RGPD et e-mail : qu'est-ce que c'est ?

Définition

Le Règlement général sur la protection des données est entré en vigueur en mai 2018 et constitue la loi globale de l'UE sur la protection des données. Il régit le traitement des données à caractère personnel, c'est-à-dire toute information se rapportant à une personne identifiée ou identifiable. Une adresse e-mail comme une adresse professionnelle fondée sur un nom ou une adresse personnelle entre clairement dans ce cadre, car elle désigne une personne précise.

Pour l'e-mail marketing, cela compte car presque tout ce que vous faites avec l'adresse d'un abonné est un traitement au sens du RGPD : la collecter via un formulaire, la stocker dans une base de données, vérifier qu'elle est valide, segmenter votre audience à partir d'elle et lui envoyer des campagnes. Chaque activité de traitement doit avoir une base légale, et le responsable du traitement, c'est-à-dire l'entreprise qui décide du pourquoi et du comment de l'usage des données, est tenu de choisir et de documenter cette base.

Une nuance est essentielle. Le RGPD régit les données à caractère personnel, mais le fait d'envoyer un message marketing non sollicité est aussi régi par la directive ePrivacy, transposée dans les États membres par des lois comme le PECR au Royaume-Uni. Un e-mail marketing conforme nécessite donc en général deux choses : une base légale RGPD pour traiter l'adresse, et une autorisation valable au titre des règles ePrivacy pour envoyer la communication. Elles peuvent souvent être recueillies ensemble, mais elles restent juridiquement distinctes.

Comment ça fonctionne

Le RGPD fonctionne au moyen d'un ensemble de principes et d'une liste de bases légales. Les principes exigent, entre autres, que les données à caractère personnel soient traitées de manière licite, loyale et transparente, collectées pour des finalités déterminées, limitées à ce qui est nécessaire, tenues à jour et conservées pas plus longtemps que nécessaire. Le principe d'exactitude mérite d'être souligné, car il explique pourquoi vérifier et entretenir votre liste est cohérent avec le RGPD plutôt qu'en contradiction avec lui.

Pour l'e-mail marketing, deux des six bases légales du RGPD sont réalistes. La première est le consentement au titre de l'article 6(1)(a). Un consentement RGPD valable doit être libre, spécifique, éclairé et univoque, exprimé par un acte positif clair plutôt que par une case précochée, et vous devez conserver une trace de quand et comment il a été donné. Le consentement est la base principale pour l'e-mail promotionnel adressé aux particuliers. La seconde est l'intérêt légitime au titre de l'article 6(1)(f). Il peut soutenir une partie du marketing B2B et les communications avec les clients existants, mais seulement après avoir réalisé et documenté une analyse d'intérêt légitime démontrant une finalité commerciale réelle, le fait que l'e-mail est nécessaire à cette finalité, et qu'elle ne prévaut pas sur les droits de la personne.

Les abonnés disposent aussi de droits que vous devez pouvoir respecter : l'accès à leurs données, la rectification des données inexactes, l'effacement, et un droit fort de s'opposer à tout moment à la prospection directe. Lorsqu'une personne s'oppose au marketing, vous devez cesser de traiter ses données à cette fin, sans exception. Un soft opt-in restreint autorise, dans certaines circonstances, le marketing de produits similaires auprès de clients existants, mais il est limité et ne supprime jamais l'obligation d'offrir un moyen simple de se retirer.

Pourquoi c'est important pour la délivrabilité des e-mails

Le RGPD est une loi sur la vie privée, pas une norme de délivrabilité, et pourtant construire une liste conforme au RGPD tend à produire une liste qui se délivre bien, pour une raison qui tient à la même logique d'engagement utilisée par les fournisseurs de messagerie. Une liste bâtie sur un consentement authentique et librement donné est composée de personnes qui veulent réellement votre e-mail. Elles l'ouvrent, elles cliquent, et elles le signalent rarement comme spam. Ce sont précisément les signaux positifs que Gmail et Yahoo récompensent par un placement en boîte de réception.

Une liste bâtie sans base légale solide tend à se comporter à l'inverse. Les adresses récoltées sans véritable consentement, aspirées sur le web ou héritées de sources obsolètes génèrent un engagement faible et des taux de plaintes plus élevés, et elles ont plus de chances de contenir des boîtes mortes depuis longtemps qui rebondissent et des spam traps recyclés qui abîment la réputation. Le préjudice de délivrabilité et l'exposition juridique proviennent de la même cause profonde : une liste qui n'a pas été constituée correctement.

Le principe d'exactitude du RGPD vient renforcer cette logique. Vous devez conserver des donnees personnelles exactes et a jour, ce qui, pour une liste d'e-mails, signifie supprimer les adresses qui ne fonctionnent plus et corriger les donnees erronees. Un responsable de traitement qui agit ainsi maintient aussi un faible taux de rebond. La dimension financiere rend cette discipline incontournable : les manquements les plus graves au RGPD peuvent entrainer des amendes pouvant atteindre 20 millions d'euros ou 4 pour cent du chiffre d'affaires annuel mondial, le montant le plus eleve etant retenu.

Comment VeriMails gère cela

VeriMails est un service de verification d'e-mails, et non un produit de conformite juridique : la verification n'etablit pas la base legale de vos actions marketing. Choisir une base legale, recueillir un consentement valide, respecter les oppositions et documenter vos traitements relevent de la responsabilite du responsable de traitement, et les questions complexes gagnent a etre soumises a un conseil qualifie. La ou VeriMails intervient, c'est sur le volet exactitude du RGPD, qui fait pleinement partie d'une gestion des donnees conforme.

Verifier des adresses e-mail constitue en soi un traitement, et cette operation s'inscrit generalement sans difficulte dans le cadre de l'interet legitime, car elle sert directement l'exactitude des donnees, un principe inscrit dans le RGPD. Lorsque vous passez une liste par VeriMails, chaque adresse est controlee selon un processus complet a plusieurs niveaux : validation de la syntaxe, confirmation des enregistrements MX et DNS, poignee de main SMTP en direct avec le serveur de messagerie destinataire, et detection des domaines catch-all, des adresses jetables et des adresses generiques. Supprimer les adresses invalides et a risque maintient les donnees de vos abonnes exactes et a jour, ce qu'exige le principe d'exactitude, tout en reduisant les rebonds.

Lorsque vous faites appel a un service de verification, vous devez le considerer comme un sous-traitant et conclure un contrat de sous-traitance. VeriMails ne traite les adresses que vous soumettez que pour vous renvoyer des resultats de verification et est concu pour un traitement securise, sans conserver ni revendre vos donnees. Vous pouvez verifier vos adresses par import groupe d'un fichier CSV ou une par une via l'API REST, par exemple pour controler une nouvelle inscription avant de l'enregistrer. La verification renvoie des categories de delivrabilite claires, aussi bien en flux API qu'en traitement groupe. Chaque nouveau compte recoit 100 credits gratuits a l'inscription, sans carte bancaire, et ces credits n'expirent jamais : la verification demarre a 0,0019 dollar par e-mail, soit 19 dollars pour 10 000 credits, et les forfaits annuels debutent a 12,50 $/mois en facturation annuelle.

Questions fréquentes