Transmission des données à des partenaires à des fins de prospection électronique : quels sont les principes à respecter ?

28 décembre 2018

De nombreuses sociétés collectant des données directement auprès des personnes, que ce soit sur des formulaires en ligne ou papier, transmettent ces informations auprès de « partenaires commerciaux » ou plus généralement auprès d’autres organismes, pour que ceux-ci envoient de la prospection par SMS ou par courriel. Cette transmission doit respecter une série de conditions, notamment posées par le RGPD, pour être valable et permettre aux personnes de garder le contrôle sur leurs données personnelles.

Le respect des principes rappelés ci-dessous peut être décliné sous différentes formes, de manière à adapter les modalités de recueil du consentement et d’information aux interfaces et supports de communication utilisés par chaque société.

Ainsi :

  1. La personne doit donner son consentement avant toute transmission à des partenaires.
  2. La personne doit pouvoir identifier les partenaires, destinataires des données, depuis le formulaire à partir duquel la collecte des données est réalisée. Les modalités suivantes peuvent notamment être envisagées :
  • soit la liste exhaustive régulièrement mise à jour est visible directement sur le formulaire ;
  • soit la liste est trop longue et un lien peut renvoyer vers la liste ainsi que sur les politiques de confidentialité des partenaires.
  1. La personne doit être informée des évolutions de la liste des partenaires et notamment de l’arrivée de nouveaux partenaires.

Par exemple, cette information peut être mise à disposition sur deux niveaux permettant de suivre plus précisément le cycle de vie des données et d’exercer ses droits de manière plus effective :

  • chaque courriel ou message de prospection reçu de la part de la société à l’origine de la collecte des données permet de prendre connaissance de la liste à jour de ses partenaires ;
  • chaque nouveau partenaire recevant les données doit, quand il communique pour la première fois avec la personne prospectée, l’informer, au plus tard dans un délai d’un mois, du traitement qu’il fait de ses données.

Cette information doit comporter notamment : le nom de la société qui a transmis les données au partenaire (société à la source ou à l’origine de la collecte), les droits de la personne concernée et notamment son droit de s’opposer à de la prospection commerciale de la part du nouveau partenaire.

  1. Le consentement recueilli par la société collectant les données pour le compte de ses partenaires n’est valable que pour ces derniers.

Les partenaires ne peuvent donc envoyer, à leur tour, les informations reçues à leur propres partenaires, sans recueillir de nouveau le consentement informé des personnes, notamment quant à l’identité des nouveaux organismes qui seraient rendus destinataires de leurs données (adresses électronique en particulier). Il n’y a pas de « transmission » possible du consentement.

  1. Les partenaires sollicitant à leur tour les personnes concernées doivent indiquer, lors de leur première communication, la manière d’exercer leurs droits, en particulier d’opposition, ainsi que la source d’où proviennent les données utilisées.

Comment exprimer ce droit d’opposition ?

  • soit directement auprès du nouveau partenaire ;
  • soit auprès de la société à l’origine de la collecte initiale des données qui devra le répercuter directement à ses partenaires qui sont destinataires des données.

Les mots clés associés à cet article