Quelles sont les techniques de collecte e-mail ?

L’e-mail-appending : enrichir ses bases de données de clients et de prospects en adresses e-mail collectées par un tiers.

Attention : tout enrichissement direct d’un fichier de personnes en adresses e-mail, sans collecte loyale, ni consentement préalable, est illégal.

L’internaute doit à tout moment rester maître de son adresse e-mail, donnée à caractère personnel, et cette dernière ne doit en aucun cas proliférer d’un fichier à l’autre à son insu.

La mise à disposition de l’entité B d’adresses e-mail initialement collectées par l’entité A doit respecter les conditions suivantes :

1 - L’entité A et l’entité B sont toutes deux Responsables de traitement, à jour de leurs formalités préalables CNIL.

2 - La mise à disposition des adresses e-mail collectées par A au profit de B sera formalisée par un contrat commercial intégrant les aspects confidentialité et sécurité associés au traitement de données à caractère personnel.

3 - La mise à disposition d’adresses e-mail collectées par A au profit de B est conditionnée par le recueil par A du consentement actif « Tiers », libre, spécifique et éclairé, l’optin Partenaire.

4 - Lorsque B reçoit des données collectées par A, B réalise une opération de collecte indirecte de données personnelles.

Conformément à l’Article 32.III, B doit fournir une information complète aux personnes concernées tel que visé à l’Article 32.I, au moment de l’opération ou au plus tard lors de la première communication. B doit également informer les personnes qu’elles peuvent s’opposer : à la conservation de leurs données par B et/ou à la transmission de leurs données par B vers un nouveau tiers.

5 - Un lien de désinscription actif figurera dans tout message utilisant les données.

6 - La transmission des données de A vers B sera sécurisée.

De plus, le SNCD recommande :

- L’enrichissement d’un fichier tiers à partir d’une source doit être conditionné par la signature d’un contrat de mise à disposition ou licence d’utilisation.

Ce contrat disposera des rubriques confidentialité et sécurité des données traitées.

- La durée pour l’utilisation des données mises à disposition (de la source vers un tiers) est, au plus, celle qui aura été déclarée à la CNIL, lors des formalités préalables au traitement.

- L’entité émettrice de données personnelles vers un tiers devra mettre à disposition des personnes concernées une liste à jour de ses partenaires-tiers.

La mise à disposition pourra prendre la forme d’un lien vers une page dédiée.

- Afin de ne pas encourager la cession en cascade, le contrat liant l’entité cédante à l’entité réceptrice limitera la cession qui pourrait être faite des adresses e-mail mises à disposition.

En tout état de cause, toute cession à un tiers des données, devra respecter chacune des étapes 1 à 6 décrites ci-dessus.

Art. 32-I loi I&L

Collecte directe : La personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l’a été au préalable, par le responsable du traitement ou son représentant.

1 - De l’identité du responsable du traitement et, le cas échéant, de celle de son représentant ;
2 - De la finalité poursuivie par le traitement auquel les données sont destinées ;
3 - Du caractère obligatoire ou facultatif des réponses ;
4 - Des conséquences éventuelles, à son égard, d’un défaut de réponse ;
5 - Des destinataires ou catégories de destinataires des données ;
6 - Des droits qu’elle tient des dispositions de la section 2 du présent chapitre ;
7 - Le cas échéant, des transferts de données à caractère personnel envisagés à destination d’un État non membre de la Communauté européenne.

Art. 32-III loi I&L

Collecte indirecte : Lorsque les données à caractère personnel n’ont pas été recueillies auprès de la personne concernée, le responsable du traitement ou son représentant doit fournir à cette dernière les informations énumérées ci-dessus, dès l’enregistrement des données ou, si une communication des données à des tiers est envisagée, au plus tard lors de la première communication des données.

• La collecte directe

Collecte non cessible pour une finalité propre. L’internaute a coché pour recevoir les offres commerciale de l’entreprise qui collecte.

• Collecte indirecte

L’entreprise utilise des adresses qu’elle n’a pas collectées directement. Celles-ci sont qualifiées d’optin partenaires, l’internaute a coché pour recevoir des offres partenaires.

• BtoC

Collecte directe ou indirecte (sous réserve d’optin) ou services analogues (réservés aux clients)
Avec toujours transparence de l’émetteur, un objet sans ambiguïté, un lien de désinscription, une visibilité des informations sur le responsable de traitement.

• BtoB

Collecte libre (règle de l’optout c'est-à-dire du lien de désinscription permanent)
Une communication exclusivement destinée à l’Entreprise (par opposition à un consommateur)
Transparence de l’émetteur, un objet sans ambiguïté, un lien de désinscription, une visibilité des informations sur le responsable de traitement.