| Date de parution: 11/2007 Une simple Déclaration à la CNIL Lorsqu'une entreprise entend constituer une liste de personnes physiques, elle doit préalablement déclarer ce fichier à la Commission nationale informatique et libertés (CNIL). Pour ses fichiers de clients et de prospects, la formalité est relativement simple : l'entreprise peut se limiter à effectuer une déclaration de conformité à la norme simplifiée 48. En pratique, il s'agit de compléter un formulaire accessible sur « www.cnil.fr » (aller dans « Déclarer », puis « Mode d'emploi », sélectionner « Comment déclarer » puis « Les déclarations de conformité » et cliquer sur « Déclaration de conformité à une norme simplifiée »). La déclaration peut être immédiatement transmise à la CNIL par Internet. Les personnes « fichées » n'ont pas toujours leur mot à dire Règle de l' « opt out ». L'entreprise n'a pas besoin d'un accord préalable pour collecter une adresse postale ou un numéro de téléphone (sauf si elle envisage l'utilisation d'un automate d'appel). C'est la règle dite de l' « opt out ». Règle de l' « opt in ». En revanche, l'entreprise doit obtenir l'accord des personnes physiques (accord exprès et préalable à toute prospection) dont elle collecte : - l'adresse e-mail ; - le numéro de fax ; - ou le numéro de téléphone pour une prospection par automate d'appel. C'est la règle dite de l'« opt in ». Toutefois, cette règle est plus ou moins rigoureuse suivant les modes de prospection envisagés et la clientèle ciblée (voir le tableau p. 18). information des personnes dont le nom est collecté Dans tous les cas, les personnes auprès desquelles sont recueillies des informations nominatives doivent être informées : - de l'identité du responsable du traitement (c'est-à-dire de l'entreprise qui collecte les données) et, le cas échéant, de celle de son représentant (par exemple, le nom du gérant si le responsable du traitement est une SARL) ; - de la finalité poursuivie par le traitement (par exemple, la constitution d'un fichier de clients et de prospects) ; - du caractère obligatoire ou facultatif des réponses ; - des conséquences d'un défaut de réponse ; - des destinataires des données (par exemple, de la transmission des données à des partenaires commerciaux) ; - de l'existence d'un droit d'accès et de rectification (voir p. 16) ; - du droit de s'opposer à ce que ces informations soient utilisées à des fins de prospection (voir p. 16) ; - le cas échéant, des transferts de données envisagés hors Union européenne. Droit d'accès des personnes dont le nom est collecté Toute personne physique a le droit (en justifiant de son identité) d'interroger le responsable du fichier pour : - avoir confirmation que des données la concernant sont dans le fichier ; - savoir comment ces données ont été obtenues ; - connaître précisément ces données, la finalité du fichier et les personnes auxquelles les données sont communiquées. Droit à une copie. Une copie des données à caractère personnel doit être délivrée à l'intéressé à sa demande. Il ne peut lui être demandé que le paiement d'une somme symbolique (au plus, le coût de la reproduction). Refus du responsable du fichier. Le responsable du fichier peut s'opposer aux demandes manifestement abusives (notamment par leur nombre ou leur caractère répétitif). En cas de contestation, la charge de la preuve du caractère abusif des demandes incombe au responsable du fichier. Droit de rectification des personnes « fichées » Toute personne physique peut (en justifiant de son identité) exiger du responsable du fichier de rectifier, compléter, mettre à jour, verrouiller ou d'effacer les données la concernant qui sont inexactes, incomplètes, équivoques ou périmées. Lorsque des modifications sont ainsi apportées, le responsable du fichier doit justifier, sans frais pour la personne qui en a fait la demande, des opérations qu'il a effectuées. Il doit également communiquer ces rectifications aux tiers à qui il avait transmis les données erronées (par exemple, s'il prête le fichier à d'autres entreprises). Droit d'opposition des personnes dont le nom est collecté Toute personne physique a le droit de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement. Toute personne physique peut également s'opposer à ce que les données la concernant soient utilisées à des fins de prospection, notamment commerciale. En d'autres termes, une personne est en droit de demander que son nom et ses coordonnées soient retirés du fichier si elle peut présenter « un motif légitime ». Mais, sans avoir à justifier de quoi que ce soit, elle peut demander que son nom et ses coordonnées ne soient utilisés dans aucune prospection. Le droit d'opposition ne doit pas occasionner de frais à la personne qui l'exerce. Faut-il rappeler le droit d'opposition lors de chaque prospection ? Cette obligation est expressément prévue pour les prospections par voie d'e-mail, de fax ou par automate d'appel. Chacune de ces prospections doit « indiquer des coordonnées valables auxquelles le destinataire [peut] utilement transmettre une demande tendant à obtenir que ces communications cessent sans frais autres que ceux liés à la transmission de celles-ci ». S'agissant des prospections par courrier postal ou par téléphone (autres que par automate d'appel), il n'est pas obligatoire de rappeler le droit d'opposition. Cession et échange de fichiers L'entreprise souhaite céder son fichier. Pour qu'une entreprise puisse céder son fichier clients (ou le mettre gratuitement à disposition d'une autre entreprise), elle doit : - en avoir informé les personnes fichées au moment de la collecte de leurs coordonnées ; - avoir obtenu leur accord dans les cas où la règle de l'« opt in » s'applique (voir le tableau p.18). L'entreprise souhaite acheter ou louer un fichier. Lorsqu'une entreprise souhaite utiliser un fichier (qu'elle n'a pas elle-même constitué) dans le cadre d'une prospection par Internet, elle doit demander, à la société qui met ce fichier à sa disposition, la garantie qu'il peut être entièrement utilisé en toute légalité, c'est-à-dire que les particuliers ont bien donné leur accord pour recevoir des e-mails et qu'il ne contient pas de coordonnées de personnes qui se sont opposées à être prospectées. Les conditions de déclaration d'un fichier nominatif de clients à la CNIL ont été considérablement simplifiées.
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||