La vente de fichiers clients n’est pas interdite par le RGPD, mais doit se faire dans le respect de certaines obligations précises. La CNIL rappelle les règles que les vendeurs et les acheteurs doivent respecter lors de la vente de fichiers à des fins commerciales, notamment en ce qui concerne les droits des personnes physiques.
La vente d’un fichier client est une opération courante. Elle permet à l’acquéreur de disposer de coordonnées dans le but de réaliser, le plus souvent, des opérations de prospection commerciale.
Parce qu’un tel fichier contient des données personnelles – notamment l’identité (nom et prénom), l’adresse email, le numéro de téléphone ou encore l’adresse postale des personnes enregistrées dans la base de données – sa transmission ne peut se faire que sous réserve de respecter le règlement général sur la protection des données (RGPD).
Le fichier vendu ne doit contenir que les données de certains clients
Tout d’abord, seuls les fichiers qui ont été constitués dès le départ dans le respect de la réglementation peuvent faire l’objet d’une vente. La vente d’un fichier clients a pour conséquence de permettre à l’acquéreur de démarcher les personnes concernées, ce qui ne sera possible que si le vendeur respecte les règles suivantes.
Le fichier ne doit contenir que les données des clients actifs
Pour rappel, les données des clients utilisées à des fins de prospection commerciale peuvent être conservées pendant la relation commerciale, puis, sauf exception, pour une durée de 3 ans à compter de la fin de cette relation commerciale (par exemple, à compter d’un achat, de la date d’expiration d’une garantie, du terme d’un contrat de prestations de services ou du dernier contact émanant du client), conformément aux recommandations de la CNIL.
Les données des clients qui ne sont conservées qu’à des fins administratives (comptabilité, contentieux, etc.) ne devront pas être transmises.
Seules les données des clients qui ne se sont pas opposés à la transmission de leurs données ou qui y ont consenti peuvent être vendues
Les données des clients qui se sont opposés à la transmission de leurs données à des fins publicitaires par courrier ou par téléphone et qui n’ont pas consenti à la transmission de leurs données à des fins publicitaires par voie électronique doivent être supprimées de leurs fichiers avant d’être transmises à l’acheteur.
Les conditions d’envoi et de réception des données entre vendeurs et acheteurs doivent être conçues pour garantir la sécurité et la confidentialité des données.
L’acquéreur doit assurer le respect des droits des personnes
Effectuer une information claire des personnes
Du côté de l’acquéreur, certaines règles doivent être respectées pour s’assurer que les fichiers clients sont utilisés conformément à la réglementation.
En premier lieu, il doit avertir les riverains dans les meilleurs délais (notamment lors des premiers contacts avec les parties concernées), mais au plus tard dans un délai d’un mois si les riverains n’ont pas encore reçu les informations nécessaires pour le faire. Ces informations doivent inclure la source des données, c’est-à-dire le nom de la société impliquée dans la vente du fichier client.
Confirmer le consentement au sondage électronique
Si les données sont destinées à être utilisées à des fins de sollicitation commerciale par voie électronique, le destinataire doit non seulement en informer la personne, mais doit être en mesure de prouver qu’elle a obtenu un consentement éclairé.
Deux situations peuvent être distinguées :
Cas n° 1 : Le vendeur a déjà recueilli le consentement de ses clients pour les opérations de prospection de l’acquéreur.
Lorsque, au moment de la collecte des données, l’identité de l’acquéreur figurait déjà dans la liste des sociétés auxquelles les données seraient transmises à des fins de prospection par voie électronique (parce que l’acquéreur était un partenaire commercial du vendeur), ce dernier pourra démarcher directement les personnes ayant consenti à la transmission de leurs données à ces fins.
Cas n° 2 : Le vendeur n’a pas recueilli le consentement de ses clients pour les opérations de prospection de l’acquéreur.
Lorsque le vendeur n’a pas recueilli le consentement pour l’acquéreur, ce dernier doit garantir la conformité de ses opérations de prospection par voie électronique, en recueillant lui-même, préalablement, le consentement des personnes concernées.
