RGPD : le consentement ne se transmet pas comme les données personnelles
La Cnil rappelle la nécessité de recueillir des consentements distincts pour la collecte de données personnelles et leur transmission à des partenaires.
Consentir à la collecte de données personnelles est une chose. Donner son accord pour qu’elles soient transmises à des partenaires en est une autre.
Cette distinction fait l’objet d’un rappel que la Cnil vient d’émettre.
Y sont récapitulées les principales conditions que le RGPD pose en la matière.
Les personnes physiques concernées doivent notamment pouvoir, depuis le formulaire utilisé pour recueillir leurs données, identifier les partenaires destinataires. Le formulaire peut inclure une liste ou y renvoyer par le biais d’un lien.
Toute évolution de cette liste doit leur être notifiée ; typiquement, dans les e-mails qu’envoie l’organisme à l’origine de la collecte des données.
Chaque nouveau destinataire est par ailleurs tenu, lorsqu’il communique pour la première fois avec la personne, de l’informer, dans un délai d’un mois, des traitements qu’il réalise. Et de la façon d’exercer ses droits, en particulier d’opposition.
Dans tous les cas, « il n’y a pas de ‘ transmission ‘ possible du consentement », insiste la Cnil : d’un côté, il faut obtenir l’accord pour la collecte des données ; de l’autre, pour la communication aux partenaires.
Ce cas de figure s’applique en premier lieu à la prospection commerciale par courrier électronique.
Sur ce volet, le RGPD ne change pas les règles, qui dépendent de la directive e-Privacy, transposée en droit français à l’article L.34-5 du Code des postes et des communications électroniques.
En B2C, la personne doit donner son accord explicite pour être démarchée, sauf si elle est déjà cliente et que la prospection concerne des produits et/ou services analogues à ceux déjà fournis.
En B2B, le consentement n’est pas nécessaire si le message est envoyé sur l’adresse professionnelle et que l’objet de la sollicitation est en rapport avec la profession.
Dans les deux cas, la personne doit être en mesure de s’opposer aux démarches. Le code de déontologie du Syndicat national de la communication directe revient sur cet aspect, entre autres points.