DÉCRYPTAGE – Suite à une recommandation de la CNIL, les entreprises doivent entrer en contact avec les abonnés de leurs newsletters marketing d’ici au 14 juillet.
Comment beaucoup d’autres internautes ces derniers jours, vous avez peut-être déjà reçu une quantité de mails ayant pour objet «information relative au suivi de nos communications» ou «Votre choix sur la mesure d’audience de nos envois» qui sont expédiés par des entreprises diverses et variées, de H&M à UGC. Pour comprendre l’origine de cette avalanche de messages, il faut se tourner vers la Commission nationale de l’informatique et des libertés (CNIL), qui a publié le 14 avril une nouvelle recommandation sur le traitement des données personnelles en ligne.
S’inspirant de règles déjà en vigueur pour les «cookies» (article 82 de la loi Informatique et Libertés), la CNIL a ainsi estimé qu’il était désormais nécessaire d’obtenir le consentement libre et éclairé de l’internaute avant de l’exposer à un «pixel de suivi» à usage marketing. Les entreprises qui ont recours à ce type de fonctionnalité ont eu trois mois, soit jusqu’à ce mardi 14 juillet, pour se mettre en conformité.
À lire aussi
Plus de contrôles, amendes plus lourdes… La Cnil s’arme pour enrayer l’explosion des fuites de données
Des «pixels de suivi» méconnus
Un «pixel de suivi» est une toute petite image, souvent de la taille d’un seul pixel, intégré dans le corps du mail. À l’ouverture de ce dernier, l’expéditeur peut alors savoir à quelle date et à quelle heure son destinataire a consulté le message, avec quel type d’appareil, et la localisation de ce dernier. Un outil marketing très commode pour les entreprises qui cherchent à ajuster leur contenu pour mieux cibler un utilisateur, ou simplement vérifier que leurs envois marketing sont bien ouverts.
Le traitement de toutes ces données personnelles est soumis à deux réglementations européennes, le RGPD et ePrivacy, dont la bonne application en France échoit à la CNIL. «Jusqu’à présent, il n’existait pas de position claire de la CNIL sur les pixels de suivi. En pratique, les expéditeurs d’email disposaient d’une grande marge de manœuvre dans leur utilisation des données collectées», explique Florence Chafiol, avocate spécialisée en protection des données et cybersécurité et associée du cabinet August Debouzy , qui ajoute toutefois que «la loi n’a pas changé, elle existait déjà. C’est seulement la manière dont la CNIL interprète son application et la recommandation qui vient l’expliquer» qui ont été précisées.
Des exceptions pour le suivi de colis
La recommandation de la CNIL comprend deux exceptions. L’usage du pixel de suivi sans consentement de l’internaute est autorisé pour des raisons de sécurité, comme la double authentification, et pour mesurer la «délivrabilité», soit la possibilité pour une entreprise d’identifier les utilisateurs qui n’ouvrent plus leurs messages afin d’arrêter de les solliciter. Sont ainsi exclus de la nouvelle recommandation de la CNIL les emails transactionnels, comme une confirmation de commande, le suivi d’un colis, un avis d’expédition, ou une facture, tant que le pixel ne sert qu’à vérifier la bonne réception du message.
Mais le consentement de l’internaute est désormais exigé pour le traitement de ces données à des usages marketing, comme des publicités taillées sur mesure à partir des informations récoltées. À compter du 14 juillet, un accord doit être préalable à l’utilisation de pixels de suivi pour tous les nouveaux utilisateurs ajoutés à une base de données.
Les entreprises en retard
Pour les adresses collectées avant avril dernier, la CNIL avait simplement demandé aux entreprises d’informer sous un délai de trois mois les destinataires de leurs newsletters de la présence du pixel de suivi et de leur offrir une possibilité d’opposition, par exemple via un lien de désinscription. Au-delà de ce délai, fixé au 14 juillet, la CNIL a fait savoir qu’elle entamerait des contrôles.
Mais les entreprises semblent avoir tardé à appliquer cette demande, vu que les internautes ont commencé à recevoir ces mails d’information à parfois moins de 24 heures de la date butoir… Il est donc peu probable que toutes les structures concernées soient en conformité d’ici le 14 juillet.
Et toutes les entreprises n’ont pas communiqué avec la même transparence. Si certaines mettent en évidence dans le corps du mail un bouton pour s’opposer au pixel de suivi, d’autres indiquent plus ou moins vaguement une démarche à suivre qui comporte parfois beaucoup d’étapes, et où l’utilisateur finit par «abandonner parce que cela devient trop compliqué», souligne Florence Chafiol. Selon la CNIL, «le consentement qu’on vous demande doit être aussi simple à donner qu’à refuser», rappelle-t-elle. «À partir du moment où le refus est beaucoup plus compliqué à exprimer que l’acceptation, l’utilisateur n’est pas vraiment libre de son choix. Autrement, l’autorité va considérer que ce n’est pas conforme à sa recommandation», poursuit l’avocate.
Des sanctions progressives
Florence Chafiol ajoute toutefois que certains de ses clients n’ont pas encore pu mettre en place les nouvelles exigences de la CNIL, car les solutions techniques ne sont pas encore au point. Ainsi, les services de démarchage marketing sont souvent externalisés et gérés par des prestataires d’emailing, qui eux-mêmes ne se sont pas adaptés à la nouvelle recommandation. «Comme la recommandation est arrivée des délais de mise en conformité relativement courts, et les entreprises et leurs prestataires se sont réveillés tard, beaucoup de nos clients rencontrent aujourd’hui des difficultés techniques pour adapter leurs outils», explique l’experte en cybersécurité.
En attendant, la CNIL peut appliquer des sanctions pour inciter les entreprises à se mettre en conformité, mais probablement «au départ de manière un peu plus souple, avec des montants qui augmenteront progressivement, lorsque la CNIL considérera que les entreprises ne peuvent plus ignorer ces recommandations. Alors, l’autorité sanctionnera beaucoup plus lourdement», estime Florence Chafiol.
