Points clés - Marketing direct sous le RGPD

Cet aperçu replace le sujet Marketing direct sous le RGPD dans un contexte utile. Le marketing direct sous GDPR est autorisé, mais il ne s'agit pas d'un laissez-passer gratuit pour envoyer un message à toute personne dont vous pouvez trouver l'adresse e-mail. Les équipes marketing ont besoin de deux niveaux d'analyse : la base juridique GDPR pour le traitement des données personnelles et les règles distinctes ePrivacy ou nationales de marketing électronique qui décident si vous avez besoin d'un consentement préalable pour le message lui-même.

Cette distinction est à l’origine de nombreuses erreurs. Une entreprise peut avoir un intérêt légitime dans le marketing, mais elle a néanmoins besoin d'un consentement pour envoyer des e-mails, des SMS, des notifications push ou utiliser des cookies de suivi à des fins publicitaires.

GDPR Base légale pour la marketing

Le GDPR nécessite une base légale pour le traitement des données personnelles. Pour le marketing direct, les deux candidats les plus courants sont le consentement et les intérêts légitimes.

Le consentement doit être libre, spécifique, éclairé et sans ambiguïté. Le EDPB explique que les gens ont besoin d'un véritable libre choix, de suffisamment d'informations, de granularité et d'une action positive claire sans cases pré-cochées (EDPB consentement explicatif).

Des intérêts légitimes peuvent s’appliquer à certains marketing, mais seulement après un test d’équilibre approprié. Vous devez identifier l'intérêt, démontrer que le traitement est nécessaire et déterminer que les droits et les attentes de la personne ne l'emportent pas. Le considérant 47 du GDPR indique que le marketing direct peut constituer un intérêt légitime, mais « peut » ne signifie pas « toujours ».

ePrivacy restreint les options

Pour le marketing électronique, GDPR n’est qu’une partie du tableau. La directive ePrivacy, mise en œuvre par les lois nationales, exige un consentement préalable pour les communications électroniques non sollicitées. Au Royaume-Uni, l'ICO explique la même relation pratique sous PECR : le consentement et les intérêts légitimes sont les bases juridiques probables de GDPR, mais PECR peut exiger le consentement pour la chaîne ; si PECR nécessite un consentement, les intérêts légitimes ne peuvent pas être utilisés pour contourner cette exigence (Conseils de marketing direct de l'ICO).

Les États membres de EU implémentent ePrivacy différemment, les détails varient donc. La règle opérationnelle est simple : vérifier les règles marketing spécifiques au canal avant de s’appuyer sur des intérêts légitimes.

L'inscription douce

De nombreux régimes européens incluent une version du « soft opt-in » pour les clients existants. Les détails varient, mais le schéma est que vous avez obtenu les coordonnées directement lors d'une vente ou d'une négociation, que vous commercialisez vos propres produits ou services similaires, que vous avez clairement la possibilité de vous désinscrire lorsque les détails ont été collectés, que vous incluez une désinscription facile dans chaque message et que vous honorez les désinscriptions précédentes.

L'opt-in logiciel n'est pas la même chose que l'achat d'une liste. Cela ne s’applique généralement pas aux communications à froid utilisant des données tierces. Cela ne justifie pas non plus l’ajout de pixels de suivi ou de profilage sans une évaluation distincte.

Le marketing B2B n’est pas automatiquement exempté

Le marketing B2B peut être plus flexible dans certaines juridictions, notamment pour les adresses e-mail d'entreprise, mais il reste réglementé. L'adresse e-mail professionnelle d'une personne reste une donnée personnelle si elle permet de l'identifier. Vous avez toujours besoin de transparence, d’une base légale, de listes de suppression et d’un mécanisme d’objection simple.

La sensibilisation B2B à froid doit être ciblée et proportionnée. "Tous les fondateurs d'Europe" ne constituent pas un public attentif. « Les responsables de la sécurité des entreprises utilisant un standard obsolète, contactés au sujet d'un guide de migration pertinent » est plus facile à défendre.

Profilage et segmentation

La segmentation marketing consiste à traiter des données personnelles. La segmentation de base, comme les clients par rapport aux prospects ou le niveau de forfait, présente un faible risque. Le profilage comportemental, la notation des prospects, le suivi inter-sites et les inférences sensibles présentent un risque beaucoup plus élevé.

