La transmission, payant ou non, des données personnelles des clients ou des clients potentiels à des partenaires doivent respecter certaines consignes. En règle générale, une organisation souhaite envoyer un fichier d’annuaire à ses partenaires afin qu’ils puissent l’utiliser pour leurs activités commerciales de génération de prospects. En particulier, ce transfert de dossier se fait dans le cadre d’accords commerciaux ou pour examen.
Les règles applicables dépendent en partie du support utilisé par les partenaires auxquels les données seront transmises pour résoudre la recherche commerciale.
À noter : En plus des règles décrites ci-dessous, chaque organisation doit s’assurer qu’elle respecte toutes les obligations réglementaires pour les activités de traitement dont elle est responsable. (faciliter l’exercice des droits, minimiser les données, limiter la durée de conservation, assurer la sécurité, apporter la preuve d’un consentement valide, etc.)
Réutiliser les données à des fins de prospection commerciale par courrier ou par appel téléphonique (hors appels automatisés)
Lorsqu’un organisme souhaite transmettre des données personnelles afin que ses partenaires puissent effectuer des recherches commerciales par courrier ou par téléphone (hors appels automatisés), la transmission des données peut être fondée sur l’intérêt légitime de l’organisme qui les transmet. Dans un tel cas, les personnes doivent être informées et avoir la possibilité de s’opposer à la transmission de leurs données simplement et gratuitement.
Informer les personnes
Avant cela, l’organisme de transmission des données doit informer tout le monde. Par exemple : sur le support de collecte des données (formulaire en ligne ou papier). Ces informations doivent notamment comporter des éléments sur l’objectif (finalité) de cette transmission ainsi que sur les types de destinataires des données (par exemple :domaines connexes, type d’offre, nombre approximatif de partenaires, etc.) pour permettre aux parties prenantes de faire des choix éclairés. Dans un souci de transparence, la CNIL recommande de mettre à la disposition de chacun une liste complète et à jour des partenaires, comprenant leur identité et un lien vers la politique de protection des données de chaque partenaire. Cette liste est particulièrement accessible depuis le formulaire de collecte de données.
Permettre aux personnes de s’y opposer
L’organisme de transmission des données doit permettre aux personnes concernées de s’opposer simplement et librement à la transmission de leurs données lors de la collecte et à tout moment.
Par exemple, le droit d’opposition peut être spécifié avec une case à cocher avec le message suivant :
- ☑️ Je m’oppose à ce que mes coordonnées postales et/ou mon numéro de téléphone soient transmis aux partenaires [lien vers la liste des partenaires] de la société X à des fins de prospection commerciale par courrier postal et/ou par téléphone.
Réutilisé des données à des fins de prospection commerciale par voie électronique (courrier électronique, SMS, etc.)
Lorsqu’un organisme souhaite transmettre des données personnelles à ses partenaires à des fins de prospection électronique nécessitant le consentement, il doit obtenir lui-même le consentement des personnes pour cette transmission.
Les informations communiquées aux personnes ayant préalablement consenti, préalablement à la transmission des données, peuvent varier en fonction de ce qui est prévu contractuellement entre l’organisme de collecte des données et ses partenaires. Deux hypothèses peuvent être distinguées.
- Cas 1 : L’organisme de transmission de données recueille également le consentement de ses partenaires pour les activités de génération de prospects.
- Cas 2 : L’organisme de transmission de données ne reçoit pas de consentement pour les activités d’exploration de ses partenaires
La CNIL recommande aux organismes transmetteurs de données d’obtenir le consentement des activités de génération de leads auprès de leurs partenaires au moment de la collecte des données. Cela permettra à leurs partenaires d’atteindre directement les personnes qui ont accepté de transférer leurs données à ces fins.
Pour que ce consentement soit communiqué, les personnes concernées doivent être clairement informées de l’identité des partenaires recueillant le consentement en leur nom et des finalités pour lesquelles les données seront utilisées. Une liste complète et à jour doit être mise à la disposition de chacun dès réception de son consentement. Les méthodes suivantes peuvent être spécifiquement envisagées :
- Soit la liste est visible directement sur le support de collecte.
- Soit la liste est trop longue et un lien hypertexte peut renvoyer vers la liste ainsi que vers les politiques de confidentialité des partenaires.
En pratique, l’organisme qui transmet les données peut recueillir le consentement à la transmission des données et aux opérations de prospection pour le compte de ses partenaires par le biais d’une seule case à cocher (décochée par défaut).
- ☑️ J’accepte que mon adresse électronique soit transmise aux partenaires [lien vers la liste des partenaires] de la société X à des fins de prospection commerciale par courrier électronique.
Dans toutes les situations
Si cela n’a pas déjà été fait, les partenaires qui reçoivent les données doivent, quand ils communiquent pour la première fois avec la personne prospectée et au plus tard dans un délai d’un mois, l’informer des caractéristiques du traitement de ces données personnelles.
Cette information doit notamment comporter le nom de la société qui a transmis les données au partenaire (société à la source ou à l’origine de la collecte), les droits de la personne, dont notamment son droit de s’opposer ou de retirer son consentement à la prospection commerciale.
