Des règles plus strictes et plus détaillées pour le marketing direct
L'Autorité de protection des données (APD) a publié un nouveau projet de recommandation sur le marketing direct. Dans cette mise à jour - ouverte aux commentaires jusqu'au 10 mai - l’APD adopte une position plus stricte et plus détaillée. Les entreprises qui utilisent des données personnelles à des fins de communication promotionnelle sont clairement prévenues : si elles ne demandent pas un consentement explicite, elles s’avancent sur un terrain glissant.
La directive redéfinit dans un sens très large le concept de marketing direct. Elle y inclut toute communication directe contenant un message promotionnel - commercial ou non - adressé à une personne identifiable, comme les bannières personnalisées, les newsletters ou les e-mails de remerciement qui contiennent également de la publicité. On parle de marketing direct dès que des données à caractère personnel sont en jeu, même si la newsletter ou la bannière émane d'une organisation non commerciale, comme une ONG.
Selon l’APD, le consentement constitue la base juridique la plus sûre. Il doit être explicite, libre et univoque. Les cases précochées ou les pop-ups vagues ne suffisent pas. D’autres alternatives au consentement existent, comme « l'intérêt légitime ». Une entreprise peut donc utiliser des données à caractère personnel si elle a une raison légitime de le faire, par exemple pour tenir ses clients informés de nouveaux services. Mais ce motif doit être suffisamment important par rapport au droit à la vie privée du destinataire. La nouvelle directive de l’APD est nettement plus restrictive. Ainsi, pour des campagnes ciblant des personnes avec lesquelles vous n'entretenez pas encore de relation (prospection), le consentement reste en pratique la seule option sûre.
Lorsqu’une entreprise décide d’agir malgré tout sur la base d'un intérêt légitime, il convient de bien justifier son approche. Toute forme de communication - qu’il s’agisse de newsletters ou d’annonces personnalisées - doit faire l'objet d'une évaluation spécifique. Cette option reste possible, en particulier avec les clients existants, à condition qu'ils soient bien informés à l'avance et qu'ils aient la possibilité de se désinscrire facilement (opt-out). Les clients conservent ainsi le contrôle, ce qui est essentiel selon l’APD.
La recommandation a les allures d’une demi-loi, ce qui suscite la discussion. Des experts juridiques ont déjà averti que, dans son zèle clarificateur, l’APD introduit de nouvelles normes qui vont au-delà de ce qu’exige le RGPD. L'APD appelle à présent les secteurs concernés à commenter le projet de texte. Les entreprises sont invitées à lire attentivement la recommandation pour leurs activités de marketing et de communication avec les clients, car la version finale de la directive constituera de facto le cadre d'évaluation lors de futurs contrôles.
Lire plus