Les règles européennes et la position française.
La directive « e-privacy » 2002/58/CE sur la vie privée et les communications électroniques, et la proposition de règlement « e-privacy » ayant vocation à la remplacer, énoncent un principe clair : la prospection commerciale directe par courrier électronique est possible pour autant que les utilisateurs aient donné leur consentement avant d’être démarchés.
Une seule exception est prévue : lorsque des clients ont préalablement acheté un bien ou un service, la prospection commerciale est permise sans consentement préalable sous réserve (i) qu’elle concerne des produits ou services analogues à ceux déjà achetés et (ii) que la personne, au moment de la collecte de son adresse de messagerie, soit informée que celle-ci sera utilisée à des fins de prospection et en mesure de s’y opposer de manière simple et gratuite.
Il est précisé que ce régime s’applique aux communications visant des personnes physiques, mais que les États membres peuvent choisir de l’étendre aux personnes morales.
En France, la directive a été transposée dans l’article L34-5 du Code des postes et des télécommunications, qui reprend à l’identique cette règle de l’opt-in et son exception (parfois appelée « soft opt-in »).
La CNIL a adopté une position plus complexe. Ainsi, sur sa page dédiée à la prospection commerciale par courrier électronique [1], mise à jour en janvier 2022, elle distingue les règles applicables dans le secteur du BtoC et celui du BtoB.
Dans le BtoC, pas de surprise : on retrouve le principe du consentement préalable avec l’exception du soft opt-in.
En revanche, la CNIL ajoute une règle supplémentaire pour le BtoB : la prospection commerciale destinée aux professionnels est autorisée et ne nécessite pas le consentement exprès de la personne, sous réserve (i) que l’objet de la sollicitation soit en rapport avec la profession de la personne démarchée et (ii) que la personne, au moment de la collecte de son adresse de messagerie, soit informée que celle-ci sera utilisée à des fins de prospection et en mesure de s’opposer à cette utilisation de manière simple et gratuite.
En s’appuyant sur cette distinction, les entreprises BtoB peuvent donc effectivement se dispenser du recueil d’un consentement positif lors de la collecte des données pour effectuer de la prospection commerciale par e-mail.
La mise en œuvre concrète de l’opt-out en BtoB.
Afin de respecter les règles de l’autorité française de protection des données, il est important d’avoir à l’esprit que les systèmes d’opt-in et d’opt-out doivent se traduire par une démarche différente au moment de la collecte des données. La CNIL en rappelle les bases sur la page de son site internet consacrée aux deux mécanismes [2] :
- Avec l’opt-in, vous devez proposer une case à cocher comportant une mention de type « J’accepte que mon adresse e-mail soit utilisée à des fins commerciales ».
- Avec l’opt-out, vous devez proposer une case à cocher comportant une mention de type « Je refuse que mon adresse e-mail soit utilisée à des fins commerciales ».
Dans la pratique, cette différence rédactionnelle est souvent oubliée, et le système de l’opt-out n’est donc pas appliqué de façon adaptée. En effet, les entreprises ont tendance à utiliser un formulaire unique pour leurs collectes de données, qui comprend seulement une case « j’accepte ». Cela peut s’expliquer par le fait qu’il s’agit d’entités développant à la fois une activité BtoB et BtoC, ou dans plusieurs pays européens, certains de nos voisins ayant retenu une règle plus stricte que la France pour le BtoB. Parfois, tout simplement, le système de l’opt-out est mal compris, ou le formulaire a été rédigé sur la base des modèles les plus courants sur internet, qui contiennent une unique case « j’accepte ».
Dans un tel cas, il est tentant de penser que les professionnels n’ayant pas coché la case « j’accepte » peuvent être contactés, puisqu’ils ne s’y sont pas formellement opposés. Ce serait une erreur : avec ce formulaire, nous n’avons pas donné la possibilité à l’utilisateur d’exprimer son refus. Or, la CNIL précise bien que la personne concernée doit être en mesure de s’opposer au moment de la collecte, et pas seulement lors de la réception du premier e-mail, ce qui semble fréquemment oublié.
Les professionnels qui ne se sont pas prononcés, ni en positif ni en négatif, ne peuvent donc pas être contactés.
Si vous souhaitez utiliser la possibilité d’opt-out prévue par la CNIL, pensez à vérifier la rédaction de votre formulaire de recueil des données.
L’opt-out en BtoB, une dérogation sujette à évolution ?
Même en appliquant correctement le système d’opt-out avec un formulaire adapté, nous ne sommes pas à l’abri d’un changement de doctrine de la CNIL au cours des mois ou années à venir.
En effet, cette distinction spécifique au BtoB n’est pas prévue par la directive e-privacy ou sa transposition. Elle ne figure d’ailleurs pas non plus dans le RGPD, contrairement à ce que l’on croit souvent, puisque celui-ci n’a pas vocation à régir les communications électroniques (comme le précise son article 95).
Il est vrai que la directive prévoit la possibilité pour les États membres de recourir à un droit d’opposition (opt-out) concernant les personnes morales. De prime abord, on pourrait penser que la notion de personne morale est à rapprocher de celle d’entreprise, et que la dérogation BtoB de la CNIL découle de cette disposition.
Toutefois, les définitions de personnes morales et de professionnels (par opposition aux consommateurs) ne se confondent pas, et les professionnels qui reçoivent des e-mails de prospection sont bien des personnes physiques. D’ailleurs, la CNIL distingue les deux concepts, puisqu’elle précise que les adresses électroniques génériques constituent des coordonnées de personnes morales et ne sont pas concernées par les règles sur la prospection commerciale [3].
Dès lors, rien ne s’oppose à la remise en cause de cette position dérogatoire de l’organisme français, par exemple à l’occasion de l’entrée en vigueur, attendue depuis plusieurs années, du règlement e-privacy.
Appliquer l’opt-in en BtoB, une bonne pratique qui a des avantages.
Au vu de ces éléments, il peut être pertinent de demander dès maintenant le consentement de tous vos utilisateurs, y compris en BtoB.
Comme déjà évoqué, cela dispense la nécessité de déployer un formulaire spécifique aux clients professionnels en France. Vous pourrez alors utiliser un standard commun avec une case « j’accepte », ou même, pour une parfaite transparence, un formulaire qui inclut à la fois une case « j’accepte » et une case « je m’oppose ».
De cette façon, vous évitez d’accumuler les adresses e-mail inutilisables dans la catégorie « ne se prononce pas ».
Mais surtout, une telle posture est intéressante commercialement, puisqu’elle vous permet de communiquer vers une audience plus qualifiée et réceptive, et de beaucoup mieux cibler vos efforts, vous offrant donc de meilleures chances de conversion.
Enfin, ce choix peut avoir un effet positif sur votre e-réputation, en montrant qu’au-delà même du respect de la réglementation, vous accordez de la valeur aux données de vos clients. Vous serez en mesure de capitaliser sur votre comportement proactif en termes de conformité et de protection de la vie privée, thématiques aujourd’hui incontournables dans tous les secteurs.
