Lorsque, en tant qu’entreprise, vous mettez en place une campagne de marketing, vous ne devez pas seulement envoyer le bon message à la bonne personne au bon moment. Vous devrez également le faire de la bonne manière! Après tout, dès lors que des données à caractère personnel sont en jeu, c’est là que le RGPD intervient. Le marketing direct en tant que tel n’est certainement pas interdit dans le pays du RGPD, mais vous devez réfléchir à certaines choses. Dans ce blog, nous expliquons comment adopter une approche optimale du marketing direct. Mais d’abord, qu’est-ce que le « direct marketing »?
Étape 1. Posez-vous la question : « Est-ce que je fais du direct marketing? »
Le direct marketing est interprété de manière très large. Le direct marketing est:
- Toute communication, sollicitée ou non sollicitée;
- Destiné à promouvoir une organisation ou une personne, des services, des produits, payants ou gratuits, ainsi que des marques ou des idées;
- Délivré par une organisation (de tout type) ou une personne;
- Vise des personnes physiques (une ou plusieurs) qui sont identifiées ou identifiables.
Communication
La forme sous laquelle la communication a lieu n’est pas importante. Il n’y a donc aucune différence que la communication se fasse par courrier électronique, par la poste, par téléphone, par SMS, par porte-à-porte, par compte de médias sociaux, etc.
Promouvoir
Cela doit être interprété de manière très large! La communication ne doit pas nécessairement avoir un but commercial ou lucratif directement (par exemple, la publicité pour certains biens ou services). Si vous souhaitez utiliser le message pour enthousiasmer les gens pour un événement public organisé par une entreprise, ou pour leur donner des conseils pour un mode de vie plus sain, vous pourriez vous retrouver dans le domaine du direct marketing.
Délivré par une organisation (de tout type) ou une personne
Cela peut également donner lieu à une large interprétation. La communication peut provenir d’une organisation ou d’une personne du secteur commercial ou de tout autre secteur. Les organisations à but non lucratif ou les partis politiques n’échappent donc pas à ce critère.
Vise des personnes identifiées ou identifiables
En fait, la considération principale est la suivante: « Les données à caractère personnel sont-elles traitées dans le cadre de la communication? »
Qu’est-ce qui n’est PAS du direct marketing?
- Communication dans laquelle l’initiative revient uniquement à la personne concernée:
Un client potentiel demande plus d’informations sur un certain service que vous offrez via le formulaire de votre site web. Vous envoyez ensuite les informations demandées à l’adresse électronique indiquée. Ce n’est pas du direct marketing!
Faites attention! Une fois qu’une personne concernée fait preuve d’initiative, il ne s’agit pas simplement d’une autorisation de lui envoyer des lettres d’information, des publicités ou d’autres formes de direct marketing!
- Un message marketing qui n’implique aucun traitement de données à caractère personnel:
Vous placez une publicité sur le site web de votre entreprise. Cette publicité apparaît à chaque visiteur de votre site web. Ce n’est pas du direct marketing!
Vous faites de la publicité (de quelque manière que ce soit) pour laquelle vous avez eu besoin de données à caractère personnel au préalable afin d’atteindre le public cible de cette publicité. C’est du direct marketing!
- Si des personnes sont contactées pour des études de marché, des questionnaires ou des enquêtes de satisfaction, à condition que le contact ait lieu uniquement à cette fin:
Après avoir terminé un projet important avec un client, vous demandez à ce dernier, par courrier électronique, de répondre à quelques questions sur le déroulement de la coopération. Ce n’est pas du direct marketing!
Entre-temps, vous ajoutez dans le même e-mail un passage recommandant un autre service qui, selon vous, pourrait intéresser le client. Pratique, non? Cependant, il s’agit de direct marketing!
- Si le message est transmis uniquement à des fins privées:
Vous envoyez les invitations au mariage à vos amis et à votre famille. Vous fournissez même une base de données pour suivre les présences. Ce n’est pas du direct marketing!
- Les communications émanant des administrations publiques dans le cadre de leurs obligations légales ou de leurs missions de service public:
Le gouvernement mène des campagnes de vaccination de santé publique dans le cadre de Covid-19. Ce n’est pas du direct marketing!
Et si, en tant qu’entreprise, vous envoyiez par e-mail la même offre de produit ou de service à tous vos clients, sans faire de sélection?
