Bases juridiques à vos traitements de marketing direct
Il appartient au responsable du traitement de démontrer qu’il dispose d’une base juridique pour les traitements qu’il réalise. Sans base juridique, il n’y a pas de traitement autorisé, ce qui constitue une infraction au RGPD. L’APD pas plus que le RGPD n’impose un choix spécifique de base juridiques pour les traitements de données réalisées aux fins de marketing direct. Il apparaît toutefois en pratique que les deux bases juridiques les plus courantes sont celles du consentement d’une part, et des intérêts légitimes d’autre part.
Mis à part des cas très précis prévus par ces éventuelles lois, aucune base juridique n’est automatique. Il vous faut tenir compte du contexte du traitement que vous souhaitez mettre en place.
Aucune hiérarchie n’existe entre les bases juridiques prévues par le RGPD. Il vous appartient par contre d’être en mesure de démontrer que votre traitement s’appuie valablement sur une des bases juridiques édictées par l’article 6 du RGPD (et 9.2 du RGPD, le cas échéant).
En marketing direct, la plupart du temps, ressortent les bases juridique du consentement et des intérêts légitimes.
Ces bases juridiques impliquent chacune le respect de critères spécifiques à leur fonctionnement qui, à défaut, entraîne l’invalidation de la base juridique et donc rend illégal le traitement concerné.
- Vos intérêts soient effectivement légitimes. A cet égard, le RGPD indique que le traitement de données à des fins de marketing direct peut être considéré comme réalisé pour répondre à un intérêt légitime.
- Le traitement soit nécessaires à servir l’intérêt que vous ou un tiers poursuivez.
- À ce que la mise en balance des intérêts en présence, à savoir les vôtres ou ceux des tiers, face à ceux des personnes concernées, penche en faveur de vos intérêts. Pour cela, il vous faudra particulièrement tenir compte de deux choses des attentes raisonnables des personnes concernées.
- Le droit d’opposition dont jouissent les personnes concernées dont vous traitez les données à caractère personnel sur la base de vos intérêts légitimes, leur soit soumis dès la première communication et qu’il soit facile à exercer et effectif une fois exercé. Lorsqu’elles s’opposent, vous devez impérativement cesser tout traitement de leurs données réalisés à des fins de marketing direct.
- L’information soit fournie aux personnes concernées, selon les règles des dispositions 13 et/ou 14 du RGPD, selon qu’il s’agisse d’une collecte directe ou indirecte de données.
- Le consentement soit éclairé. Autrement dit, que la personne concernée ait eu accès à toute l’information claire, accessible et complète sur ce à quoi elle consent. Soyez particulièrement transparent en cas d’opérations d traitement plus intrusives, comme vos éventuelles opérations de profilage.
- Le consentement soit libre.
- Le consentement soit spécifique.
- Le consentement soit univoque.
- La personne puisse retirer son consentement à tout moment.
- Vous puissiez démontrer avoir recueilli un consentement valable.