Ma e-communication peut-elle être interdite en tant que spam ou usage illicite de données ? (suite)
(f) Application au cas Janssens-Quidam
Pour annoncer le lancement du cat hat, Janssens-Quidam n’a pas seulement utilisé les blogs et forums.
D’abord, profitant des données qui avaient été récoltées lors d’un jeu concours un mois auparavant pour un autre produit de Janssens-Quidam, Léon (responsable « marketing ») a envoyé une annonce de lancement du cat hat par e-mail aux participants du concours. L’e-mail, envoyé depuis l’adresse ‘marketing@janssens-quidam.be’, contenait quelques images (principalement des photos d’employés portant le chapeau à divers endroits connus de Londres, Paris et Amsterdam) ; le corps de l’e-mail était pourtant fort limité :
« Chère amie JQ, cher ami JQ,
Nous avons le plaisir de vous annoncer le lancement d’un nouveau produit par Janssens-Quidam SA, le « cat hat ». Rendez-vous tout de suite sur www.janssens-quidam.be pour en commander et pour partager vos photos avec cet accessoire insolite.
A très bientôt,
L’équipe Janssens-Quidam »
En outre, au nom de Janssens-Quidam, il a écrit un poste similaire sur le « mur » Facebook de l’entreprise.
Enfin, certains employés de Janssens-Quidam ont également envoyé des e-mails à l’ensemble de leurs contacts. Par exemple, Léon, qui souhaitait diriger ses contacts vers le site web de Janssens-Quidam, a envoyé un e-mail similaire depuis l’adresse ‘marketing@janssens-quidam.be’, plutôt que depuis son adresse Gmail personnelle, signant cette fois avec son prénom.
N’ayant pas les adresses e-mail de tous ses contacts, il a également envoyé des messages privés sur Facebook avec le même contenu que l’e-mail envoyé à ses contacts.
Heureusement pour Léon et pour Janssens-Quidam, aucune réaction négative n’est survenue. Il aurait pourtant été plus prudent de réfléchir aux implications de l’envoi de tous ces messages électroniques en termes de spamming et d’utilisation des données à caractère personnel.
Dans cet exemple, quatre opérations distinctes sont à examiner :
(i) E-mail aux participants d’un concours précédent
Par la première opération, l’entreprise utilise des données à caractère personnel (i) récoltées par elle-même (ii) dans le cadre d’une opération de marketing direct.
La légitimité du traitement des données à caractère personnel dépendra ainsi des conditions générales de participation au concours. Si celles-ci prévoient expressément que le participant consent à l’utilisation de ses données à caractère personnel à des fins de marketing direct, Janssens-Quidam peut se fonder sur le consentement du destinataire (le participant) pour asseoir la légitimité du traitement au sens de la LVP.
En outre, si l’autorisation susmentionnée vise expressément le marketing direct par courrier électronique, le courrier électronique en question ne sera en principe pas qualifié de spam au sens de la LSSI. À défaut, l’entreprise pourra éventuellement tenter de contester la qualification de spam en invoquant l’exception de « soft opt-in » (décrite précédemment).
Enfin, il convient de rappeler le caractère sommaire du texte envoyé par e-mail. En omettant d’informer le destinataire concernant son droit de s’opposer à l’envoi de publicités pour l’avenir et en omettant de mettre à la disposition du destinataire un moyen approprié d’exercer ce droit, Janssens-Quidam s’est rendue coupable d’une infraction supplémentaire à la LSSI.
(ii) Message sur Facebook aux fans de l’entreprise
S’il était encore possible en septembre 2011 d’envoyer un message privé à tous les fans d’une entreprise, cette possibilité a été retirée depuis.
À l’heure de la mise en ligne de ce site web, l’administrateur du compte Facebook d’une entreprise ne peut interagir avec les « fans » sur Facebook que de deux manières :
- l’envoi d’un message privé à condition d’avoir été contacté par le fan et
- la rédaction de mises à jour sur le mur Facebook de l’entreprise.
Dans le cas de Janssens-Quidam, Léon a posté un message sur le mur Facebook de l’entreprise au nom de cette dernière, de sorte que les « fans » de l’entreprise sur Facebook voient le message apparaître dans leur liste de mises à jour récentes (le « News Feed »). Ce faisant, Janssens-Quidam ne procède elle-même à aucun traitement de données à caractère personnel et n’émet pas non plus de courrier électronique : il s’agit d’une communication publique (telle que définie précedemment) qui ne peut dès lors pas être qualifiée de spam.
(iii) E-mail aux contacts personnels d’un employé depuis une adresse professionnelle
Par la troisième opération, l’entreprise (et non Léon) est considérée être l’émetteur de l’e-mail, puisque ce dernier part depuis l’adresse professionnelle de Léon (marketing@janssens-quidam.be). Les destinataires sont les contacts personnels de Léon. Dans un tel cas, l’entreprise elle-même n’a jamais reçu l’autorisation des personnes concernées d’utiliser leurs données.
En outre, on rappellera l’importance de prévoir la possibilité pour les destinataires de s’opposer à l’envoi de courrier électronique à caractère publicitaire pour l’avenir.
L’envoi d’e-mail publicitaire aux contacts personnels d’un employé est dès lors à éviter, sauf si cet e-mail est précédé d’un e-mail de l’entreprise requérant l’autorisation des personnes concernées d’utiliser leurs données.
(iv) Message privé sur Facebook aux contacts personnels d’un employé
La quatrième opération, quant à elle, constitue l’utilisation par une personne physique de données à caractère personnel qu’elle a elle-même récoltées. Toutefois, il est vraisemblable que les données ont été récoltées dans un cadre purement personnel (surtout s’il s’agit d’« amis Facebook », puisque Facebook est encore à l’heure actuelle majoritairement utilisé à des fins exclusivement personnelles par les personnes physiques).
Cependant, les règles de la LVP s’appliquent également aux traitements de données à caractère personnel effectués par une personne physique pour l’exercice d’activités commerciales (article 3 §2 LVP).
Par conséquent, il conviendra d’appliquer un raisonnement similaire que pour les e-mails envoyés aux contacts personnels (voy. point (iii) ci-dessus) et de dès lors éviter pareils messages privés sur Facebook.