Le « Black Friday », ou comment oublier ses fondamentaux RGPD durant quelques jours

Ça y est. Nous y sommes. Encore. C’est la grand-messe des offres commerciales : c’est le Black Friday. Depuis maintenant quelques années, commerçants et e-commerçants français suivent sans retenu ce raz-de-marée promotionnel originaire d’outre-Atlantique. Alors, réelles promotions ou fausses bonnes affaires ? Coup de boost économique ou véritable désastre écologique ? Là n’est pas notre sujet du jour. Ce qui nous intéresse aujourd’hui, c’est la protection des données à caractère personnel des millions de consommateurs qui vont, le temps d’une semaine, se faire « harceler » de sms, emails, messages vocaux, publicités ciblées et pratiques commerciales en tout genre. Certains, habitués, s’en accommoderont facilement pendant que d’autres, désabusés, râleront impuissamment contre des démarches commerciales – parfois – abusives. Et le fameux RGPD¹ dans tout ça ? Si depuis le 25 mai 2018², certaines entreprises semblaient s’être calmées sur leurs leviers de prospection, rentrant dans le rang d’un RGPD encore mal maîtrisé, un tel évènement que le Black Friday – et les répercussions économiques colossales qu’il génère – ne pouvait que réveiller de vieux instincts marketing.

A l’occasion du Black Friday, une célèbre marque de croquettes pour félins nous propose une remise exceptionnelle de moitié prix sur l’un de ses produits phares. Chouette. La première question qui nous traverse alors l’esprit est : « Comment cette marque de croquettes pour chat a-t-elle bien pu obtenir notre numéro de téléphone portable ? ». Surtout que nous n’avons pas de chat, ni même de poisson rouge d’ailleurs ! Là, c’est clairement l’erreur de casting. Comment un service marketing peut-il se planter de la sorte dans son ciblage ? Peut-être en ne ciblant pas, tout simplement. Il y a fort à parier qu’ils aient maladroitement utilisé une base de données de sources incertaines, sans segmentation ni personnalisation. En bref, c’est une vieille pratique – préhistorique – de mass marketing³ sur une ou plusieurs bases de données récupérées auprès de partenaires. Il s’agit ainsi de chercher à valoriser une campagne marketing sur la masse impersonnelle plutôt que sur la qualité, par segments de marché ou par personnalisation du public ciblé. Cela revient à se dire « on ne sait jamais, on tombera sûrement sur des propriétaires de chat parmi tous ces individus ». Il est vrai que le marché des croquettes pour chat est un marché conditionné et restreint puisque sans chat, pas d’achat d’intérêt à consommer. En revanche, les télévisions, les smartphones, l’électroménager, les voitures, tous ces produits touchent plus ou moins l’ensemble des consommateurs de 18 à 98 ans. Alors, pourquoi pas nous ? Et c’est ainsi que l’on tombe dans des facilités marketing où tout devient qu’une question de probabilités.

Cependant, si ce genre de pratiques est tout à fait autorisé sur des supports de diffusion neutres ne requérant aucune données personnelles (tels que la télévision, les panneaux d’affichages publicitaire ou les encarts pubs non-ciblé de site web), il est en revanche formellement prohibé d’utiliser des informations personnelles, tels qu’un numéro de téléphone ou une adresse mail, pour démarcher commercialement un individu sans en avoir obtenu préalablement son consentement explicite et éclairé. Il en va du fondement même de la notion de consentement⁴ telle qu’exprimée au sein du RGPD.

De plus, il est impératif pour une entreprise opérant de telles pratiques d’être pertinente dans le choix des données qu’elle traite et des personnes qu’elle vise. Elle ne peut légitimement pas baser sa prospection commerciale sur du vent et elle se doit d’étudier la pertinence de sa campagne à travers le prisme de la protection de la vie privée. L’idée est de ne pas faire n’importe quoi avec les données personnelles des consommateurs, il en va de leur vie privée.

Comme beaucoup l’auront remarqué, cela est d’autant plus vrai en cette période de Black Friday où tous les compteurs de la publicité s’affolent jours après jours. Profitons donc de cet évènement pour vous faire une petite piqure de rappel sur les bonnes pratiques, que ce soit du côté des commerçants B2C⁵ (A) mais aussi du côté des consommateurs (B).

A – Les bonnes pratiques de prospection commerciale B2C

Aujourd’hui, un commerçant ou e-commerçant est légitimement en droit de faire de la prospection par voie électronique auprès de consommateur si et seulement si :

Le consommateur ciblé a expressément consenti à être prospecté par la société commerçante ou par des sociétés partenaires (clairement énoncées, listées et distinguées de la première).

Le consommateur est (ou a été) client de cette entreprise depuis moins de 3 ans et qu’il a été formellement informé de la possibilité de prospections commerciales futures lors de son premier achat ou de sa demande de service (programme de fidélité compris). Attention, la prospection ne pourra se faire que sur des produits ou services analogues à ceux déjà fournis par l’entreprise.

Hormis ces deux hypothèses bien précises, aucune entreprise ne peut se permettre de démarcher un consommateur sur la base d’un fichier prospects « sauvagement » constitué et ou acheté en ligne.

