Le suivi d'e-mail est-il légal au regard du RGPD ?

Réponse courte : ça peut l'être, et la responsabilité vous appartient, pas à votre outil. Réponse longue : ça dépend de à qui vous écrivez, pourquoi, et de ce que vous faites du résultat.

Sommaire

Ceci n'est pas un conseil juridique. C'est un résumé pratique de la façon dont la question est habituellement posée dans l'Union européenne, pour que vous puissiez avoir une conversation informée avec un professionnel qualifié si vous en avez besoin.

Ce dont parle vraiment la loi

Enregistrer qu'une personne a ouvert un e-mail, à un moment donné, depuis un appareil donné, est un traitement de données personnelles. Le RGPD s'applique donc. Deux questions suivent : avez-vous une base légale, et avez-vous été transparent.

Pour l'e-mail professionnel un à un, la base habituelle est l'intérêt légitime : vous avez une vraie raison commerciale, le traitement est proportionné, et il ne l'emporte pas sur les droits de la personne. Ce raisonnement tient bien mieux pour un devis que vous envoyez à un client qui l'a demandé que pour une campagne froide vers une liste achetée.

La distinction qui compte le plus

Il y a un grand écart entre deux pratiques qui utilisent la même technologie :

• Suivre un message précis que vous avez une raison d'envoyer. Un devis, une proposition, une relance dans une conversation en cours. Étroit, ciblé, proportionné.
• Tout suivre, en permanence, sur tout le monde. Un registre systématique de qui lit quoi et quand, sur toute votre correspondance. Bien plus difficile à justifier, et bien plus difficile à expliquer si quelqu'un demande.

C'est pourquoi un curseur par e-mail n'est pas qu'une préférence d'interface. C'est ce qui rend la première pratique possible et la seconde un choix délibéré plutôt qu'un défaut.

La transparence

La transparence ne signifie pas annoncer un pixel de suivi dans chaque signature. Elle signifie que si quelqu'un demande quelles données vous détenez à son sujet, vous pouvez répondre, et que votre politique de confidentialité reflète ce que vous faites réellement.

Si vous envoyez des e-mails commerciaux à un certain volume, votre politique de confidentialité devrait mentionner que vous mesurez les ouvertures, pourquoi, et combien de temps vous conservez la donnée.

Des droits que vous devez pouvoir honorer

Sous le RGPD, la personne à qui vous avez écrit peut demander ce que vous détenez, demander une correction, demander une suppression, et s'opposer au traitement. En pratique, pour le suivi d'ouverture, cela veut dire pouvoir trouver et supprimer les enregistrements pour un destinataire donné.

Choisissez un outil qui vous permette de le faire. Si vos données sont enfermées dans une plateforme qui ne peut pas supprimer l'historique d'un seul destinataire, vous avez un problème qui n'est pas technique.

Où se situe la responsabilité de l'outil

Votre fournisseur est un sous-traitant. Il doit sécuriser la donnée, ne la traiter que selon vos instructions, divulguer ses propres sous-traitants, et vous permettre d'exporter ou de supprimer. mailcheck stocke le sujet, le destinataire, l'expéditeur et les événements d'ouverture, jamais le corps de vos e-mails, garde une empreinte anonymisée de l'IP plutôt que l'adresse elle-même, et traite dans l'Union européenne.

Mais le choix de à qui écrire et pourquoi reste le vôtre. Aucun outil ne peut rendre légale une campagne illégale.

Une règle pratique

Avant d'activer le suivi sur un message, demandez-vous si vous seriez à l'aise d'expliquer au destinataire, en une phrase, pourquoi vous mesurez cela. « Je voulais savoir si mon devis vous était bien parvenu avant d'appeler » est une réponse que la plupart des gens acceptent. « Je consigne chaque e-mail que j'envoie à tout le monde » ne l'est pas.

Si vous ne pouvez pas produire une phrase du premier type, désactivez le curseur.

Documenter une analyse d'intérêt légitime

L'intérêt légitime n'est pas une case à cocher, c'est un raisonnement que vous devriez pouvoir produire. En pratique, il comporte trois parties, et les écrire une fois pour votre activité couvre la plupart des situations.

Le but. Qu'essayez-vous réellement d'accomplir ? « Savoir si une proposition commerciale a atteint le destinataire, afin de bien programmer une relance » est un objectif commercial réel et précis. « Comprendre notre audience » ne l'est pas.

La nécessité. Pourriez-vous obtenir le même résultat avec moins de données ? Si un simple rappel après un nombre de jours fixe suffirait, le cas pour mesurer s'affaiblit. Si le timing dépend réellement de savoir, il se renforce.

