Questions-réponses sur les référentiels relatifs à la gestion des activités commerciales et des impayés dans une transaction commerciale

L’entrée en application du règlement général sur la protection des données (RGPD), le 25 mai 2018, a entrainé certaines évolutions de la règlementation Informatique et Libertés. C’est le cas des formalités préalables qui devaient être effectuées auprès de la CNIL avant la mise en place des traitements de données et qui ont, pour l’essentiel, disparu.

Ces formalités ont fait place à une logique de responsabilisation des acteurs, désormais garants de leur conformité à tout moment auprès de la CNIL, à l’appui de certains « outils » (registre des traitements, réalisation d’analyses d’impact relatives à la protection des données, nomination des délégués à la protection des données, etc.).

Afin d’aider les organismes dans leurs démarches de conformité, la CNIL a adopté deux nouveaux référentiels qui recensent et appliquent les principes du RGPD aux traitements de données, nombreuses et parfois sensibles, couramment mis en œuvre dans le cadre de la gestion des activités commerciales et des impayés dans une transaction commerciale.

Non, mais il faut justifier de ses écarts avec celui-ci.

Ces référentiels constituent des cadres de référence qui permettent à un organisme de mettre en conformité ses traitements de données personnelles en matière de gestion des activités commerciales et des impayés dans une transaction commerciale. Ils ont été adoptés à la suite d’une consultation publique.

Dans les limites de leur champ d’application, ils ont vocation à remplacer les recommandations, dispenses et normes simplifiées produites par la CNIL avant l’entrée en application du RGPD (notamment la norme simplifiée n° 48 relative aux traitements automatisés de données à caractère personnel relatifs à la gestion de clients et de prospects, les dispenses de déclaration en matière de gestion des fichiers de fournisseurs, de traitements constitués à des fins d’information ou de communication externe ainsi que la dispense de déclaration relative aux  traitements mis en œuvre par des organismes à but non lucratif ).

Les référentiels ne sont pas contraignants. Les responsables de traitement peuvent s’écarter de ces préconisations (exemple : en appliquant des durées de conservation différentes de celles suggérées par les référentiels), à condition toutefois de pouvoir justifier leur choix, dont ils demeurent responsables.

Ces référentiels constituent une aide à la réalisation d’une analyse d’impact relative à la protection des données (AIPD) dans les cas où celle-ci est nécessaire (voir la section 11 des référentiels « gestion des activités commerciales » et « gestion des impayés »).

En effet, les organismes pourront ainsi définir leurs mesures permettant d’assurer la proportionnalité et la nécessité de leurs traitements (points 3 à 7 des référentiels), de garantir les droits des personnes (points 8 et 9 des référentiels) et la maîtrise de leurs risques (point 10 des référentiels).

À cette fin, l’organisme pourra se référer aux nombreux contenus mis à la disposition par la CNIL sur les analyses d’impact relatives à la protection des données.

Le référentiel a vocation à s’appliquer aux relations commerciales existant entre un organisme et ses prospects et clients, que cet organisme soit de droit privé ou public.

Compte tenu de la nature particulière de leurs activités, ce référentiel n’a en revanche pas vocation à s’appliquer aux :

• établissements de santé ou d’éducation ;
• établissements bancaires ou assimilés ;
• entreprises d’assurances ;
• opérateurs soumis à l’agrément de l’Autorité nationale des jeux.

Le référentiel ne s’applique pas aux traitements suivants :

• La détection et la prévention de la fraude ;
• l’exclusion temporaire ou permanente des personnes du bénéfice d’une prestation de services ou de la fourniture d’un bien (exemple : en raison d’impayés, d’incivilités des clients ou de comportements abusifs) ;
• le profilage réalisé à partir de données collectées depuis des sources tierces au responsable de traitement, ainsi que ceux réalisés à partir de données collectées par le biais de cookies et autres traceurs.

Le référentiel actualise et consolide la position de la CNIL sur la gestion des fichiers de clients et prospects en intégrant les évolutions liées à l’entrée en application du RGPD et à la modification de la loi Informatique et Libertés. Parmi les principales évolutions entre la NS-48 et le référentiel « gestion des activités commerciales » figurent :

• L’encadrement des opérations de transmission de données à des tiers à des fins de prospection commerciale : le référentiel identifie les bases légales possibles pour de telles opérations conformément au cadre légal applicable et rappelle les obligations qui incombent à chacun des acteurs (information, recueil préalable du consentement des personnes, etc) ;
• L’ajout de précisions concernant les durées de conservation notamment s’agissant des données collectées dans le cadre de l’exercice des droits par les personnes concernées ;
• L’ajout de précisions concernant le traitement de données sensibles (données concernant la vie sexuelle ou l'orientation sexuelle, prétendue origine raciale ou origine ethnique, opinions politiques, convictions religieuses ou philosophiques ou l’appartenance syndicale).