Pour parler de direct marketing, il importe peu en soi que vous fassiez un choix conscient pour déterminer le public cible de votre message.
La question décisive est la suivante: le message implique-t-il le traitement de données à caractère personnel? Pour envoyer des courriers électroniques, vous aurez de toute façon besoin d’adresses électroniques. Par conséquent, vous devez vérifier si ces adresses électroniques sont des données à caractère personnel.
Est-ce qu’ils mènent à une personne individuelle? Il s’agit alors de données à caractère personnel et nous parlons de direct marketing! Ne mènent-ils qu’à une entité juridique (par exemple, info@boekenwinkel.be)? Pas de données à caractère personnel et donc pas de direct marketing!
Et si une organisation à but non lucratif luttant contre la pollution envoyait une lettre d’information à ses membres pour les informer des actions menées à cette fin dans les pays voisins? S’agit-il d’une forme de direct marketing?
Le message de la communication suppose que vous voulez promouvoir quelque chose. Toutefois, il n’est pas nécessaire d’avoir un objectif commercial ou lucratif à l’esprit pour parler de promotion. Le fait que les membres aient été contactés dans cet exemple implique que les coordonnées étaient nécessaires pour faire passer le message. Pour parler de direct marketing, il faudra à nouveau vérifier si ces coordonnées constituent des données à caractère personnel.
Étape 2. Assurer la transparence
Fournir des informations aux personnes concernées
Les personnes concernées doivent savoir que leurs données à caractère personnel sont traitées. Ils doivent également savoir à quelles fins ils sont traités. Vous devez donc être transparent sur le fait que vous traitez leurs données à caractère personnel à des fins de direct marketing.
Vous devrez donc informer clairement les personnes concernées d’une manière ou d’une autre. Plus précisément, avant de vous engager dans le direct marketing. La forme sous laquelle vous le faites n’est pas importante selon le RGPD, mais une déclaration de protection des données est un excellent moyen!
Décrivez les objectifs de direct marketing de la manière la plus précise possible. L’utilisation des mots « Nous traitons vos données à des fins de direct marketing » ne suffira pas pour l’APD. En effet, cela ne permettra pas aux personnes concernées de comprendre suffisamment ce que cela signifie exactement.
Quelques exemples d’objectifs de direct marketing clairement définis:
« informer les clients sur les nouveaux produits ou services »
« faire des offres personnalisées pour les anniversaires des clients »
« tenir les clients informés des différentes promotions »
« promouvoir notre image de marque auprès du grand public »
« Inviter les clients à des événements »
« Acquérir de nouveaux clients, abonnés ou membres »
Registre de traitement transparent
Si le RGPD vous oblige à tenir un registre des traitements, n’oubliez pas de le mettre à jour. Dans les finalités du traitement, vous devrez inclure les finalités de direct marketing de la manière la plus précise possible.
Être transparent dans une déclaration de protection des données ne vous donne pas la permission!
Attention! Ce n’est pas parce que vous êtes transparent dans votre déclaration de protection des données que vous disposez automatiquement d’une base juridique pour le direct marketing. Pas même si vous demandez l’autorisation dans cette déclaration de protection des données (ce qui, soit dit en passant, n’est pas du tout obligatoire).
Étape 3. Vérifiez si vous disposez d’une base juridique
Parce que vous traitez des données à caractère personnel dans le cadre du direct marketing, vous devez toujours, en vertu du RGPD, avoir une base juridique appropriée pour le faire.
Si vous avez utilisé des données à caractère personnel ‘sensibles’ pour votre campagne de marketing, vous devrez vérifier si vous pouvez vous appuyer sur l’une des exceptions légales.
Toutefois, il s’agira généralement de données à caractère personnel ‘ordinaires’. Dans ce cas, vous devez vérifier si vous pouvez invoquer l’un de ces 6 bases de traitement:
- Nécessaire pour remplir une obligation contractuelle?
- Nécessaire pour se conformer à une obligation légale?
- Nécessaire à la protection des intérêts vitaux de la personne concernée?
- Nécessaire pour une mission d’intérêt public?
- Nécessaire pour un intérêt légitime de vous ou de votre organisation?
- Le consentement a-t-il été donné?
