Le RGPD et les Partenaires

Quelles sont mes obligations en matière de protection des données lorsque je participe au programme Extu ?

Il existe quatre obligations clés que les partenaires doivent respecter lorsqu’ils utilisent les services d’Extu pour envoyer des supports marketing à leurs abonnés :

1. Établir le fondement légal du traitement des informations personnelles sur les listes d’abonnés.
   Cela signifie que vous :
   • avez obtenu le consentement explicite de chaque destinataire individuel de votre liste d’abonnés pour recevoir des supports marketing de votre part, par le biais d’une action claire, librement donnée, pleinement informée et affirmative.
   • vous basez sur des intérêts légitimes comme fondement légal pour utiliser l’adresse e-mail de votre liste d’abonnés afin d’envoyer des supports marketing, après avoir réalisé une évaluation documentée des intérêts légitimes (c’est-à-dire qu’il existe une attente raisonnable de la part du destinataire de recevoir des supports marketing en raison d’une relation commerciale existante, et l’impact sur la vie privée a été évalué comme faible). Veuillez consulter Comment m’assurer que ma liste d’abonnés est conforme au RGPD ? pour plus d’informations.
2. 2. Les avis de confidentialité doivent fournir des informations complètes sur le traitement des données personnelles.
   En tant que responsable de votre liste d’abonnés, votre avis de confidentialité doit être conforme aux exigences de transparence et d’équité du RGPD, et divulguer :
   • Le fondement légal sur lequel repose la collecte et le traitement des informations personnelles, y compris le traitement des adresses e-mail à des fins de marketing direct. Dans la plupart des cas, le fondement légal utilisé sera soit le consentement, soit les intérêts légitimes. Vous pouvez également vous appuyer sur d’autres motifs tels que l’exécution d’un contrat ou une obligation légale lorsque vous traitez des informations personnelles dans le cadre de vos activités commerciales (par exemple, les informations de contact pour fournir des produits ou services à un client particulier).
   • Quelles informations personnelles vous partagez avec Extu (cela doit inclure une notification que les adresses e-mail des clients et des copies de factures/reçus seront partagées pour administrer et valider les campagnes).
   • Avec qui vous partagez des informations personnelles et une liste de sous-traitants tiers, qui inclut Extu.
3. Des mesures techniques et organisationnelles appropriées doivent être mises en place. Vos systèmes doivent être sécurisés, ce qui inclut des protections informatiques et de cybersécurité adéquates, ainsi que de bonnes contraintes internes, politiques et directives concernant la collecte, l’utilisation, le partage et la manipulation des informations personnelles.
4. Be Extu’s partner in privacy. We need to work together to ensure we adhere to appropriate privacy standards and do our best to protect the personal information we collect and process in the course of sending marketing materials. We need to help each other address any privacy questions, complaints or requests, respond to a potential data breach and conduct privacy investigations or assessments. We are here to support you and you must immediately notify us:
   • en cas de violation de données potentielle ou réelle
   • si vous recevez une demande d’accès des personnes concernées
   • si vous recevez des plaintes ou des réclamations d’un abonné ou d’un régulateur concernant la confidentialité ou les informations personnelles
   • si vous avez des questions ou des préoccupations concernant la confidentialité en général.

Comment garantir que ma liste d’abonnés est conforme au RGPD ?

Les partenaires devraient auditer leur liste d’abonnés et tester sa conformité au RGPD dès leur adhésion au programme, puis régulièrement par la suite. Même si vous n’êtes pas soumis au RGPD, les termes et conditions d’Extu exigent que vous ayez un fondement légal pour le traitement des listes d’abonnés et pour qu’Extu fournisse les services marketing.

L’audit de votre liste de clients implique d’évaluer les adresses e-mail et autres informations que vous avez collectées, et de vérifier si vous avez un fondement légal pour ce traitement. Si vous n’avez pas de fondement légal pour la collecte, alors l’adresse e-mail ne doit pas figurer dans votre liste d’abonnés.

Bien qu’il existe six fondements légaux pour le traitement selon le RGPD, les fondements les plus susceptibles de s’appliquer pour la collecte et l’utilisation d’une adresse e-mail à des fins de marketing direct sont :

• le consentement ; ou
• l’intérêt légitime.

Il est de votre responsabilité d’analyser vos activités de traitement des données et de choisir le bon fondement. Si vous n’êtes pas sûr(e) des fondements légaux énumérés dans le RGPD qui s’appliquent à vous, veuillez consulter vos conseillers juridiques pour vous assurer que les activités de traitement sont correctement justifiées. Il est important de se rappeler que le RGPD consacre le principe de la “responsabilité”, ce qui signifie que vous devez être en mesure de démontrer votre conformité, donc une tenue de registres diligente est essentielle pour soutenir ces justifications.

