[Tribune] Du nouveau dans la gestion des données personnelles

Les "mentions Cnil", liées à la déclaration du traitement des données des consommateurs, évoluent. Le point sur les nouvelles obligations avec Fabien Honorat, avocat au sein du cabinet Pechenard&Associés.

La collecte et le traitement des données des consommateurs (clients ou prospects) doit respecter le cadre imposé par la loi Informatique et libertés du 6 janvier 1978. Ce cadre implique, pour les professionnels du marketing, une obligation de déclaration du fichier auprès de la Cnil et d'information des personnes ciblées au moment de la collecte des données. La fameuse mention "Cnil". Cette mention évolue suite à la promulgation de la loi sur la République numérique, le 7 octobre dernier.

Par ce texte, le gouvernement a voulu anticiper la révolution qui s'annonce dans ce domaine avec l'entrée en vigueur le 25 mai 2018 du règlement communautaire relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement n°2016/679, du 27 avril 2016).

Traditionnellement, les mentions Cnil devaient donner aux consommateurs un certain nombre d'informations, à savoir : l'identité du responsable du traitement (c'est-à-dire le nom et les coordonnées de l'entité qui détermine la finalité du traitement et ses moyens et qui engage sa responsabilité civile et pénale au regard du respect de la loi Informatique et libertés), l'objectif de l'utilisation des données (en règle générale, utilisation à des fins de prospection et de sollicitation commerciale), les destinataires des données (et, le cas échéant, le transfert des données en dehors de l'Union européenne), le caractère obligatoire ou non de certaines informations (et les conséquences éventuelles d'un défaut de réponse) et enfin, les droits conférés par la loi Informatique et libertés aux consommateurs (c'est-à-dire le droit d'opposition, de modification et de retrait des données personnelles ainsi collectées).

Spécifier la durée de conservation des données personnelles

Il convient également de prévoir le consentement exprès des consommateurs à utiliser leurs données (numéro de téléphone, adresse e-mail) pour de la prospection commerciale et ce, via une case à cocher (qui ne peut pas être la même que celle de l'acceptation des conditions générales et qui ne peut pas être liée à la participation à un jeu ou une opération commerciale).

La loi nouvelle vient compléter ce cadre sur deux points:

- Le nouveau texte impose également de faire figurer dans ces "mentions Cnil" la durée de conservation des données traitées. Cette durée est fixée, en principe, par le responsable du traitement et doit être proportionnée à la finalité de ce traitement. Elle est communiquée à la Cnil dans les déclarations des fichiers concernés et elle devra donc être intégrée dans les "mentions Cnil". Dans le domaine du marketing, les fichiers de clients ou de prospects font généralement l'objet d'une déclaration de conformité à la norme simplifiée n°NS-048 édité par la Cnil. Cette dernière prévoit une durée de conservation maximale de trois ans à compter de la collecte des données ou du dernier contact pour les prospects et à compter de la fin de la relation commerciale pour les clients.

- Par ailleurs les "mentions Cnil" ne pourront plus renvoyer à une adresse postale pour l'exercice des droits des consommateurs lorsque l'entreprise aura collecté ces données par le biais d'un moyen informatique. Dans ce cas, le responsable du traitement devra permettre aux personnes d'exercer leur droit d'accès, de rectification ou d'opposition par voie électronique uniquement (adresse e-mail, formulaire ...).

En tout état de cause, il conviendra de mettre à jour ses mentions Informatique et libertés.

Pour aller plus loin:

[Big Data 2016] La protection des données freine-t-elle l'essor des marques?