En 2004, la Loi pour la confiance dans l’économie numérique (LCEN) inscrivait à l’article L.34-5 du Code des postes et des communications électroniques, l’interdiction de toute prospection commerciale automatisée sans consentement.Cet article défini la prospection directe comme le fait de « promouvoir directement ou indirectement des biens, des services ou l’image d’une personne vendant des services ou des biens ». En effet, depuis l’accès facilité aux adresses électroniques des individus, la génération de leads n’a jamais été aussi aisée. Dorénavant, les entreprises peuvent cibler rapidement et précisément leurs envois (selon la catégorie professionnelle, le métier exercé par la personne, sa fonction dans l’entreprise…). Les entreprises peuvent choisir parmi plusieurs stratégies afin de démarcher des clients. Il leur est possible d’opter pour une stratégie d’opt-out, par laquelle elles prospecteront directement auprès de l’individu. A contrario, elles peuvent choisir une stratégie d’opt-in dans laquelle l’accord de l’individu sera nécessaire pour entamer toute relation.
Mais, depuis 2002, l’opt-in est la règle en matière de prospection commerciale. En effet, les directives européennes de 2002 et 2009 protègent les « abonnés et les utilisateurs » de la prospection commerciale non désirée.
En quoi consiste une telle stratégie ? Quelles obligations sont à respecter par les professionnels pour la mise en place d’un opt-in ?
Le principe marketing de l’opt-in
De quoi s’agit-il ?
La génération de leads, en tant que collecte de données à caractère personnel, doit répondre à certaines contraintes. Elle doit, notamment, être licite et loyale.
Dans une démarche d’opt-out, il est possible pour l’entreprise de démarcher un individu directement. Le consentement de la personne est supposé par défaut. Celle-ci pourra simplement s’opposer pour l’avenir à cette prospection. A l’inverse, l’opt-in nécessite le consentement clair et préalable de l’individu ainsi qu’une possibilité de se désinscrire (art.L.34-5 CPCE) avant toute prospection. De ce fait, un acte positif de l’individu est nécessaire. Cette obligation d’un consentement préalable se trouve également à l’article 6 de la Norme simplifiée NS-048 relative aux fichiers clients-prospects.
Le consentement :
Selon la Commission Nationale de l’Informatique et des Libertés (Cnil), le consentement doit être « libre, spécifique et informé ».
De ce fait, il est strictement interdit, par exemple, de faire de la prospection par SMS si la personne ne vous a pas expressément donné son accord pour le faire.
Généralement, sur les sites internet la manifestation de ce consentement s’opère via une case à cocher (une case pré-cochée est contraire à la loi). L’individu ayant refusé l’enregistrement de ses coordonnées est présumée avoir refusé ce démarchage…
Par ailleurs, il faudra recueillir le consentement de l’individu pour chaque nouveau traitement de ses données (en cas de transfert des données à une entreprise partenaire par exemple).
La possibilité de renoncer à la prospection commerciale :
Au moment de la génération du lead, il faut que l’individu puisse s’opposer de manière simple et claire à l’utilisation de ses données à des fins commerciales. C’est pourquoi, les entreprises doivent toujours préciser la finalité de la collecte (en outre, que les données serviront à des fins commerciales ou non).
Quelques illustrations
Si la jurisprudence en la matière est peu abondante, elle a pu, néanmoins, se prononcer sur des cas intéressants.
A cet égard, le fait de collecter sur internet l’adresse électronique d’une personne physique à son insu peut être regardé comme illicite et déloyal (CASS. Crim, n°05-83.423).
Le fait de recueillir les données personnelles d’individus sur un site internet concurrent et de les employer, et ce malgré leur opposition, constitue un traitement de données déloyal (CE, 9 novembre 2015, Sté Néressis, n°384673).
La question du double opt-in
Cependant, le recueillement du consentement de l’individu pose parfois problème. En effet, comment s’assurer que l’individu souhaitais vraiment cocher la case ? L’a-t-il seulement vraiment fait ? Etait-il réellement intéressé par une telle prospection ou était-ce une erreur de sa part ?
La pratique du double opt-in permet de répondre à ces problématiques. Ce mécanisme consiste à obtenir un double consentement de la personne.
Dans un premier temps, l’individu s’inscrit à votre newsletter en laissant son adresse électronique. Puis, il cliquera sur le lien de confirmation se trouvant dans le mail de suivi. Suite à cette opération, le lead sera généré et vous pourrez ajouter ce contact à votre fichier client-prospects.
Ainsi, le double opt-in propose un niveau supplémentaire de confirmation à votre mécanisme d’inscription.
Est-il possible d’écarter ce principe ?
L’article L.34-5 du CPCE prévoit des exceptions à ce principe. En effet, le consentement préalable de la personne n’est plus requis lorsque :
- Les données de la personne ont déjà été recueillies légalement une première fois à l’occasion d’une vente ou d’une prestation de service
- La nouvelle prospection concerne des produits ou services similaires et, sera effectuée par la même personne
- Il doit être possible pour l’individu de s’opposer à cette prospection à chaque nouvelle sollicitation
A noter : ces trois conditions sont cumulatives !
