Vérificateur de consentement RGPD : pouvez-vous envoyer des e-mails marketing à ce contact ?

Pas toujours selon le RGPD lui-même, mais souvent selon les règles d’envoi qui l’accompagnent. Le RGPD permet de traiter une adresse sur la base du consentement ou de l’intérêt légitime ; le considérant 47 indique que la prospection « peut » constituer un intérêt légitime. La possibilité même d’envoyer l’e-mail relève de la PECR au Royaume-Uni et, dans l’UE, de la loi de chaque pays qui transpose l’article 13 de la directive ePrivacy ; pour les particuliers, ces règles exigent un consentement ou le soft opt-in.

L’ordre compte. Les lignes directrices du CEPD sur l’intérêt légitime indiquent que, lorsque le droit national n’autorise pas le message, il n’existe pas d’intérêt légitime sur lequel s’appuyer. Le vérificateur répond donc d’abord à la question de l’envoi, puis seulement à celle de la base légale. Le raisonnement complet, citations à l’appui, figure dans RGPD et cold email B2B (en anglais). Ceci n’est pas un conseil juridique : pour une liste importante ou atypique, consultez un conseil pour les pays où vous envoyez.

Oui, si c’est un abonné personne morale (corporate subscriber). L’ICO indique que vous pouvez envoyer des e-mails marketing non sollicités aux sociétés de capitaux (limited companies), aux LLP et aux sociétés de personnes écossaises sans consentement ni soft opt-in, à condition de vous identifier et d’offrir un moyen de refus. Les entrepreneurs individuels (sole traders) et les sociétés de personnes ordinaires sont des abonnés individuels et bénéficient de la même protection que les consommateurs.

Une adresse professionnelle nominative comme [email protected] reste une donnée personnelle : le RGPD britannique (UK GDPR) s’applique donc même quand la PECR ne demande pas de consentement. Rédigez l’évaluation de l’intérêt légitime et indiquez à Jane d’où vient son adresse au plus tard dans votre premier e-mail (article 14).

L’exception qui permet d’écrire à des clients existants sans nouveau consentement : vous avez obtenu l’adresse lors d’une vente ou de la négociation d’une vente, vous promouvez vos propres produits ou services similaires, et la personne a reçu un moyen simple de refuser à ce moment-là et dans chaque message depuis. Qu’une condition manque, et l’exception ne s’applique pas.

Elle ne s’étend pas aux listes achetées. Un consentement recueilli par un tiers ne vaut pour vous que s’il nommait votre organisation ; les lignes directrices de l’ICO sur les listes marketing demandent aux acheteurs de vérifier comment, quand et par qui le consentement a été donné.

Une personne nommée dans une société de capitaux : selon la PECR, vous pouvez envoyer sans consentement ; selon le RGPD britannique, l’intérêt légitime avec une évaluation écrite. Une adresse générique (info@) dans une entreprise : vous pouvez envoyer, avec en général peu ou pas de données personnelles. Un entrepreneur individuel ou une société de personnes ordinaire : consentement ou soft opt-in ; la question RGPD ne se pose que si la PECR autorise l’envoi. Un consommateur : consentement ou soft opt-in, puis, côté RGPD, consentement ou intérêt légitime sur la base d’un soft opt-in. Ceci reprend les lignes directrices PECR de l’ICO ; les règles de l’UE pour les destinataires professionnels varient selon les pays, d’où la mention « check the country » du vérificateur.