-
Accéder à votre espace personnel
Accédez pour charger la liste de vos coupons !
Conformité RGPD des bases de données B2B de Bancomail
La conformité au RGPD d’une base de données B2B nécessite de distinguer entre les données des personnes morales et les contacts pouvant être rattachés à des personnes physiques, avec une base juridique documentée pour chaque traitement. Bancomail applique l’intérêt légitime pour le marketing direct, formalisé dans une analyse d’intérêt légitime (LIA), une traçabilité de bout en bout des données et la supervision du DPO. Sur plus de 11 000 000 enregistrements, les droits d’information, de mise à jour et d’opposition des contacts sont garantis.
Avec l’entrée en vigueur de la loi 196/03 (« Code de la protection de la vie privée ») et, en 2018, du RGPD, les législateurs ont confirmé à quel point il était crucial que les sujets traités soient en phase avec leur époque et ont, de fait, conçu des textes de loi modernes, orientés vers le monde numérique.
Néanmoins, en raison de la nature intrinsèque des lois et des réglementations, de nombreux acteurs du conseil se sont immédiatement limités à craindre des risques élevés et généralisés sans analyser soigneusement le contexte dans lequel le monde du Direct Marketing se trouve à la lumière des nouvelles réglementations.
En collaboration avec notre service juridique et en accord avec les acteurs les plus influents du secteur du marketing direct, nous avons mené et maintenons à jour une analyse précise et rigoureuse du cadre réglementaire du RGPD applicable à notre domaine.
Il ressort de cette analyse que le RGPD ne limite pas seulement l’activité opérationnelle globale, mais l’étend et la précise dans son contexte. Les procédures de Bancomail ainsi que les types de données traitées sont donc conformes au RGPD.
Ci-dessous un extrait de notre analyse.
La base de données de Bancomail
La base de données de Bancomail contient à ce jour plus de 11 000 000 de fichiers d'entreprises, d'associations et de professionnels indépendants. On compte 2 cas/types de données :
1Le cas précis:
Full Legal Person
Représente 75 % du nombre total de fichiers présents dans notre base de données : entreprises, associations et organismes avec différentes formes juridiques et données générales de contact (ex. : info@) ou de contact départemental (ex. : marketing@, ventes@, etc.).
Ces sujets sont clairement exclus de la protection du règlement sur la base du considérant 14 du même règlement, dont nous rendons compte dans son intégralité :
The protection afforded by this Regulation should apply to natural persons, whatever their nationality or place of residence, in relation to the processing of their personal data. This Regulation does not cover the processing of personal data which concerns legal persons and in particular undertakings established as legal persons, including the name and the form of the legal person and the contact details of the legal person.
Cependant, pour la déontologie et une meilleure garantie, - bien que cette exclusion de la protection du traitement ait déjà été incluse dans le règlements antérieurs - nous avons toujours assuré à ces sujets les droits universels (information, vérification, mise à jour et suppression). Nous continuerons à le faire aussi avec le RGPD.
Dans la même perspective vertueuse et stratégique, nous conseillons à nos clients d'utiliser le même type d'approche, assurant aux destinataires information et droits.
2Le cas mixte:
Legal Person with natural person contact data
C'est un cas beaucoup moins fréquent dans notre base de données, mais existant. Les données de contact qui identifient incidemment la "personne physique" peuvent apparaître selon deux schémas :
a) [email protected]
b) [email protected]Dans le premier cas, la personne est clairement identifiée par l’activité de l’entreprise à laquelle elle est rattachée ; le second cas concerne principalement des professions libérales et indépendants qui utilisent, même à des fins professionnelles, des données de contact identifiant clairement la “personne physique”, au-delà de son statut professionnel. Remarque : cette catégorie n’inclut pas les associations ou cabinets professionnels, qui relèvent en pratique des personnes morales.
Dans les deux cas, il y a 2 arguments de la même importance :
-
A
Si l'adresse e-mail (ou le nom et prénom, le bureau, etc.) a été conférée par le sujet, en l'indiquant comme coordonnées de contact pour son entreprise, la même action les fait clairement entrer dans l'exclusion du considérant 14.
-
B
Si au contraire (au-delà des intentions de l'orateur) vous voulez considérer ces données comme se référant à la « Natural Person », le droit au traitement est garanti par deux autres considérants de la loi : 47 et 70.
En particulier, le 47 écrit, en guise de conclusion :
The processing of personal data for direct marketing purposes may be regarded as carried out for a legitimate interest.
Par conséquent, si l'intérêt légitime vise le direct marketing, le traitement de ce type de données est autorisé. Dans ce cas toutefois, la garantie des droits de la personne concernée n’est plus un choix, mais une obligation. Cela signifie informer clairement le destinataire du traitement et de ses finalités, tout en lui garantissant l’exercice de ses droits.
La transmission de la notice d’information constitue également l’occasion de présenter son activité ainsi que l’objet de la promotion éventuelle.
D'autres choses que nous faisons pour assurer la compatibilité avec le RGPD :
1DPO: Bien que le règlement ne nous y oblige pas, nous avons recours à un délégué à la protection des données (DPO) pour superviser toutes les procédures relatives au traitement des données et à l'identification des problèmes critiques.
2LIA: est un audit interne (« Legitimate Interest Assessment ») qui sert à mettre sur papier et à archiver l'évaluation faite par l'équipe Database et DPO, dans le respect de notre intérêt légitime et de l'intérêt légitime de nos clients.
Ce document tient compte d'un « test d'équilibre » objectif pour vérifier que les intérêts individuels ne l'emportent pas sur les nôtres.
3TRACKING: Depuis la naissance de Bancomail, nous avons créé des routines pour suivre les données que nous donnons. Chaque enregistrement contient toutes les données relatives à l'extraction (date, source, etc.) et les références (nom et heure) de ceux à qui nous l'avons fourni.
Cette approche est très importante pour être pleinement compatible avec le Règlement.
4ISO 27001: bien que cela ne soit pas strictement lié à la réglementation, notre société a adopté la certification ISO 27001 pour la gestion de la sécurité de l’information. Dans cette même optique, nos systèmes sont depuis des années à la pointe, en appliquant des technologies avancées de protection des données.
Et alors ?
L’analyse montre que les dispositions du RGPD non seulement ne constituent pas un problème pour nos clients et les spécialistes du marketing en général, mais - à bien des égards - clarifie et élargit les possibilités liées au direct marketing en ouvrant des voies (par exemple la possibilité de transfert de données de « contacts » internes) qui auparavant, en raison de lacunes réglementaires, restaient dans l'obscurité.
-