstances. Dès lors qu’une adresse mail professionnelle identifiante est recueillie, le responsable du traitement doit donc l’informer que son adresse sera utilisée ultérieurement à des fins de prospection commerciale. 

 

Dernière mise à jour : le 13/06/018

Retrouvez tous les bons conseils pour bien réussir la mise en conformité avec le RGPD dans un dossier spécial de plus de 150 pages : cliquez ici pour en savoir plus.

mm
A propos Leo Guittet 160 Articles
Juriste spécialisé dans les données de santé à Tripalio depuis 2014, j'écris quotidiennement des articles sur le thème de la protection sociale collective et des données de santé. Actuellement en thèse CIFRE sur le sujet de l'accès aux données de santé en France, je suis intéressé par tous les sujets qui touchent aux avancées technologiques et juridiques sur ce thème.

2 commentaires sur RGPD et mails professionnels : faut-il obtenir le consentement ?

  1. Bonjour,

    La CNIL a expressément precisé que le RGPD ne modifiait pas les règles applicables jusqu’alors en France en matière de prospection commerciale BtoB par e-mail (information préalable et pas de recueil de consentement), ici : https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-electronique

    De plus, le RGPD en son considérant 47 dispose « Le traitement de données à caractère personnel à des fins de prospection peut être considéré comme étant réalisé pour répondre à un intérêt légitime. », ce qui semble différer de ce que vous affirmez…

    Je suis donc étonné de votre article. N’avez-vous pas vu ces éléments lors de vos recherches ou en avez-vous trouvé d’autres qui viendraient les infirmer ?

    • Chre Lecteur,

      Vous avez tout à fait raison sur ce point : il y a eu confusion dans notre article entre « consentement » et « information préalable ».
      L’objectif de l’article est bien de sensibiliser le lecteur sur le fait que si le consentement préalable ne semble pas systématique en B to B (mais toutefois recommandé), la CNIL insiste sur le fait que l’information préalable doit être faite auprès du destinataire dont l’adresse mail professionnelle laisse apparaître son identité. Or, la plupart des informations « non officielles » présentes sur internet indiquent que le consentement n’est pas nécessaire sans préciser que le destinataire doit quand même être informé au préalable.
      Notre article sera mis à jour en ce sens.

      Bien cordialement.

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée.


*


Ce site utilise Akismet pour réduire les indésirables. En savoir plus sur comment les données de vos commentaires sont utilisées.

Lire les articles précédents :
NDDL : quand policiers et gendarmes se tirent dans les pattes

Dernièrement, Gérard Collomb, ministre de l'Intérieur, défendait la méthode avec laquelle il a fait "revenir l'état de droit" dans la...

Fermer