par Sylvain Staub Avocat à la Cour

Article précédent: Quelle légalité pour les dispositifs anticopie? (28/10/03)

Le futur régime de la prospection directe se dessine progressivement dans le cadre du projet de loi pour la confiance dans l'économie numérique (dit "projet de LCEN"). Un temps, le principe général de la protection des "abonnés" a semblé globalement acquis. Depuis la modification du projet de LCEN par le Sénat en juin 2003 puis par la Commission parlementaire le 10 décembre, cette protection semble curieusement échapper aux "abonnés personnes morales", derrière lesquels il y a pourtant nécessairement des personnes physiques.

La distinction progressive faite entre prospection de personnes physiques et morales
La Directive "Vie privée et communications électroniques" du 12 juillet 2002 pose le principe du consentement préalable et d'un régime dérogatoire de droit d'opposition préalable, pour la prospection des personnes physiques. Elle laisse aux Etats membres le choix du régime pour la prospection des personnes morales.

L'Assemblée nationale a choisi en février 2003 de ne pas distinguer le caractère physique ou moral de la personne prospectée. Elle a ainsi étendu aux personnes morales le double régime du consentement et du droit d'opposition préalables. Si les modalités d'application de ce double régime étaient incontestablement perfectibles, la solution retenue était globalement favorable à toutes les personnes prospectées, qu'elle le soit à titre personnel ou professionnel..

Pourtant, en juin 2003, répondant partiellement aux souhaits des professionnels du marketing direct, le Sénat a exclu de ce double régime protecteur la prospection des entreprises inscrites au RCS. Seules les entreprises non inscrites au RCS (principalement les associations, professions libérales ou artisans…) auraient ainsi bénéficié du régime protecteur défini par l'Assemblée nationale, sans d'ailleurs que l'on sache comment en pratique les professionnels du marketing direct auraient pu faire cette distinction.

Bien plus, le 10 décembre, répondant plus avant au lobby des professions concernées, la Commission en charge du projet de LCEN à l'Assemblée nationale a exclu du double régime protecteur l'ensemble des personnes morales. Certes, cet amendement adopté en Commission a le mérite de supprimer l'inapplicable distinction liée à l'inscription au RCS. Mais il confirme en la renforçant la distinction entre la protection des personnes physiques et la prospection des personnes morales, laissant celles-ci dans un régime flou et dangereux.

Le futur cadre possible
Si le vote de cet amendement était finalement confirmé par les députés le 8 janvier prochain (et confirmé ensuite par les sénateurs), il semble que la situation serait en pratique la suivante.

Pour les fichiers de prospection en BtoC : consentement préalable
La prospection (en dehors de toute relation contractuelle préalable) ne pourra être faite qu'après le consentement préalable de la personne physique visée.

C'est le cas où la personne physique a donné son accord pour recevoir à l'avenir des prospections de celui qui collecte ses coordonnées, et éventuellement de ses partenaires. Ce régime permet à l'industrie du marketing direct de poursuivre les campagnes d'e-mailing de prospection à partir de fichiers opt-in, en protégeant les personnes qui n'ont pas accepté que leurs coordonnées fassent l'objet d'un traitement.

Il reste néanmoins à définir comment le consentement préalable doit être donné de manière libre et éclairé (en application de la directive du 24 octobre 1995). Les pratiques d'acquisition des consentements par contrats d'adhésion, cases pré-cochées ou incitations diverses (loteries, rabais, avantages…) permettent-elles encore d'obtenir un réel consentement ?

Pour les fichiers de fidélisation en BtoC : droit d'opposition préalable
Lorsqu'une personne physique a communiqué "directement" son adresse électronique (ou son numéro de téléphone portable) dans le cadre d'une "vente d'un produit ou d'un service", elle pourra se voir adresser d'autres "produits ou services", dès lors qu'elle aura eu la faculté de s'y opposer lors de la collecte des données et qu'elle pourra s'y opposer à réception de chaque prospection.

Ce régime du droit d'opposition préalable (prior opt-out), prévu par la directive du 12 juillet 2002, est extrêmement protecteur des intérêts de la personnes physique puisqu'il ne permet pas la pratique des prospections adressées par des émetteurs inconnus (les partenaires du collecteur). Seule l'entreprise qui a collecté "directement" les coordonnées pourra utiliser à l'avenir celles-ci pour proposer d'autres de ses propres produits ou services.

