Modalités et conditions de revente d'un fichier de clients via internet

Données personnelles 335 Vues 0 commentaire

La revente (cession) de fichiers clients est soumise à une législation stricte, son non-respect est sanctionné par une peine pouvant aller jusqu'à 5 ans de prison et 300 000 euros d'amende. Découvrez quelles sont les modalités et conditions de revente d'un fichier de clients via internet.

Attention :
Depuis l'entrée en vigueur du Règlement Général sur la Protection des Données[1] (RGPD) le 25 mai 2018, les déclarations de fichiers de clients auprès de la CNIL ne sont plus nécessaires, néanmoins la responsabilité pesant sur le responsable de traitement est accrue.

La révolution numérique qui a lieu depuis plus de 20 ans a considérablement bouleversé les méthodes du marketing classique (stratégies commerciales et publicitaires). Les sites marchands numériques recueillent sur les internautes, consommateurs potentiels, diverses informations dans le but de cibler leur demande pour ainsi mieux répondre à leurs besoins. Ces informations collectées portent sur les données personnelles des consommateurs intéressés par le bien ou service offert sur le site Web.

Les fichiers ainsi constitués par les marchands du Web représentent une valeur économique certaine pour l’entreprise puisqu’ils comportent des indices précieux sur les attentes du client. Cet ensemble d’informations sur le client permet aussi de développer le marketing one to one, c’est-à-dire une stratégie de ciblage du client qui épouse parfaitement le profil de l’internaute. Il s’agit d’une nouvelle forme de marketing qui permet de réaliser des économies sans précédent en matière de coût de publicité, d’enquêtes de marché, etc. De fait, les sites marchands ont pris la mesure de cette opportunité et procèdent entre eux à la cession des fichiers en cause.

Cela dit se pose la question de savoir si une telle cession est admissible au regard de la loi. En d’autres termes, est-ce qu’une entreprise ou personne morale, autre que celle qui a procédé à la collecte initiale des données personnelles de l’internaute, peut aussi opérer le traitement de ces mêmes données à caractère personnel ?

Pour répondre à ces questions il faut préalablement rappeler le cadre juridique relatif au traitement automatisé des données à caractère personnel dont la CNIL au nom de la protection de la vie privée est le garant.

La protection par la CNIL des données à caractère personnel des personnes physiques

L'origine de la CNIL et son Ă©volution

La Commission Nationale de l’Informatique et des Libertés (CNIL) a été créée par la loi du 6 janvier 1978 dite loi « Informatique et libertés »[2] afin de contrôler le traitement automatisé ou non des données à caractère personnel des personnes physiques. Cette loi de 1978, qui est toujours en vigueur, a été modifiée à plusieurs reprises, notamment par la loi du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel[3].

Dans son article 1er, la loi de 1978 dévoile l’objectif principal de la protection :

L’informatique doit être au service de chaque citoyen, elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à leur vie privée, ni aux libertés individuelles ou publiques.

Ainsi, l’article 6 de la loi de 1978 (et article 8 de la loi du 6 août 2004) interdit explicitement la collecte d’informations de données sensibles (origines raciales ou ethniques, opinions religieuses ou philosophiques ou encore l’orientation sexuelle). Seules sont donc autorisées selon l’article 2 de la loi du 6 août 2004 les données collectées et traitées de manière loyale et licite et pour une finalité déterminée, explicite et légitime.

La loi de 2004 exige aussi que le responsable du traitement des données personnelles ait recueilli le consentement de l’intéressé et que celui-ci soit dûment informé sur la finalité du traitement, sur son droit d’accès, de contestation, de modification et d’opposition au traitement des données collectées.

Quel est le rĂ´le de la CNIL ?

La CNIL est investie par la loi d’une mission de contrôle : elle veille à ce que tous les traitements automatisés de données à caractère personnel aient fait l’objet d’une déclaration auprès d’elle. Les responsables du traitement de données à caractère personnel sont donc soumis à une autorisation préalable de la CNIL. De cette manière, la CNIL peut en présence de traitements qui risquent de porter atteinte à la vie privé mettre en œuvre la procédure d’autorisation spéciale.