Sous GDPR, les individus ont le droit absolu de s'opposer au traitement à des fins de marketing direct, y compris le profilage associé. Une fois qu’ils s’y opposent, vous devez cesser de traiter leurs données à cette fin. Conservez des listes de suppression afin de ne pas rajouter accidentellement des personnes plus tard.

Si votre pile marketing utilise des cookies, des pixels publicitaires ou un enrichissement des données, évaluez chaque élément séparément. Une plateforme de newsletter, CRM, un pixel de reciblage publicitaire, un outil d'analyse de site Web et un fournisseur d'enrichissement peuvent chacun introduire différentes bases juridiques, avis, contrats et problèmes de transfert.

Liste de contrôle pratique de conformité

Avant d'envoyer une campagne, confirmez que la source des données de contact est documentée, que la base légale est enregistrée, que les règles de consentement spécifiques au canal ou d'opt-in sont satisfaites, que la déclaration de vie privée explique clairement le marketing et le profilage, que la désinscription fonctionne rapidement, que les listes de suppression sont respectées dans tous les outils, que les pixels de suivi et le suivi des liens sont divulgués et acceptés si nécessaire, que les règles de conservation suppriment les contacts inactifs et que les sous-traitants sont couverts par des contrats.

Pour les analyses liées au marketing, évitez d’envoyer des données personnelles dans des événements d’analyse. Ne placez pas d'adresses e-mail dans les paramètres URLs, UTM, les étiquettes d'événement ou les dimensions personnalisées. Si vous avez besoin d'une attribution de campagne, utilisez la campagne IDs et les événements de conversion propriétaires plutôt que les identifiants personnels.

Exemples

Une inscription à la newsletter conforme indique clairement que l'utilisateur recevra des mises à jour du produit, des liens vers un avis de vie privée et inclut le désabonnement dans l'e-mail. Un suivi risqué d'un webinaire envoie du marketing de sponsor aux participants à partir d'une plate-forme tierce sans vérifier ce qui a été dit aux participants. Une configuration d'analyse risquée ajoute des adresses e-mail aux paramètres UTM afin que les ventes puissent identifier les visiteurs dans Google Analytics. Une meilleure configuration stocke l’identité du prospect dans le CRM et envoie uniquement les métadonnées analytiques des campagnes et des événements.

Le principe marketing axé sur la vie privée

Le marketing direct fonctionne mieux lorsqu’il est attendu, pertinent et facile à refuser. L'analyse axée sur la vie privée soutient cette approche en mesurant les résultats des campagnes sans créer de profils cachés. Vous pouvez toujours savoir quelles campagnes génèrent des inscriptions, des demandes de démo, des téléchargements et des mises à niveau. Il n’est tout simplement pas nécessaire de transformer chaque destinataire en cible de surveillance.

Le marketing n’est pas illégal par défaut. Le problème réside dans un marketing bâclé : consentement flou, suivi caché, listes d'achats, profilage trop large et désinscriptions interrompues. Corrigez-les et vous pourrez vous développer sans considérer la vie privée comme un obstacle.

Conserver les preuves

Conservez des enregistrements du texte de consentement, de la source de collecte, de l'horodatage, de la version de l'avis de vie privée, du statut de désinscription et de la logique de suppression de campagne. Si vous comptez sur des intérêts légitimes, conservez l'évaluation des intérêts légitimes. Si vous comptez sur l'opt-in logiciel, documentez comment le contact a été collecté et où l'opt-out a été proposé. La conformité est beaucoup plus facile lorsque les preuves existent avant l'arrivée d'une plainte.

Liste de contrôle de lancement de campagne

Avant le lancement d'une campagne, confirmez la source du contact, l'autorisation du canal, la base juridique, le chemin de désabonnement, la gestion de la liste de suppression, la conservation et les contrats de processeur. Si la campagne utilise des pixels de suivi, le suivi des liens, l'enrichissement, le reciblage ou la synchronisation CRM, examinez-les séparément de l'envoi de l'e-mail.