Des nouveaux développements ont également été ajoutés concernant l’identification des bases légales susceptibles de fonder les traitements visés par le référentiel. Des précisions ont été également apportées sur les hypothèses dans lesquelles la réalisation d’une analyse d’impact sur la protection des données (AIPD) est obligatoire ou non.

Oui sous réserve, dans la plupart des cas, du consentement des personnes.

Les données personnelles portant sur l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale, les données génétiques, les données biométriques, les données de santé ou celles concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont particulièrement protégées.

Le RGPD interdit de recueillir ou d’utiliser ces données sauf si le client/prospect a donné son consentement exprès (démarche active, explicite et de préférence écrite, qui doit être libre, spécifique, et informée) et que ces données sont pertinentes et proportionnées à l’objectif poursuivi.

Par exemple, un site de rencontres qui requiert de renseigner son orientation sexuelle ou une application mobile collectant des données de santé devraient, au préalable, recueillir le consentement des personnes désirant s’y inscrire.

Lorsque les données ont été collectées, par exemple, auprès de partenaires commerciaux ou de courtiers en données :

• La personne doit être informée, notamment, de l’identité de l’organisme les utilisant, de l’objectif de cette utilisation, de la source depuis laquelle ses données ont été collectées et de la manière d’exercer ses droits ;
• cette information doit intervenir dès que possible après avoir obtenu les données personnelles (notamment lors du premier contact avec la personne concernée) et au plus tard dans le délai d’un mois (sauf si les exceptions sont applicables).

L’information doit être délivrée sous une forme concise, compréhensible et aisément accessible, en des termes clairs et simples.

Au-delà de l’information, l’organisme devra s’assurer de respecter l’intégralité des obligations et notamment la nécessité d’identifier une base légale.

L’intérêt légitime peut être utilisé pour justifier des opérations de prospection commerciale à destination des professionnels notamment lorsque l’objet de la sollicitation est en lien avec la profession/spécialité du professionnel démarché.

En tout état de cause, l’organisme devra : 

• informer le professionnel que son adresse électronique sera utilisée à des fins de prospection ;
• mettre en mesure le professionnel de s’opposer, de manière effective, à cette utilisation de manière simple et gratuite au moment de la collecte des données et dans chaque message de prospection.

La transmission des données à des partenaires à des fins de prospection est encadrée. La CNIL rappelle, dans cette fiche, les règles applicables et offre des conseils pour assurer la protection des droits des personnes.

À noter : au-delà des règles rappelées dans le schéma ci-dessus, chaque organisme devra s’assurer de respecter l’ensemble des obligations posées par la règlementation pour les traitements dont ils assurent la responsabilité (faciliter l’exercice des droits, minimiser les données, limiter leur durée de conservation, assurer leur sécurité, apporter la preuve du recueil d’un consentement valide, etc).

Selon le mode de prospection utilisé (courriel, SMS, voie postale, téléphone, etc), les personnes sollicitées doivent au préalable :

• avoir consenti à recevoir les messages de prospection (exemple : en cas de prospection auprès de particuliers par voie électronique ou par SMS) : il s’agit d’un mécanisme d’ « opt-in » ;
• ou ne pas s’être opposées à recevoir des messages de prospection (exemple : la prospection par voie postale, la prospection pour des produits ou services analogues fournis par la même entreprise) : il s’agit d’un mécanisme d’ « opt-out ».

Toute personne physique peut exercer son droit d’opposition – sans justification, à tout moment et sans frais - à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale.

Afin de s’assurer de la prise en compte effective et dans la durée de l’opposition des personnes pour, notamment, que celles-ci ne soient pas ajoutées à une liste de personnes à contacter lorsque l’organisme reçoit une nouvelle liste de prospects (exemple : par un courtier en données), il est possible de constituer une liste repoussoir. Celle-ci permet d’exclure durablement les personnes qui se sont opposées à toute nouvelle opération de prospection.