Dans certains cas, la stratégie d’opt-out peut intervenir si les conditions de l’opt-in ont été respectées une première fois. A titre d’exemple, je suis élagueur professionnelle, je décide de commander une nouvelle tronçonneuse sur un site de matériel spécialisé. De ce fait, je pourrais par la suite recevoir d’autres promotions pour des rotofiles, des têtes de débroussailleuse, des sécateurs ou tout autres produits proposés par ce même site.
Par ailleurs, la Cnil explique que les adresses électroniques professionnelles peuvent ne pas être concernées par ce principe. Cependant, vous devrez vous assurer que le message que vous envoyez l’est au titre de la fonction que la personne exerce. Vous décidez, par exemple, de contacter Mr.X, directeur du service informatique de l’entreprise Z, pour lui proposer votre nouveau logiciel. Dans cette situation vous n’aurez pas à respecter ce principe. A contrario, si vous êtes un professionnel du tourisme et que, disposant de l’adresse e-mail professionnelle de Mr.X, vous décidez de lui envoyer une brochure pour votre camping… Cette situation s’apparentera à du spamming.
Quid de la réglementation européenne ?
Le droit de l’Union Européenne s’est prononcée à plusieurs reprises sur la question du consentement préalable.
La Directive 95/46/CE énonce à son article 7 qu’un traitement de données à caractère personnel ne peut s’effectuer que si « la personne concernée a indubitablement donné son consentement ».
Par ailleurs, le texte énonce également la possibilité pour l’individu de s’opposer à toute prospection commerciale. Au titre de l’article 14, la personne concernée peut « s’opposer, sur demande et gratuitement, au traitement des données à caractère personnel la concernant envisagé par le responsable du traitement à des fins de prospection ».
En 2002, une nouvelle directive (2002/58/CE) vient compléter ces droits. Son article 13 dispose qu’une « prospection directe ne peut être autorisée que si elle vise des abonnés ayant donné leur consentement préalable ».
La directive 2009/136/CE viendra modifier cette disposition en étendant cette prospection « aux abonnés et aux utilisateurs ».
En définitif, il s’agit d’un mécanisme protecteur des données à caractère personnel. Pour générer des leads en toute légalité le respect de cette notion apparaît nécessaire. En effet, la loi sanctionne le défaut de consentement préalable ainsi que le non-respect du droit d’opposition.
Que risquez-vous en cas de non-respect de ce principe ?
Le principe même de cette stratégie induit le recueil d’un consentement et la possibilité pour la personne de refuser la prospection. La sanction en cas de violation de ces deux conditions sont prévues par le Code des postes et des communications électroniques et par le Code pénal.
Le traitement de données malgré l’opposition de l’individu
L’article 38 de la Loi informatique et Libertés de 1978 prévoit la possibilité pour toute personne physique de s’opposer au traitement de ses données personnelles. L’alinéa 2 de cet article dispose que ce droit d’opposition se fasse gratuitement et sans l’obligation d’un motif légitime.
De plus, l’article R.10-1 du CPCE énonce que toute prospection effectuée alors même que la personne avait exprimé son refus, est puni, pour chaque sollicitation, du montant de l’amende prévue pour les contraventions de quatrième classe.
Enfin, le non-respect de ce droit d’opposition est réprimé pénalement via l’article 226-18-1 du code pénal. En effet, le fait de traiter les données personnelles d’un individu dans le cadre d’une prospection commerciale, malgré l’expression de son refus (le fait d’avoir renvoyer un sms de désabonnement aux offres et promotions, le fait d’avoir envoyé un mail pour se désinscrire d’une newsletter) , peut être puni de cinq d’emprisonnement et de 300 000 euros d’amende.
Le traitement de données en l’absence de consentement préalable
L’article R.10-1 du CPCE sanctionne également le traitement de données personnelles en l’absence du consentement de la personne concernée. La sanction pécuniaire est la même qu’en cas de non-respect du droit d’opposition.
Cependant, le défaut de consentement préalable n’est pas sanctionné pénalement… Se pose donc la question de savoir si l’absence de consentement peut être sanctionné par l’article 226-18-1 du CP, au même titre que la violation du droit d’opposition ?
La Chambre criminelle de la Cour de cassation, dans une décision du 14 mars 2006 (n°05-83.423), a tenté de répondre à cette interrogation.
Le raisonnement des juges est tel que le défaut de consentement fera nécessairement obstacle au droit d’opposition, c’est pourquoi il a été possible de sanctionner le responsable du traitement au titre de l’article 226-18-1 du CP.
Cependant, une clarification législative de ces deux notions semble aujourd’hui nécessaire…
La génération de leads dans le cadre d’une prospection commerciale devra respecter le cadre légal imposé par le principe de l’opt-in. Ce dernier est, en effet, la règle en la matière. La possibilité pour votre entreprise de générer des leads doit se faire en accord avec le droit des personnes. Cela ne pourra se faire sans l’obtention de leur accord et la possibilité de refuser une telle prospection.