La CNIL est une autorité administrative indépendante et peut par conséquent librement infliger des amendes et des sanctions au responsable du traitement des données en cas d’infraction à la loi du 6 janvier 1978. Elle dispose même du pouvoir de se faire communiquer par l’hébergeur du site l’identité de la personne responsable du traitement et avertir ainsi le Procureur de la République.

Les sanctions sont par ailleurs loin d'être négligeables, il faut citer pour exemple l’article 226-18 du Code pénal[4] qui prévoit en cas d’infraction à cette législation une peine d’emprisonnement de 5 ans et 300 000 euros d’amende. A titre d’illustration, voir un arrêt de la Chambre criminelle de la Cour de cassation du 3 novembre 1987 (réf. 87-83.429 publié au Juriclasseur 1988 doctrine n°3323) qui a retenu l’existence de moyens frauduleux, déloyaux et illicites dans la collecte effectuée auprès de tiers à l’insu des intéressés et sans déclaration de traitement.

Les modalités de revente des fichiers clients

La cession de fichiers clients avant l'entrée en vigueur du RGPD

Avant d’envisager la cession de fichiers clients, il faut immédiatement observer que l’article 38 de la loi pour la confiance dans l’économie numérique du 21 juin 2004[5], permet à un particulier, personne physique, de s’opposer à ce que les données collectées ne soient utilisées à des fins de prospection commerciale par le responsable du traitement. Dans la pratique cela se concrétise par la case à cocher dans le formulaire d’engagement. A ce stade, les internautes doivent rester vigilants car il arrive que pour exprimer son opposition au traitement, il faille cocher la case (alors qu’habituellement il suffit de ne pas la cocher ).

L’article 2 de la loi 1978 définit le traitement automatisé de données à caractère personnel :

Toute opération ou ensemble d’opérations portant sur de telles données quelque soit le procédé utilisé notamment la communication par transmission, diffusion, rapprochement ou toute autre forme de mise à disposition.

La cession d’un fichier clients par une entreprise à une autre entreprise constitue donc une mise à disposition en vertu de cet article.

L’article 14 du décret d’application du 25 mars 2007 (de la loi du 6 août 2004), impose au professionnel d’exiger en priorité le consentement de l’internaute pour la cession de ses données personnelles à un autre commerçant. Afin que cette disposition soit effective, il est prévu que ce consentement doit avoir été requis avant que le commerçant ne demande à l’internaute de cocher l’acceptation des conditions générales de ventes. Or, dans la pratique, nous remarquons que l’adhésion aux conditions générales de vente est systématiquement imposée à l’internaute pour lui permettre de passer aux étapes suivantes du processus d’engagement.

C’est lors de la 1ère démarche publicitaire du professionnel que l’internaute devra être informé de la finalité de la sollicitation, c’est-à-dire du sort qui sera réservé aux informations transmisses et notamment si elles feront ou non l’objet d’une transmission à d’autres professionnels à des fins commerciales. En pratique sur le formulaire à remplir, une case à cocher sera prévue à cet effet .

Le consentement donné par l’internaute au transfert des données le concernant est un consentement spécifique. Cela signifie qu’il ne vaut que pour la demande actuelle et pour une finalité déterminée. A chaque nouvelle demande de la part du professionnel le consentement devra être réitéré.

La cession de fichiers clients depuis l'entrée en vigueur du RGPD

Depuis l'entrée en vigueur du RGPD, le 25 mai 2018, les déclarations de fichiers auprès de la CNIL ne sont plus nécessaires. En contrepartie, la responsabilité du responsable de traitement s'en trouve accrue et il convient donc de se montrer vigilant.

Pour autant, les règles relatives à l'échange ou la cession de fichiers client n'ont pas ou peu variées, le consentement demeure la règle d'or. En effet, pour être licite, la cession d'un fichier clients suppose que le responsable de traitement ait informé ses clients de la cession de leurs données et de l'identité du cessionnaire. Ces derniers doivent également consentir à cette cession.