La CNIL recommande que les informations permettant de prendre en compte l’opposition d’une personne soient conservées au minimum 3 ans.

Ces données ne peuvent en aucun cas être utilisées à d’autres fins que la gestion du droit d’opposition. Seules les données nécessaires à la prise en compte du droit d’opposition doivent être conservées.

Le référentiel distingue deux situations :

• Les données relatives aux clients utilisées à des fins de prospection commerciale peuvent être conservées pendant la relation commerciale, puis pour une durée de trois ans à compter de la fin de la relation commerciale ;
• Les données relatives aux prospects utilisées à des fins de prospection commerciale peuvent être conservées pendant un délai de trois ans à compter de leur collecte ou du dernier contact venant du prospect (par exemple, un clic sur un lien hypertexte dans un courriel). L’organisme pourra reprendre contact avec le prospect, au terme de ce délai, afin de savoir s’il souhaite continuer à recevoir des sollicitations commerciales. En l'absence de réponse positive et explicite de la personne, les données devraient être supprimées ou archivées pour une durée conforme aux dispositions en vigueur.

Il est fréquent que les utilisateurs qui possèdent un compte ne l’utilisent plus sans pour autant le supprimer.

Afin de s’assurer que les données de ces utilisateurs ne soient pas conservées de manière excessive, l’organisme devrait déterminer un délai raisonnable à l’issue duquel le compte sera considéré comme inactif et devra en conséquence être supprimé. La CNIL recommande un délai de 2 ans à compter de la dernière action émanant de la personne.

L’utilisateur pourrait être averti avant l’échéance de ce délai afin de lui laisser la possibilité d’exprimer son souhait de maintenir son compte actif.

Oui.

Toutefois, l’organisme doit conserver les données en archivage intermédiaire et pour un délai raisonnable :

• s’il en a l’obligation légale (par exemple, pour répondre à des obligations comptables ou fiscales) ;
• ou s’il souhaite se constituer une preuve en cas de contentieux et dans la limite du délai de prescription applicable.

Dans ce cas, les données seront stockées dans une base de données d'archives dédiée ou séparée, par des mesures techniques, des autres données dans la base de données active, après avoir opéré un tri des données pertinentes à archiver.

Le référentiel a vocation à s’appliquer aux relations commerciales existant entre un organisme et ses clients qui n’honorent pas leurs obligations de paiement, que cet organisme soit de droit privé ou public.

Compte tenu de la nature particulière de leurs activités, ce référentiel ne s’applique pas aux :

• organismes de gestion et de recouvrement de créances ;
• organismes d’enquête civile ;
• établissements bancaires ou assimilés ;
• entreprises d’assurance.

Le référentiel ne s’applique pas aux traitements mis en œuvre pour détecter un risque d’impayé ou recenser des manquements autres que pécuniaires (comme, par exemple, des incivilités des clients).

De même, il n’a pas vocation à encadrer les traitements répondant aux finalités suivantes : 

• la prévention d’un impayé incluant une évaluation (« scoring ») visant à déterminer si une personne est susceptible d’être en situation d’impayé ;
• l’enrichissement du traitement à partir d’informations collectées par ou auprès de tiers ;
• le partage ponctuel et/ou la mutualisation des données relatives à l’identité des personnes en situation d’impayé avec des tiers.

Chaque objectif (finalité) du traitement visé par le référentiel doit reposer sur l’une des bases légales fixées par le RGPD.

Si l’intérêt légitime des organismes ne peut être exclu pour justifier d’un traitement de données à des fins de gestion des impayés, le recours à la base légale de l’exécution du contrat semble toutefois plus approprié sous réserve de démontrer que la collecte des données est indispensable pour fournir le service ou le bien attendu par la personne concernée.

Afin d’assurer la transparence du fichier, les organismes doivent informer les personnes à trois niveaux :

• Une information générale sur l’existence du traitement ainsi que sur les modalités d’inscription dans la liste des débiteurs doit être donnée au moment de la conclusion du contrat ou de la collecte des données ou avant d’effectuer le traitement ;
• Lorsqu’un impayé survient, la personne doit être informée des moyens dont elle dispose pour régulariser son paiement, présenter ses observations et, le cas échéant, pour demander le réexamen de sa situation ;
• En l’absence de régularisation de l’impayé, les personnes doivent être informées de leur inscription sur le fichier d’exclusion.