Consentement aux newsletters selon la LPD suisse : documenter la preuve

Pourquoi la preuve de la licéité de l'envoi de newsletters est décisive

En Suisse, les e-mails publicitaires et les newsletters ne sont autorisés qu'avec un consentement explicite (opt-in) ou en cas de relation d'affaires existante pour des produits similaires. La loi fédérale contre la concurrence déloyale (LCD) et la loi sur la protection des données (LPD) s'appliquent conjointement ; l'art. 3 LCD contient la disposition spécifique relative à l'envoi massif de publicité par voie de télécommunication.

Le consentement doit non seulement exister, mais aussi être prouvable : les entreprises doivent s'assurer de pouvoir apporter cette preuve. Celui qui utilise des adresses sans preuve s'expose à des demandes de suppression et, si les destinataires se trouvent à l'étranger, à des mises en demeure.

Les plaintes pour publicité par e-mail illicite peuvent être déposées auprès du Secrétariat d'État à l'économie (SECO), qui dispose de divers moyens pour agir contre la publicité par e-mail illégale. En l'absence de preuve, la licéité de l'envoi est remise en question.

Quand un consentement est valable – et quand il sert de preuve

L'art. 6 al. 6 et 7 LPD régit les conditions de validité des consentements en matière de protection des données. Un consentement n'est valable que s'il est donné librement et après une information suffisante.

La personne concernée doit avoir été informée de l'utilisation de son adresse e-mail à des fins publicitaires et doit donner son consentement de manière explicite. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) cite comme exemple une case vide, accompagnée de la mention « J'accepte que mes données soient utilisées à des fins publicitaires », qui doit être cochée.

La case doit être vide et cochée activement ; le consentement suppose une action consciente. Une case pré-cochée ne constitue pas une telle preuve.

La simple acceptation des conditions générales ne suffit pas. Le consentement peut être révoqué à tout moment.

L'opt-in et l'opt-out ne sont pas interchangeables : le principe exige un consentement préalable. Une simple possibilité de refus (opt-out) ne remplace l'opt-in que dans le cas exceptionnel de la clientèle existante.

Opt-in vs Opt-out : différences dans la protection des données suisse

Double opt-in : la preuve la plus solide au quotidien

La procédure du double opt-in est considérée comme la méthode la plus sûre pour documenter le consentement. Déroulement : la personne saisit son adresse dans le formulaire d'inscription, reçoit un e-mail de confirmation et confirme son inscription en cliquant sur un lien.

Le clic est déterminant, car il prouve que le consentement résulte d'une action active. Si l'inscription est enregistrée sans cette étape de confirmation, seule la saisie du formulaire fait foi ; il est alors difficile de la distinguer d'une adresse saisie par un tiers.

Il convient de consigner la date et l'heure de l'inscription, l'adresse e-mail utilisée, l'envoi de l'e-mail de confirmation ainsi que la date et l'heure du clic de confirmation. Ces informations doivent permettre de reconstituer ultérieurement le déroulement étape par étape.

Procédure de double opt-in : documentation étape par étape

Ces informations doivent être consignées pour chaque consentement

Pour chaque consentement, il faut archiver au minimum la date, l'heure, l'adresse e-mail concernée et la source de l'inscription – c'est-à-dire le formulaire sur une page donnée, le processus de commande ou une liste lors d'un événement.

S'y ajoute le libellé du formulaire d'inscription, y compris sa version. Si le texte change, l'ancienne version est conservée ; la preuve se rapporte au texte effectivement utilisé à l'époque.

Les contenus promis et la fréquence d'envoi doivent également être enregistrés : le formulaire d'inscription informe sur la nature et la fréquence des contenus attendus.

Il faut aussi documenter si et à quels partenaires ou autres tiers les adresses e-mail sont transmises. Le formulaire d'inscription informe également sur d'éventuels contenus provenant de partenaires et de tiers qui recevront les adresses.

L'information sur l'étendue et les destinataires de la publicité fait partie intégrante du consentement. Si elle manque dans le journal, il est impossible de prouver ce à quoi la personne a consenti.

Points de documentation importants pour chaque consentement

Documenter correctement les adresses clients et l'exception pour les produits similaires

Une exception s'applique à la clientèle existante : la publicité pour des produits ou services similaires de la même entreprise est possible sans opt-in préalable. La condition est que la personne puisse s'opposer à la publicité à tout moment (opt-out).

L'exception ne s'applique que si une vente a eu lieu ou si un service a été utilisé. La simple ouverture d'un compte en ligne ne suffit pas.

Il faut donc pouvoir prouver quand et comment la relation d'affaires est née – par exemple par une commande ou la prestation d'un service. Les documents doivent également montrer que le produit advertised est similaire au produit ou au service déjà obtenu.

Comme la distinction entre produits similaires et non similaires reste délicate, il est recommandé de demander également à vos clientes et clients leur consentement explicite à l'envoi de la newsletter.

Vérifier les anciens fichiers plutôt que d'exiger des confirmations globales

Les consentements existants et correctement documentés n'ont pas besoin d'être renouvelés. Des e-mails circulaires envoyés à tous les destinataires pour demander une confirmation peuvent en revanche être considérés comme de la publicité illicite.

Le nettoyage commence par l'examen de vos propres documents : pour quelles adresses dispose-t-on d'un opt-in journalisé, pour lesquelles d'une relation d'affaires prouvée – et où manque toute preuve ?

Les adresses sans preuve sont écartées et ne font plus l'objet d'envois publicitaires. Des confirmations ne sont demandées que lorsque la preuve fait défaut et que l'envoi ultérieur est souhaité.

Avantages et risques des confirmations globales pour les anciens fichiers

Suivre sans faille les révocations et les désinscriptions

Le consentement peut être révoqué à tout moment. Chaque envoi doit donc offrir une possibilité simple et gratuite de refuser toute publicité supplémentaire – généralement via un lien de désinscription.

Outre le lien de désinscription, l'identité de l'expéditeur doit figurer dans chaque e-mail. Des mentions d'expéditeur correctes et un lien de désinscription fonctionnel sont des éléments obligatoires de chaque e-mail publicitaire.

Les désinscriptions, les blocages et les oppositions sont enregistrés avec la date et l'adresse. Cela permet de savoir quelles adresses doivent être exclues des futurs envois.

Preuves en entreprise : archivage, prestataires et cas sérieux

L'envoi de newsletters doit être inscrit en tant qu'activité de traitement dans le registre des traitements selon l'art. 12 LPD. Les protocoles individuels de consentement sont conservés dans un archivage propre et facilement accessible.

Les preuves sont conservées aussi longtemps que l'adresse est utilisée pour l'envoi, plus un délai pendant lequel des demandes d'information ou de suppression peuvent encore être formulées.

Celui qui externalise l'envoi à un prestataire de marketing par e-mail reste responsable des preuves. Le traitement des données sous-traité doit être réglementé contractuellement selon l'art. 9 LPD ; il convient de clarifier les droits d'accès, l'obligation de suivre les instructions ainsi que la restitution ou la suppression des données à la fin du contrat.

En cas de demandes d'information selon l'art. 25 LPD, de demandes de suppression et de plaintes, les protocoles doivent pouvoir être présentés dans un délai utile. Il convient de définir en interne qui tient et met à jour les preuves.

LPD suisse : articles pertinents et responsabilités