 

[1] Règlement Général sur la Protection des Données (RGPD)

[2] Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés

[3] Loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel

[4] Article 226-18 du Code pénal

[5] Loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique

Demander un devis

Prestation demandée :

Pays ou organisation :

Type de contrat :

Votre besoin :

Votre besoin :

Votre besoin :

Type de règlement :

Votre besoin :

Statut :

* : champs obligatoires

Commentaires

Aucun commentaire

Donnez votre avis

* : champs obligatoires

Lectures en lien

poteau sur lequel il est Ă©crit "big data is watching you"

Le RGPD, un outil de protection des données personnelles

Donnees personnelles 100 Vues 0 commentaire

Depuis son entrée le vigueur le 25 mai 2018, le règlement général sur la protection des données, autrement appelé RGPD, a considérablement changé la façon dont les administrateurs de sites internet traitent les données collectées auprès de leurs clients.

application google sur smartphone

Google Ads (AdWords) et protection des données personnelles

Donnees personnelles 98 Vues 0 commentaire

La publicité sur internet permet de présenter des produits à des consommateurs intéressés, elle est en cela plus efficace que la publicité traditionnelle. Toutefois, Google Ads se montre vigilant et les annonceurs doivent donc veiller au respect des règles de confidentialité.

un batiment Ă  l'architecture moderne

Hébergement et stockage de données médicales sensibles

Donnees personnelles 301 Vues 0 commentaire

Que désigne l'expression "données sensibles" ? Quelles sont les conditions de stockage et d’hébergement des données médicales, données dites sensibles ? Quels sont les hébergeurs agréés ?

un graphique sur un Ă©cran d'ordinateur

Statut d'hébergeur/éditeur : conservation des données personnelles

Donnees personnelles 119 Vues 0 commentaire

Quelles sont les obligations d'un éditeur, ou hébergeur, d'un site internet concernant la conservation des données personnelles de leurs utilisateurs et visiteurs ? Apport du décret du décret n° 2011-219 du 25 février 2011.

un Ă©cran d'ordinateur montrant le site Facebook

RGPD : le registre des activités de traitement de données personnelles

Donnees personnelles 238 Vues 0 commentaire

Le Règlement Général sur la Protection des Données, dit RGPD, a été voté en 2016 et est entré en vigueur le 25 mai 2018. De ce règlement découle un certain nombre d'obligations qui pèsent sur le responsable de traitement, notamment la tenue d'un registre des activités de traitement de données à caractère personnel.

un graphique sur un Ă©cran d'ordinateur

Le délégué à la protection des données (DPO)

Donnees personnelles 170 Vues 0 commentaire

Le délégué à la protection des données, "Data Protection Officer" (DPO) en anglais, a été instauré par le RGPD, entré en vigueur le 25 mai 2018. Le DPO jouit d'une grande indépendance dans l'exercice de ses fonctions et doit veiller au bon respect du RGPD dans l'entreprise.

une personne tapant au clavier de son pc portable

L'identification d'une personne à partir d’une adresse IP

Donnees personnelles 1230 Vues 0 commentaire

L’identification d’une personne sur un site internet à partir de son adresse IP fait partie des problématiques relatives aux droits des internautes, que la loi puis les tribunaux encadrent et contrôlent. Plus précisément, est concernée l’épineuse question de la collecte et du traitement des données à caractère personnel.

une personne consultant des statistiques

Comment réussir sa mise en conformité RGPD ?

Donnees personnelles 209 Vues 0 commentaire

Qu'est-ce que le RGPD ? Comment se mettre en conformité ? Quelles nouvelles obligations découlent du RGPD pour les sites internet ? Le RGPD, entré en vigueur le 25 mai 2018, consacre de nouveaux droits protecteurs au profit des internautes et impose de nouvelles obligations aux responsables de traitement.

des rangées de caméras accrochées à un mur

RGPD : l'indispensable politique de confidentialité

Donnees personnelles 349 Vues 0 commentaire

Depuis l'entrée en vigueur du RGPD, le 25 mai 2018, les déclarations auprès de la CNIL n'existent plus. La responsabilité du responsable de traitement s'en trouvant accrue, il est indispensable pour les organismes de se munir d'une politique de confidentialité.