Le RGPD et le Consentement

Respecter la nouvelle réglementation européenne signifie repenser la manière dont vous obtenez le consentement de vos contacts. Les pratiques marketing utilisées sans le consentement clair de chaque individu en vertu de la directive 95/46/CE ne sont plus autorisées selon le RGPD.

Qu’est ce que le “soft opt-in” ou opt-in passif ?

La pratique dite d’opt-in passif consiste à obtenir le consentement d’un internaute de manière détournée. Le cas le plus connu consiste à pré-cocher à la place de l’internaute la déclaration “je souhaite recevoir vos offres par email”.

L’opt-in passif compte-il comme une preuve valable de consentement pour le RGPD ?

Non, une autorisation donnée par le biais d’une pratique d’opt-in passif n’est pas considéré comme un consentement explicite par le RGPD. Ne pas décocher une case n’implique pas nécessairement que l’internaute souhaite activement recevoir des offres. Même si votre taux d’engagement est élevé, si vos utilisateurs n’ont pas explicitement exprimé le souhait de recevoir vos offres, vous ne pouvez pas le faire. Le consentement doit être demandé de manière explicite avec une phrase facile à comprendre expliquant les raisons pour lesquelles les données vont être utilisées.

Qu’est-ce-que la procédure double opt-in ?

Elle consiste à demander une double confirmation à chaque internaute pour recevoir vos campagnes d’email marketing.

Comment écrire une demande de consentement de manière claire et concise ?

La demande de consentement doit être facilement compréhensible pour tout individu. Toute technique de déstabilisation, comme pré-cocher la case d’opt-in ou avoir recours à une formulation trop vague ou prêtant à confusion (emploi de double négation ou incohérences) sera refusée par le RGPD.

Voici un exemple de message clair et concis :

“Vous acceptez que [nom de votre organisation] collecte et utilise les données personnelles que vous venez de renseigner dans ce formulaire dans le but de vous envoyer des offres marketing personnalisées que vous avez acceptées de recevoir, en accord avec notre politique de protection des données [lien de votre politique]. Veuillez cocher les cases ci dessous si vous acceptez de recevoir : [cases appropriées].”

Que faire de ma liste de contacts existante ?

Si vous ne disposez plus de la preuve de consentement de vos contacts, une nouvelle autorisation explicite devra être obtenue avant de pouvoir continuer à leur envoyer des campagnes marketing par email.

Comment stocker le consentement dans le cadre du RGPD ?

Dans le cadre du RGPD, vous devez garder un enregistrement de la façon dont vous avez obtenu le consentement du chaque individu. Cela inclut : les données de l’individu qui a donné le consentement, la date d’obtention des données, et le but précis de ce consentement. L’enregistrement de l’adresse IP, de la localisation et du moment auquel l’individu a donné son consentement sont insuffisantes si il n’y a pas de capture d’écran du formulaire. L’email de confirmation contenant ces informations est fortement recommandé.

Comment dois-je gérer le consentement ?

Dans le cadre du RGPD, Vous devez revoir les données du consentement régulièrement afin de contrôler que la relation, le traitement et les fins n’ont pas changé. De plus, vous pouvez considérer l’utilisation de tableaux de bords de confidentialité pour rendre simple la mise à jour de leur consentement. Toutes demandes de retraits de consentement doivent être traitées aussi tôt que possible et les enregistrement gardés.

Le consentement et les prestataires ?

Si vous fournissez ou transférez des données personnelles à des prestataires, les propriétaires de données doivent être d’accord pour partager les données. Le consentement pour certaines catégories de prestataires ne suffit pas à la nouvelle régulation Européenne puisque désormais vous devez lister les prestataires impliqués. Si vous utilisez des données personnelles appartenant à des prestataire, vous devez d’abord confirmer que le consentement de chaque individu a été collecté correctement.

Qu’est-ce que l’intérêt légitime ?

Selon l’article 6, les organisations du secteur privé peuvent traiter les données de personnes sans leur consentement si elles ont une raison légitime de le faire et ne doivent pas être contrebalancées par un impact injustifié sur les individus. Les droits fondamentaux et la liberté du sujet ne devraient pas être lésés. Le traitement de données à caractère personnel dans le but de prévenir la fraude est considéré comme un intérêt légitime, ce qui n’est pas le cas du marketing direct.

Consulter la check-list du consentement RGPD pour une mise en place efficace et claire.