L'équilibre. Le destinataire serait-il surpris ou dérangé d'apprendre ce que vous faites ? Un client qui attend votre devis ne serait pas surpris que vous sachiez qu'il est arrivé. Un inconnu sur une liste achetée le serait, ce qui vous dit quelque chose sur cette pratique plus largement.

Que mettre dans votre politique de confidentialité

Si vous suivez les ouvertures, votre politique de confidentialité devrait le dire en langage clair. Quatre éléments suffisent :

• Que vous mesurez si les e-mails que vous envoyez sont ouverts, et pourquoi.
• Ce qui est enregistré : typiquement le sujet, le destinataire, l'heure d'envoi et les événements d'ouverture.
• Combien de temps vous le conservez.
• Comment quelqu'un peut demander ses données, ou vous demander d'arrêter.

Ce n'est pas une formalité. C'est le document que vous montrez si quelqu'un demande, et l'avoir rend la conversation courte.

Sous-traitant, responsable de traitement, et qui répond de quoi

Le vocabulaire compte quand quelque chose tourne mal. Vous êtes le responsable de traitement : vous décidez à qui écrire, pourquoi, et quoi faire du résultat. Votre outil est le sous-traitant : il gère la donnée selon vos instructions.

Cette séparation signifie que l'outil vous doit certaines choses, et vous devriez vérifier qu'il les fournit : sécurité de la donnée, traitement limité à vos instructions, divulgation de ses propres sous-traitants, la capacité d'exporter et de supprimer, et un lieu de traitement qui vous convient.

Cela signifie aussi qu'aucun fournisseur ne peut absorber votre responsabilité. Un outil hébergé dans l'Union européenne qui ne lit jamais le corps de vos e-mails rend votre position plus facile à défendre, mais la décision d'écrire à une personne donnée reste la vôtre.

En dehors de l'Union européenne

Le RGPD voyage avec la personne, pas avec votre bureau. Si vous écrivez à quelqu'un dans l'Union européenne, il s'applique, quel que soit l'endroit où vous êtes basé.

D'autres régimes ont leur propre logique. La loi anti-spam canadienne est plus stricte que le RGPD sur le consentement pour les messages commerciaux. Plusieurs États américains ont des lois sur la vie privée des consommateurs avec leurs propres définitions. Le Royaume-Uni applique un régime quasi identique sous un autre nom.

La conclusion pratique pour une petite entreprise : appliquez la norme la plus stricte à laquelle vous êtes exposé, ce qui pour la plupart des expéditeurs européens veut dire le RGPD, et arrêtez de vous soucier de faire correspondre chaque destinataire à une juridiction.

Le test qui vous évite des ennuis

Avant d'activer le suivi sur un message, demandez-vous si vous pourriez expliquer à cette personne précise, en une phrase, pourquoi vous l'avez mesuré. « Je voulais savoir que le devis était arrivé avant de vous appeler » fonctionne. « J'enregistre chaque e-mail que j'envoie » ne fonctionne pas.

Ce test n'est pas un conseil juridique, mais il corrèle remarquablement bien avec le résultat d'une véritable analyse d'intérêt légitime, et il prend deux secondes.

Conclusion

Le suivi d'ouverture n'est pas interdit, et ce n'est pas non plus un blanc-seing. C'est un traitement de données ordinaire, ce qui veut dire qu'il a besoin d'un but, de proportionnalité et de la capacité d'en répondre. Utilisé par message, sur une correspondance que vous avez une vraie raison d'envoyer, il s'inscrit confortablement dans une pratique commerciale normale.

Questions fréquentes

Ai-je besoin d'un consentement pour suivre les ouvertures d'e-mail ?

Pour l'e-mail professionnel un à un, la base habituelle est l'intérêt légitime plutôt que le consentement, à condition que le but soit précis, le traitement proportionné, et que vous soyez transparent à ce sujet. Le suivi systématique de tout le monde est bien plus difficile à justifier.

Dois-je dire aux destinataires que je suis leurs ouvertures ?

Vous devez faire en sorte que votre politique de confidentialité reflète ce que vous faites réellement, et pouvoir répondre si quelqu'un demande. Vous n'avez pas besoin de l'annoncer dans chaque signature.

Qui est responsable si quelque chose tourne mal, moi ou l'outil ?

Vous êtes le responsable de traitement et vous répondez de la décision d'écrire à quelqu'un et pourquoi. L'outil est un sous-traitant et répond de la sécurité, de ses sous-traitants, et de vous donner les moyens d'exporter ou de supprimer.

Tous les articles →