Le partage public de données personnelles implique-t-il un consentement à la collecte et au traitement ?
Supposons qu'un citoyen de l'UE publie ses informations personnelles, telles que son nom et ses coordonnées en ligne, par exemple sur les réseaux sociaux.
Si je voulais les contacter à titre professionnel par e-mail, aurais-je leur consentement implicite pour le faire ?
D'après ce que j'ai compris, je dois effectuer une multitude d'actions avec leurs données personnelles avant même que quoi que ce soit ne leur parvienne :
- collecter personnellement leurs données auprès de tiers (plateforme de médias sociaux) ;
- les traiter aux fins de rédaction d'un e-mail ;
- la partager avec mon fournisseur de messagerie, qui procède ensuite à sa conservation indéfiniment pendant que j'en conserve l'accès ;
- pendant ce temps, leurs données peuvent facilement traverser un certain nombre de frontières internationales.
Cela constitue-t-il une utilisation légitime ?
Suis-je obligé de les informer dès que je les contacte de ces actions en cours ?
Dois-je les informer de la possibilité de choisir de communiquer avec moi ?
Pour le contexte de cette question, j'utilise spécifiquement leur e-mail personnellement, et non dans le cadre d'une attaque de spam marketing automatisée "pray&spray".
Réponses
Le RGPD protège les données personnelles publiques à peu près de la même manière que les données non publiques, ce qui signifie : vous ne pouvez traiter les données que si vous avez un objectif clair et une base juridique. C'est l'objectif qui détermine la base juridique de l'article 6 du RGPD sur laquelle vous pouvez vous appuyer, comme le consentement (opt-in) ou l'intérêt légitime (opt-out).
Sommaire:
- vous pouvez ou non être en mesure de les contacter, selon le contexte dans lequel les informations de contact ont été publiées et le but pour lequel vous les contactez
- le consentement est délicat, mais dans une certaine mesure, il peut être implicite
- se fonder sur l'intérêt légitime nécessiterait un test de mise en balance
- oui vous devez informer la personne concernée
- oui, vous devez donner la possibilité de vous opposer ou de retirer votre consentement
- Vous devez même être prêt à recevoir une objection à tout moment, puis à supprimer les données.
Lorsque vous n'avez pas obtenu les coordonnées directement de la personne concernée, il sera difficile de prétendre que vous avez obtenu le « consentement ». Le consentement n'a pas besoin d'être une déclaration telle que "je consens", mais peut également être donné par une "action affirmative claire". Ce qui est important, c'est que les souhaits de la personne concernée soient sans ambiguïté.
Ainsi, par exemple, s'il y a une publication sur les réseaux sociaux concernant la recherche d'emploi et que la personne concernée commente publiquement avec son adresse e-mail, il est alors probablement acceptable de contacter la personne concernée avec une offre d'emploi. L'affichage des coordonnées dans ce contexte est une action assez claire indiquant les souhaits de la personne concernée. Mais le consentement est limité à un objectif. L'utilisation de cette adresse e-mail avec une offre de peindre leur maison ne passerait pas sous le consentement comme base légale - mais vous pourriez avoir un intérêt légitime ?
L'intérêt légitime exige que vous exprimiez cet intérêt et que vous le mettiez ensuite en balance avec les droits et libertés de la personne concernée. Qu'est-ce qui est le plus important : que vous puissiez envoyer ce message ou que la personne concernée ne soit pas dérangée ? La personne concernée s'attendrait-elle à cette utilisation de ses données ? Il s'agit d'un jugement de votre part. L'ajout de mesures de sécurité au-delà de celles requises par la loi peut faire pencher la balance en votre faveur, mais cela est difficile à faire. L'utilisation de l'intérêt légitime donne lieu au droit d'opposition de l'article 21 du RGPD (opt-out).
Lors de l'envoi de communications électroniques non sollicitées, il est important de tenir compte de la directive ePrivacy en plus du RGPD. L'ePD Art 13 interdit le marketing direct automatisé tel que les e-mails de masse, sauf si le destinataire y a consenti. Cependant, j'ai lu cet article comme autorisant les messages envoyés par des humains ou des messages qui ne sont pas du "marketing direct". Mais dans tous les cas, vous devez permettre au destinataire de retirer facilement son consentement / de s'opposer à un traitement ultérieur.
Que les données aient été obtenues de sources publiques ou non publiques, votre traitement de ces données devra probablement être conforme au RGPD. Lorsque vous utilisez des services tiers, ils doivent agir en tant que votre sous -traitant, ce qui nécessite un contrat conformément à l'article 28 du RGPD . Si vous utilisez un fournisseur de messagerie ou un CRM à des fins commerciales, ils doivent devenir votre sous-traitant. Lorsque vous exportez des données vers un pays non membre de l'UE, vous devez protéger ce transfert international conformément au chapitre 5 du RGPD, par exemple par le biais de clauses contractuelles types avec l'importateur de données.
Outre les obligations générales de conformité, vous devez tenir compte de l'article 14 du RGPD. Cet article décrit les informations que vous devez fournir à la personne concernée concernant votre traitement lorsque vous n'avez pas obtenu les données directement auprès de la personne concernée. Essentiellement, cela signifie que vous devez leur donner une politique de confidentialité. Conformément à l'article 14(2)(f), vous devez indiquer la source de leurs données, par exemple le réseau de médias sociaux où vous avez trouvé leurs coordonnées. Vous devez fournir ces informations lorsque vous divulguez ces données à quelqu'un d'autre, lors de votre première communication avec la personne concernée, ou dans un délai raisonnable après l'obtention des données, au plus tard dans un délai d'un mois.