L’Information Commissioner’s Office propose également des informations supplémentaires sur les fondements légaux, ainsi qu’un outil interactif de guidance sur les fondements légaux pour vous aider à déterminer quel fondement s’applique.

Consentement

Le consentement signifie que la personne concernée a donné librement son consentement clair et explicite au traitement de ses données personnelles à des fins spécifiques.

Lorsque vous examinez votre liste d’abonnés, vous devez vérifier si un consentement explicite a été donné et s’il est toujours valide. Un consentement valide selon le RGPD :

• doit être donné librement ; cela signifie offrir aux personnes un véritable choix continu et un contrôle sur la manière dont vous utilisez leurs données
• doit être évident et nécessiter une action positive pour opter pour l’inscription. Les demandes de consentement doivent être visibles, dissociées des autres termes et conditions, concises et faciles à comprendre, conviviales et basées sur un “opter pour ou consentir” positif plutôt que sur une case précochée ou un “refus de participer ou exclusion volontaire”.
• doit détailler spécifiquement le nom du responsable du traitement, les finalités du traitement et les types d’activités de traitement.

Assurez-vous de conserver des enregistrements pour prouver le consentement – qui a consenti, quand, comment et ce qui leur a été dit.

Des exemples de consentement explicite incluent :

• L’opt-in via un formulaire web ou en ligne, à condition que la case d’opt-in ne soit pas pré-sélectionnée par défaut.
• La complétion d’un formulaire hors ligne qui indique clairement que la personne peut être ajoutée à votre liste de diffusion marketing par e-mail et qu’elle a expressément indiqué sa volonté de recevoir de tels e-mails.
• Vous donnant leur carte de visite ; à condition que 1) vous ayez explicitement indiqué qu’en vous donnant leur carte de visite, ils acceptent d’être ajoutés à votre liste de diffusion marketing par e-mail ; ou 2) ils ont ajouté leur carte de visite à un conteneur ou une pile qui indique clairement qu’en ajoutant une telle carte de visite, ils acceptent d’être ajoutés à votre liste de diffusion marketing par e-mail. Dans les deux cas, vous devez communiquer de manière transparente la base de votre traitement via la communication de votre avis de confidentialité.
• Vous fournir une autre autorisation écrite explicite pour être ajouté à votre liste de diffusion marketing par e-mail avant que vous ne les contactiez par e-mail.

Vous pouvez trouver plus d’informations sur l’intérêt légitime sur le site web du Commissariat à l’information : ICO : Intérêts légitimes et Guide sur les intérêts légitimes.

Intérêt légitime

Il peut y avoir des cas où vous pouvez vous appuyer sur vos intérêts légitimes avec les abonnés et établir une “opt-in souple“.

Vous pouvez vous appuyer sur l’intérêt légitime si le marketing à réaliser est dans l’intérêt légitime de votre entreprise ou d’un tiers, ce qui pourrait inclure des fournisseurs de logiciels, lorsqu’il existe des motifs raisonnables de penser que l’individu s’attendrait au traitement et qu’il y aurait peu d’impact sur la vie privée. La Commission européenne a confirmé que le traitement des données personnelles à des fins de marketing direct peut être considéré comme étant réalisé dans l’intérêt légitime à condition que tous les critères nécessaires soient remplis.

Pour vous appuyer sur l’intérêt légitime comme fondement de traitement légal, vous devrez réaliser et conserver un enregistrement de votre évaluation de l’intérêt légitime. Le site web de l’Information Commissioner’s Office propose un modèle d’évaluation de l’intérêt légitime que vous pouvez utiliser comme guide.

Une fois que vous avez établi et enregistré votre justification de l’intérêt légitime comme fondement de traitement légal, vous pouvez examiner votre liste d’abonnés pour déterminer si certaines adresses e-mail répondent aux critères de l’opt-in souple.

L’opt-in souple s’applique uniquement aux clients existants (pas aux clients potentiels). Pour être éligible à l’inclusion sous l’opt-in souple, l’adresse e-mail doit avoir été obtenue dans le cadre de la vente d’un produit ou d’un service à cette personne.

Il n’y a pas de limites de temps légales imposées concernant l’opt-in souple, mais en guise de référence, les achats réalisés dans un délai de six à 24 mois à partir de la date de l’examen pourraient être considérés comme une période raisonnable. N’oubliez pas qu’il doit y avoir une attente raisonnable de la part de l’abonné quant au consentement à recevoir les e-mails marketing.

Des informations supplémentaires sur l’intérêt légitime peuvent être trouvées sur le site web de l’Information Commissioner’s Office : ICO: Legitimate Interests and Guidance on Legitimate Interests.