Si une société dispose d’une base de données de prospection acquise auprès d’une source externe, elle doit alors s’assurer préalablement de la valeur de cette base et de la bonne collecte du consentement des personnes concernées par les données contenues dans cette base. Ce consentement doit impérativement être accordé à une société identifiée (ex : liste de « partenaires ») et être valable pour l’ensemble des traitements qui seront mis en œuvre par cette société. À titre d’exemple, si la société A, vendeuse de marteaux, achète un fichier client à la société B, vendeuse de clous, elle devra préalablement s’assurer que la société B a bien recueilli le consentement de ses clients. Ce consentement devra alors autoriser la société B à transférer leurs données à la société A à des fins de prospection commerciale.

De même que, si une entreprise dispose d’une base de données de prospects qui lui est propre mais dont la source de collecte est incertaine (car ancienne) ou que les consentements sont inexistants, incertains ou anciens de plus de trois ans, il lui est impératif de mettre à jour cette base en la « purgeant » des « vieux contacts inactifs ». Deux solutions s’offrent alors :

Soit supprimer radicalement toutes les données incertaines ;
Soit faire un mailing de mise à jour RGPD dans lequel sera intelligemment exposé aux destinataires le fait que les données sont comprises dans la base de prospection de la société et que celle-ci souhaite obtenir une confirmation de leur consentement à recevoir des communications commerciales de la part de ladite société. Cela devra être fait tout en rappelant : les traitements de données à consentir, que le consentement donné pourra être retiré facilement et à tout moment et que tout silence du destinataire vaudra refus (et entrainera une suppression de ses données de la base de prospect sous 60 jours). Il lui suffira ensuite de conserver les données dont le consentement est confirmé et de supprimer les données des destinataires n’ayant pas répondu, s’étant opposé au traitement ou dont l’adresse mail est défaillante.

Il n’y a là aucune solution miracle et le taux d’échec est malheureusement à prendre en considération lorsque l’on dispose d’une base de données prospects vieillissante.

De plus, deux conditions complémentaires sont à prévoir dans toutes vos campagnes de communication :

La société à l’initiative de cette campagne doit clairement pouvoir être identifiée par les consommateurs destinataires.
Les destinataires doivent pouvoir à tout moment et facilement s’opposer à recevoir d’autres communications commerciales de la société expéditrice. Ce sont les fameux liens de désinscription en bas de page.

B – Les bons réflexes du consommateur ciblé

Combien de consommateurs « victimes » de mailing commercial non consenti ont le réflexe aujourd’hui de cliquer sur le lien de désinscription ? Combien en informent la CNIL pour éviter que cela se reproduise ou arrive à d’autres ? Combien usent de leurs droits d’information et d’accès pour connaître les données détenues par ces entreprises commerciales et surtout leur source de collecte ?

Finalement, il nous conviendrait bien de ne plus recevoir de publicités par SMS. Mais il nous serait encore plus intéressant de savoir comment une célèbre marque de croquettes pour chat a pu obtenir notre numéro de téléphone – si précieusement protégé. Qui s’est rendu coupable d’un tel transfert, probablement non-consenti (ou de façon non-éclairée) ? Et bien, pourquoi ne pas le demander directement à la société nous ayant adressé cette publicité ? Certes la démarche risque de nous coûter quelques minutes de notre temps, mais c’est autant de minutes que nous ne perdrions plus à lire de la prospection impertinente, autant de forces que nous ne déploierions plus bêtement à supprimer nos mails, autant d’énergies d’économisées dans le fonctionnement des serveurs déjà surchargés de notre prestataire de messagerie électronique.

Voici donc, pour conclure cet article, le code de conduite du consommateur souhaitant davantage maîtriser ses données à caractère personnel face aux communications commerciales du Black Friday (ou du reste de l’année) :

L’AVANT :

Privilégier la navigation privée (paramètre commun à tous les navigateurs) ;
Créer une boite mail spéciale « e-commerce et inscriptions peu sérieuses » ;
Vérifier la fiabilité des sites ou des commerçants avant de les visiter ;

LE PENDANT :

Bloquer les cookies publicitaires (si possible) ;
Lire les politiques de confidentialité (lorsqu’elles existent…);
Examiner les petites lignes des contrats, CGV ou bons d’inscription de programme de fidélité avant d’y souscrire (ou de cocher une case) ;

L’APRES :

Penser au lien de désinscription des mails ou au STOP des SMS ;
Exercer ses droits individuels « Informatique et Libertés » tel que l’accès, l’opposition ou l’effacement (cf. CNIL) ;
Visiter les sites institutionnels dédiés à lutte contre le démarchage : Bloctel, Stop pub etc.
Ecrire à une association de consommateurs ou se renseigner sur les actions de groupe en cours ;
Porter plainte auprès de la CNIL (il est tout de même conseillé de contacter au préalable le commerçant en question et de vérifier s’il ne respecte pas les règles annoncées plus haut).

Voilà, nous n’avons plus qu’à souhaiter un bon shopping aux adeptes du Black Friday et de bonnes démarches RGPD à tous les autres.

—————————————————————————————————————————————————————-

_{1- Règlement Général sur la Protection des Données (à caractère personnel).}

_{2- Date d’entrée en application du RGPD.}

_{3 – Marketing de masse ou ensemble d’actions publicitaires indifférenciées proposant un message ou une offre peu ou pas personnalisé.}

_{4- « Toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ». (Article 4 §11 RGPD)}

_{5 – B2C ou Business to consumer (Marché d’un professionnel à un consommateur)}