En général, vous ne pourrez pas vous appuyer sur les quatre premiers bases pour le direct marketing. De plus, si vous faites votre direct marketing à des fins commerciales, l’intérêt légitime n’offrira pas non plus de solution. En effet, cette base de traitement vous oblige à mettre en balance vos intérêts et les droits et libertés fondamentaux des personnes concernées. Toutefois, l’APD considère que l’objectif commercial est subordonné aux droits et libertés de la personne.
Les organisations peuvent toutefois invoquer l’intérêt légitime de leurs clients existants, avec lesquels elles entretiennent déjà une relation. À ces clients, ils peuvent ainsi envoyer des messages de direct marketing pour promouvoir des produits ou services similaires que le client a achetés dans le passé.
Remarque: lors de l’envoi du message de direct marketing, vous devrez toujours informer les personnes concernées de leur droit d’opposition au cas où elles ne souhaiteraient plus recevoir de direct marketing. Vous pouvez le faire, par exemple, en envoyant systématiquement un formulaire d’objection ou en incluant un lien permettant de se désabonner.
Dans la plupart des cas, le consentement sera donc la meilleure méthode pour agir correctement selon le RGPD. Cela signifie que vous avez obtenu un consentement explicite, informé et libre de la personne concernée pour recevoir des messages de direct marketing.
Une question qui nous est souvent posée: avez-vous le droit de contacter des clients potentiels pour leur proposer vos services en utilisant les données que vous avez collectées auprès d’eux via la Banque-Carrefour des Entreprises (BCE)?
Ici, seule le consentement est une base possible de traitement. Toutefois, ce n’est pas parce que les données sont accessibles au public (qu’elles proviennent du BCE ou d’ailleurs) que vous pouvez simplement les utiliser à des fins de direct marketing.
Le RGPD s’applique également aux données à caractère personnel divulguées. Vous devez donc également disposer d’une base juridique valable.
Il n’y avait donc pas de consentement lorsqu’ils ont divulgué ces données à caractère personnel? Non, il n’y en avait pas! Un consentement valable est en effet lié à la finalité. Vous devrez donc vérifier s’ils ont donné l’autorisation d’être soumis au direct marketing de cette manière. Dans le contexte du BCE, par exemple, ce n’est pas le cas!
Une alternative possible dans ce cas pourrait être de ne contacter les entreprises que par le biais de coordonnées qui ne permettent pas de retrouver un individu. Attention aux entrepreneurs individuels, aux indépendants et aux professionnels tels que les médecins. Les données que vous trouverez ici porteront souvent le nom de la personne elle-même et seront donc qualifiées comme des données à caractère personnel!
Si vous n’avez pas utilisé de données à caractère personnel pour adresser le message, assurez-vous que vous ne traitez pas non plus de données à caractère personnel dans le message lui-même.
Vous faites appel à une agence de marketing pour améliorer vos campagnes de marketing. Cette agence vous fournit des données à caractère personnel supplémentaires dont vous ne disposiez pas. Que faites-vous maintenant?
En tant que responsable du traitement, vous devez vous assurer que les données à caractère personnel ont été collectées par l’agence de marketing de manière licite et loyale. Veillez donc à vérifier si l’agence de marketing dispose de la bonne base juridique!
Cela dépend de la façon dont vous le voyez
Devoir se conformer à toutes ces règles pour pouvoir atteindre les gens et les attirer vers vos services ou vos biens, beaucoup trouvent ce segment difficile.
Vous pouvez également l’envisager sous un autre angle: c’est l’occasion de construire une relation de confiance avec vos clients, membres, abonnés, électeurs ou candidats potentiels. Vous créez cela en communiquant de manière transparente la façon dont vous traitez leurs données à caractère personnel et en montrant que vous respectez leur droit à la protection des données. En fait, vous pouvez y voir un moyen de distinguer positivement votre entreprise des autres.
Conclusion
L’interprétation large confirme qu’il existe de nombreuses initiatives qui seront considérées comme du direct marketing. Le grand impact: bien que ce soit autorisé en principe, ce ne sera pas toujours aussi simple en pratique!
Si des données à caractère personnel sont traitées dans le cadre de votre stratégie de marketing, soyez transparent et assurez-vous que vous disposez de la bonne base juridique.
Si vous avez des questions à ce sujet, vous pouvez toujours nous contacter à l’adresse hallo@dejuristen.be.
Rédigé par Larissa De Keyser, stagiaire lesJuristes, et Kris Seyen, associé lesJuristes
