Règlement (UE) 2016/679, articles 6.1 f) et 26

DPO externalisé pour les agences marketing et les régies

Une agence manipule des données qui ne sont pas les siennes, pour des finalités qu'elle contribue à définir, avec des outils qu'elle choisit. Cette position intermédiaire est précisément celle que le règlement (UE) 2016/679 qualifie le moins facilement, et le contentieux publicitaire de ces dernières années a porté, pour l'essentiel, sur ce point de qualification.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Exécutant ou co-décideur : la qualification se joue sur la latitude

Une agence qui met en œuvre une campagne selon un cahier des charges précis, sans choisir ni les critères de ciblage ni les outils, agit pour le compte de son client : elle est sous-traitante au sens de l'article 4.8 du règlement. Une agence qui propose la segmentation, sélectionne les plateformes, détermine les critères d'audience et arbitre les paramètres de ciblage participe à la détermination des finalités et des moyens.

Dans cette seconde configuration, l'article 26 du règlement peut trouver à s'appliquer : lorsque deux responsables déterminent conjointement les finalités et les moyens, ils définissent de manière transparente leurs obligations respectives par voie d'accord, notamment pour l'exercice des droits et l'information des personnes. L'essentiel de cet accord tient en une réponse claire à une question simple : qui répond à la personne qui écrit pour demander d'où vient le message qu'elle a reçu.

Une agence qui laisse cette question sans réponse écrite ne se protège pas en se déclarant sous-traitante dans son contrat : la qualification résulte de la réalité des rôles, non de leur intitulé contractuel.

Le ciblage publicitaire et son consentement

Le dépôt d'un traceur publicitaire sur le terminal d'un internaute suppose son consentement préalable, recueilli dans les conditions de l'article 4.11 du règlement : une manifestation de volonté libre, spécifique, éclairée et univoque. Ce consentement est recueilli par l'éditeur du site, mais c'est l'annonceur et son agence qui exploitent ensuite l'audience ainsi constituée.

La chaîne n'est solide que si elle est vérifiée à son point d'origine. Une agence qui active une audience sans s'être assurée de la validité du consentement recueilli en amont expose son client, et elle-même si elle a choisi le dispositif. La vérification porte sur des éléments matériels : le libellé exact présenté à l'internaute, le périmètre des finalités annoncées, et la preuve du consentement conservée par l'éditeur.

Fichiers de prospection : la provenance est la question

Un fichier acquis auprès d'un tiers n'est exploitable que si les personnes qui y figurent ont été informées, au moment de la collecte, de la communication de leurs données à des tiers pour une finalité de prospection. L'article 14 du règlement impose en outre une information de la personne lorsque les données n'ont pas été collectées auprès d'elle, dans un délai raisonnable et au plus tard au moment de la première communication.

Cette obligation est celle que la pratique du secteur contourne le plus souvent, en présumant que le fournisseur du fichier s'en est chargé. La garantie contractuelle du fournisseur ne transfère pas la responsabilité : c'est l'exploitant du fichier qui répond devant la personne. La seule vérification utile consiste à demander le libellé d'information effectivement affiché lors de la collecte, et à le conserver.

Mesure d'audience et enrichissement

La mesure d'audience strictement limitée à la production de statistiques anonymes pour le compte de l'éditeur peut bénéficier d'une exemption de consentement, sous des conditions restrictives que la CNIL précise : périmètre limité au site, absence de recoupement avec d'autres traitements, absence de transmission à des tiers. Dès que l'outil alimente un ciblage ou croise les données entre sites, l'exemption tombe.

L'enrichissement d'une base, qui consiste à compléter des profils existants avec des données obtenues ailleurs, est un traitement à part entière, avec sa finalité, sa base légale et son obligation d'information au titre de l'article 14. Il modifie par ailleurs la mise en balance de l'intérêt légitime : une personne s'attend d'autant moins à être enrichie qu'elle n'a jamais communiqué les données ajoutées.

Questions fréquentes

Une agence est-elle sous-traitante de son client annonceur ?

Seulement lorsqu'elle exécute sans déterminer de finalité propre. Dès qu'elle choisit les critères de ciblage, les outils et les segments, elle participe à la détermination des moyens essentiels et peut relever de la responsabilité conjointe de l'article 26 du règlement (UE) 2016/679. La qualification résulte de la réalité des rôles, non de la clause qui les nomme.

Peut-on acheter un fichier de prospection B2C ?

L'acquisition n'est pas interdite, mais l'exploitation suppose que les personnes aient consenti à recevoir de la prospection électronique et aient été informées de la communication de leurs données à des tiers. L'article 14 du règlement impose en outre une information par l'exploitant, au plus tard lors de la première communication. Sans preuve du libellé affiché lors de la collecte initiale, le fichier n'est pas exploitable.

La prospection B2B obéit-elle aux mêmes règles ?

La sollicitation d'une personne dans le cadre de son activité professionnelle, sur une adresse professionnelle nominative et pour un objet en rapport avec ses fonctions, n'est pas soumise au même régime de consentement préalable que la sollicitation d'un particulier. Elle reste un traitement de données personnelles : l'information de la personne et son droit d'opposition demeurent dus dans tous les cas.

Une agence doit-elle désigner un délégué à la protection des données ?

L'article 37.1 b) du règlement vise le suivi régulier et systématique à grande échelle. Une agence dont l'activité repose sur la constitution d'audiences, le ciblage comportemental et la mesure de parcours pour le compte de plusieurs annonceurs s'inscrit dans cette qualification. L'appréciation est à conduire et à consigner, et l'obligation vise le sous-traitant comme le responsable.

Ce que ce régime déclenche ailleurs

La prospection et l'enrichissement reposent le plus souvent sur l'article 6.1 f) : la mise en balance qu'il impose doit être écrite avant la campagne, pas reconstituée après une plainte.

Le fondement de l'intérêt légitime

Pourquoi le consentement du salarié ne fonctionne pas, durées de conservation des candidatures, outils de sélection, vidéosurveillance et contrôle de l'activité.

RH et recrutement

Responsable ou sous-traitant selon la mission, arrêts de travail et données de l'article 9, portail d'échange, archivage et articulation avec le secret professionnel.

Cabinet comptable

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.