Attention :
Depuis l'entrée en vigueur du Règlement Général sur la Protection des Données (RGPD) le 25 mai 2018, les déclarations de fichiers de clients auprès de la CNIL ne sont plus nécessaires, néanmoins la responsabilité pesant sur le responsable de traitement est accrue.
La révolution numérique qui a lieu depuis plus de 20 ans a considérablement bouleversé les méthodes du marketing classique (stratégies commerciales et publicitaires). Les sites marchands numériques recueillent sur les internautes, consommateurs potentiels, diverses informations dans le but de cibler leur demande pour ainsi mieux répondre à leurs besoins. Ces informations collectées portent sur les données personnelles des consommateurs intéressés par le bien ou service offert sur le site Web.
Les fichiers ainsi constitués par les marchands du Web représentent une valeur économique certaine pour l’entreprise puisqu’ils comportent des indices précieux sur les attentes du client. Cet ensemble d’informations sur le client permet aussi de développer le marketing one to one, c’est-à -dire une stratégie de ciblage du client qui épouse parfaitement le profil de l’internaute. Il s’agit d’une nouvelle forme de marketing qui permet de réaliser des économies sans précédent en matière de coût de publicité, d’enquêtes de marché, etc. De fait, les sites marchands ont pris la mesure de cette opportunité et procèdent entre eux à la cession des fichiers en cause.
Cela dit se pose la question de savoir si une telle cession est admissible au regard de la loi. En d’autres termes, est-ce qu’une entreprise ou personne morale, autre que celle qui a procédé à la collecte initiale des données personnelles de l’internaute, peut aussi opérer le traitement de ces mêmes données à caractère personnel ?
Pour répondre à ces questions il faut préalablement rappeler le cadre juridique relatif au traitement automatisé des données à caractère personnel dont la CNIL au nom de la protection de la vie privée est le garant.
La protection par la CNIL des données à caractère personnel des personnes physiques
L'origine de la CNIL et son Ă©volution
La Commission Nationale de l’Informatique et des Libertés (CNIL) a été créée par la loi du 6 janvier 1978 dite loi « Informatique et libertés » afin de contrôler le traitement automatisé ou non des données à caractère personnel des personnes physiques. Cette loi de 1978, qui est toujours en vigueur, a été modifiée à plusieurs reprises, notamment par la loi du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel.
Dans son article 1er, la loi de 1978 dévoile l’objectif principal de la protection :
L’informatique doit être au service de chaque citoyen, elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à leur vie privée, ni aux libertés individuelles ou publiques.
Ainsi, l’article 6 de la loi de 1978 (et article 8 de la loi du 6 août 2004) interdit explicitement la collecte d’informations de données sensibles (origines raciales ou ethniques, opinions religieuses ou philosophiques ou encore l’orientation sexuelle). Seules sont donc autorisées selon l’article 2 de la loi du 6 août 2004 les données collectées et traitées de manière loyale et licite et pour une finalité déterminée, explicite et légitime.
La loi de 2004 exige aussi que le responsable du traitement des données personnelles ait recueilli le consentement de l’intéressé et que celui-ci soit dûment informé sur la finalité du traitement, sur son droit d’accès, de contestation, de modification et d’opposition au traitement des données collectées.
Quel est le rĂ´le de la CNIL ?
La CNIL est investie par la loi d’une mission de contrôle : elle veille à ce que tous les traitements automatisés de données à caractère personnel aient fait l’objet d’une déclaration auprès d’elle. Les responsables du traitement de données à caractère personnel sont donc soumis à une autorisation préalable de la CNIL. De cette manière, la CNIL peut en présence de traitements qui risquent de porter atteinte à la vie privé mettre en œuvre la procédure d’autorisation spéciale.
La CNIL est une autorité administrative indépendante et peut par conséquent librement infliger des amendes et des sanctions au responsable du traitement des données en cas d’infraction à la loi du 6 janvier 1978. Elle dispose même du pouvoir de se faire communiquer par l’hébergeur du site l’identité de la personne responsable du traitement et avertir ainsi le Procureur de la République.
Les sanctions sont par ailleurs loin d'être négligeables, il faut citer pour exemple l’article 226-18 du Code pénal qui prévoit en cas d’infraction à cette législation une peine d’emprisonnement de 5 ans et 300 000 euros d’amende. A titre d’illustration, voir un arrêt de la Chambre criminelle de la Cour de cassation du 3 novembre 1987 (réf. 87-83.429 publié au Juriclasseur 1988 doctrine n°3323) qui a retenu l’existence de moyens frauduleux, déloyaux et illicites dans la collecte effectuée auprès de tiers à l’insu des intéressés et sans déclaration de traitement.
Les modalités de revente des fichiers clients
La cession de fichiers clients avant l'entrée en vigueur du RGPD
Avant d’envisager la cession de fichiers clients, il faut immédiatement observer que l’article 38 de la loi pour la confiance dans l’économie numérique du 21 juin 2004, permet à un particulier, personne physique, de s’opposer à ce que les données collectées ne soient utilisées à des fins de prospection commerciale par le responsable du traitement. Dans la pratique cela se concrétise par la case à cocher dans le formulaire d’engagement. A ce stade, les internautes doivent rester vigilants car il arrive que pour exprimer son opposition au traitement, il faille cocher la case (alors qu’habituellement il suffit de ne pas la cocher ).
L’article 2 de la loi 1978 définit le traitement automatisé de données à caractère personnel :
Toute opération ou ensemble d’opérations portant sur de telles données quelque soit le procédé utilisé notamment la communication par transmission, diffusion, rapprochement ou toute autre forme de mise à disposition.
La cession d’un fichier clients par une entreprise à une autre entreprise constitue donc une mise à disposition en vertu de cet article.
L’article 14 du décret d’application du 25 mars 2007 (de la loi du 6 août 2004), impose au professionnel d’exiger en priorité le consentement de l’internaute pour la cession de ses données personnelles à un autre commerçant. Afin que cette disposition soit effective, il est prévu que ce consentement doit avoir été requis avant que le commerçant ne demande à l’internaute de cocher l’acceptation des conditions générales de ventes. Or, dans la pratique, nous remarquons que l’adhésion aux conditions générales de vente est systématiquement imposée à l’internaute pour lui permettre de passer aux étapes suivantes du processus d’engagement.
C’est lors de la 1ère démarche publicitaire du professionnel que l’internaute devra être informé de la finalité de la sollicitation, c’est-à -dire du sort qui sera réservé aux informations transmisses et notamment si elles feront ou non l’objet d’une transmission à d’autres professionnels à des fins commerciales. En pratique sur le formulaire à remplir, une case à cocher sera prévue à cet effet .
Le consentement donné par l’internaute au transfert des données le concernant est un consentement spécifique. Cela signifie qu’il ne vaut que pour la demande actuelle et pour une finalité déterminée. A chaque nouvelle demande de la part du professionnel le consentement devra être réitéré.
La cession de fichiers clients depuis l'entrée en vigueur du RGPD
Depuis l'entrée en vigueur du RGPD, le 25 mai 2018, les déclarations de fichiers auprès de la CNIL ne sont plus nécessaires. En contrepartie, la responsabilité du responsable de traitement s'en trouve accrue et il convient donc de se montrer vigilant.
Pour autant, les règles relatives à l'échange ou la cession de fichiers client n'ont pas ou peu variées, le consentement demeure la règle d'or. En effet, pour être licite, la cession d'un fichier clients suppose que le responsable de traitement ait informé ses clients de la cession de leurs données et de l'identité du cessionnaire. Ces derniers doivent également consentir à cette cession.