En conséquence, le marketing croisé de fidélisation et la location de fichiers sembleraient condamnés, ce qui n'est pas sans créer de légitimes inquiétudes pour le marché français du marketing direct. Quant aux rapprochements de sociétés par fusions ou acquisitions, ils devraient ne plus donner lieu qu'à des rapprochements très contrôlés des fichiers clients respectifs. Il y a vraisemblablement ici un juste équilibre à trouver entre la protection de la vie privée et la liberté du commerce.

Pour les fichiers BtoB : une absence dangereuse de cadre réglementaire
En l'état, le projet de LCEN s'oriente vers une exclusion des fichiers BtoB du double régime protecteur applicable aux fichiers BtoC.

Ainsi, il serait possible de prospecter toute personne morale qui ne s'y sera pas expressément opposée, sans que cette opposition n'ait pu se faire au stade de la collecte des données. En conséquence, à défaut d'avoir inscrit les adresses électroniques et les numéros de téléphone portable de tous leurs employés dans des annuaires d'opposition, et sous réserve de l'efficacité et de la sécurité de ces annuaires, les entreprises pourraient subir, sans réelle limite et encadrement, un très grand nombre d'envois de prospections non sollicités.

Pourquoi faudrait-il distinguer les fichiers BtoB des fichiers BtoC ?
Si le régime envisagé pour les fichiers BtoC peut bien entendu être clarifié et amélioré, il n'en reste pas moins globalement légitime et cohérent. La plupart des professionnels du marketing direct avait d'ailleurs anticipé l'adoption du principe du consentement préalable pour les fichiers de prospection, y compris pour le BtoB, en constituant, plus ou moins sérieusement il est vrai, des bases opt-in.

Rien ne semble justifier une différence de traitement entre les fichiers de "personnes physiques" et de "personnes morales".

Qu'en est-il de la doctrine classique de la CNIL selon laquelle les adresses électroniques et les numéros de téléphone portable sont des données personnelles, même lorsqu'ils ont un caractère professionnel ? Pourra-t-on désormais dire que certaines coordonnées professionnelles (lesquelles ?) ne sont pas des données personnelles au sens de la loi "informatique et libertés" de 1978 ? Dans ce cas, ces coordonnées professionnelles pourraient alors être collectées en dehors du principe de loyauté protégé par la CNIL.

Comment définir a priori qu'une adresse électronique est professionnelle? Est-ce la cas pour "prénom.nom@société.com", "contact@société.com", "initiales@société.com", "pseudo@opérateur.com"… ? Et comment définir avec certitude qu'un numéro de téléphone portable est professionnel ? Un ordinateur et un téléphone professionnels ne pourraient-ils pas être "de fonction" et être utilisés à titre personnel le soir, le week-end ou en vacances ? A quel titre un professionnel (qui est aussi une personne physique) devrait-il gérer ou filtrer, où qu'il se trouve et à tout moment, des courriers électroniques, des SMS ou des MMS non sollicités sur son ordinateur portable, son PDA, son téléphone ? Doit-il être condamné à changer régulièrement de coordonnées pour éviter le spam ? Toutes les entreprises (même les plus petites) peuvent-elles investir lourdement en infrastructure et en logiciels de filtre ?

Enfin, est-il raisonnable de créer une catégorie particulière d'adresses électroniques susceptibles d'être prospectées sans limite ?

Il serait préférable que les parlementaires ne distinguent plus le caractère personnel ou professionnel des coordonnées collectées. Ils pourraient en revanche se concentrer d'une part sur l'équilibre à trouver entre protection des destinataires (quels qu'ils soient) et liberté du commerce, et d'autre part sur l'efficacité pratique de la sanction des collectes et des traitements illégaux de données. Le tout en clarifiant un projet de loi aujourd'hui bien obscure.

Si ce débat de fond est essentiel pour la régulation du marché français du marketing direct, il convient toutefois d'en relativiser la portée pratique. Selon la CNIL, 95% des courriers électroniques non sollicités proviennent de l'étranger. Sur ce gigantesque flux de spam, la future LCEN n'aura quasiment aucun impact. Faut-il pour autant abandonner le naïf souhait d'un droit à la tranquillité pour toute personne disposant d'un numéro de téléphone ou d'une adresse électronique ?

[sylvainstaub@wanadoo.fr]

Sommaire de la rubrique