Pour l'attribution, utilisez la campagne IDs et les événements de conversion propriétaires plutôt que les données personnelles dans URLs ou les événements d'analyse. Conservez l'identité dans le CRM et envoyez aux analyses de site Web uniquement les métadonnées minimisées nécessaires pour comprendre les performances du canal.

Questions fréquentes

Un intérêt légitime suffit-il pour se passer du consentement en email marketing ?

Non, pas à lui seul. L'intérêt légitime peut justifier le traitement de données personnelles au titre du RGPD, mais les règles ePrivacy décident séparément si l'on peut envoyer un email, un SMS, une notification push, ou utiliser des cookies de suivi publicitaire. Une entreprise peut avoir un intérêt légitime au marketing et devoir malgré tout obtenir un consentement pour le canal lui-même.

Qu'est-ce qui rend un consentement valable pour le marketing selon le RGPD ?

Le consentement doit être libre, spécifique, éclairé et univoque, selon le CEPD. Cela suppose un choix réellement libre, une information suffisante, de la granularité et une action affirmative claire, sans case pré-cochée.

En quoi consiste le test de mise en balance pour l'intérêt légitime en marketing ?

On identifie l'intérêt derrière le marketing, on démontre que le traitement est nécessaire pour l'atteindre, puis on vérifie que les droits et attentes de la personne ne l'emportent pas sur cet intérêt. Le considérant 47 indique que le marketing direct peut constituer un intérêt légitime, pas qu'il l'est toujours.

La réglementation PECR écarte-t-elle la base de l'intérêt légitime du RGPD pour le marketing au Royaume-Uni ?

L'ICO explique que le consentement et l'intérêt légitime restent les bases légales probables du RGPD, mais que la PECR peut exiger séparément un consentement pour le canal marketing. Quand la PECR exige un consentement, l'intérêt légitime ne peut pas servir à contourner cette exigence.

Puis-je envoyer des emails à des clients existants sans nouveau consentement grâce à l'inscription douce ?

Seulement si les coordonnées ont été recueillies directement lors d'une vente ou d'une négociation et que seuls des produits ou services propres similaires sont promus. Il faut aussi avoir proposé une option de refus claire lors de la collecte et inclure un désabonnement facile dans chaque message. L'inscription douce ne couvre pas les listes achetées ni la prospection à froid avec des données tierces.

Le marketing B2B par email est-il exempté du RGPD ?

Non, le marketing B2B par email n'est pas automatiquement exempté, même avec des adresses professionnelles. Une adresse email professionnelle reste une donnée personnelle si elle identifie la personne, donc la transparence, une base légale, des listes de suppression et un moyen simple de s'opposer restent nécessaires.

Une personne peut-elle faire cesser tout le profilage utilisé pour le marketing ?

Les personnes disposent d'un droit d'opposition absolu au traitement à des fins de marketing direct, y compris le profilage associé, en vertu du RGPD. Une fois l'opposition exprimée, il faut cesser de traiter leurs données pour cette finalité et les garder sur une liste de suppression pour éviter de les réajouter par erreur.

Quelles activités marketing représentent un profilage plus risqué ?

La segmentation basique, comme clients contre prospects ou niveau d'abonnement, est généralement peu risquée. Le profilage comportemental, le lead scoring, le suivi cross-site et les inférences sensibles présentent un risque bien plus élevé et méritent un examen plus poussé.

Est-il acceptable de mettre des adresses email dans les paramètres UTM pour le suivi de campagne ?

Mieux vaut l'éviter. Les identifiants personnels comme l'email n'ont pas leur place dans les URLs, les paramètres UTM, les libellés d'événements ou les dimensions personnalisées. Il vaut mieux utiliser des identifiants de campagne et des événements de conversion en propre, en gardant l'identité dans le CRM.

Quels registres dois-je conserver pour prouver la conformité marketing ?

Il faut conserver le texte du consentement, la source de collecte, l'horodatage, la version de la politique de confidentialité, le statut de désabonnement et la logique de suppression pour chaque contact. En cas d'intérêt légitime, il faut garder l'analyse d'intérêt légitime, et en cas d'inscription douce, documenter comment le contact a été collecté et où le désabonnement a été proposé.