Pays-Bas (ACM) et la question de l’email B2B selon les juridictions

« L’email B2B n’a pas besoin de consentement » est l’une des généralisations les plus dangereuses de la conformité email. La règle d’opt-in de la directive ePrivacy (article 13) protège les personnes physiques et laisse les États membres décider jusqu’où protéger les personnes morales : la réponse B2B change donc à chaque frontière. Cet article couvre le régime néerlandais (ACM), les lignes directrices B2B du Royaume-Uni (ICO) et une comparaison détaillée entre le Royaume-Uni, la France, l’Allemagne et les Pays-Bas. Une campagne adressée à une liste B2B européenne mixte doit respecter la règle applicable la plus stricte pour chaque destinataire, et c’est le pays du destinataire, et non celui de l’expéditeur, qui détermine la règle.

Pays-Bas : article 11.7 de la Telecommunicatiewet (autorité : ACM)

L’interdiction néerlandaise du spam figure à l’article 11.7 de la Telecommunicatiewet et son respect est assuré par l’Autoriteit Consument en Markt (ACM), une autorité de la consommation et des marchés plutôt que l’autorité de protection des données (l’AP s’occupe du volet RGPD).

Règle de base, l’opt-in : les messages commerciaux électroniques non sollicités (email, SMS et, explicitement, des canaux comme WhatsApp) exigent le consentement préalable du destinataire. Le consentement ne peut pas être obtenu par :

• des cases précochées ;
• des tactiques de pression ;
• une mention enfouie dans les conditions générales.

La demande de consentement doit viser clairement les messages promotionnels ou de sollicitation, et, exigence propre aux Pays-Bas, l’expéditeur doit pouvoir prouver le consentement jusqu’à 5 ans après l’envoi. (C’est la durée de conservation du consentement la plus concrète publiée par une autorité de l’UE ; concevez vos preuves de consentement en conséquence.)

Portée B2B : depuis le 1er octobre 2009, l’interdiction couvre aussi les personnes morales : le droit néerlandais a étendu l’opt-in aux destinataires professionnels, mettant fin au régime d’opt-out B2B antérieur. Les lignes directrices actuelles de l’ACM ne font aucune distinction entre B2B et B2C : les règles s’appliquent uniformément à tous les destinataires. (Provenance : la date de l’extension de 2009 est confirmée par des commentaires juridiques, à savoir la note de CMS « Dutch new law prohibits B2B spam » et des synthèses de cabinets d’avocats néerlandais, car la page de l’ACM ne retrace plus cet historique.)

Exception pour les clients existants : des messages non sollicités peuvent être envoyés à des clients existants au sujet de produits ou services liés à des achats antérieurs, à condition que :

• les destinataires puissent facilement se désabonner ; et
• l’identité de l’expéditeur soit clairement indiquée.

Identification de l’expéditeur : l’expéditeur doit être clairement identifiable par sa raison sociale ou son adresse email, sans pseudonyme.

Désabonnement : chaque message doit comporter un opt-out :

• rapide : pas de questionnaire complexe ;
• gratuit : aucun paiement et aucune demande de données personnelles supplémentaires.

Les campagnes « parlez-en à un ami » ne sont licites qu’à cinq conditions cumulatives :

1. la personne qui partage transfère le message volontairement : aucune incitation ne peut être offerte ;
2. le message transféré affiche des coordonnées pour les réclamations ;
3. la personne qui partage peut voir le message complet avant son envoi ;
4. les données personnelles utilisées pour le transfert sont supprimées ensuite et ne sont pas réutilisées ;
5. le site web est protégé contre les abus automatisés à des fins de spam.

(À comparer avec le Royaume-Uni, où l’ICO conclut que le parrainage par email assorti d’une incitation ne peut généralement pas être pratiqué licitement : voir le PECR britannique.)

Champ d’application et responsabilité : les règles s’appliquent aux envois dans tout l’EEE (UE plus Islande, Norvège et Liechtenstein) ; hors de l’EEE, les règles locales s’appliquent. La responsabilité ne pèse pas seulement sur la partie qui transmet, mais aussi sur l’instigateur et sur les prestataires tiers qui participent à la diffusion : c’est le même filet expéditeur et instigateur que dans le PECR et la LCAP, et c’est pourquoi les conditions d’utilisation des ESP doivent obliger les clients à respecter ces règles.

Royaume-Uni : les lignes directrices de l’ICO sur le marketing entre entreprises

Les lignes directrices B2B dédiées de l’ICO (en cours de révision à la suite des modifications du Data (Use and Access) Act) reposent sur la distinction du PECR entre abonnés personnes morales et abonnés individuels, présentée dans Royaume-Uni : le PECR et le marketing par courrier électronique et développée ici pour le cas B2B.

Qui est un abonné personne morale

Les abonnés personnes morales sont les entités dotées d’une personnalité juridique distincte : sociétés, corporations sole, limited liability partnerships, sociétés de personnes écossaises, certains organismes publics et toute autre personne morale distincte de ses membres. L’adresse email ou le numéro de téléphone professionnel d’un salarié d’une personne morale relève de l’abonné personne morale : l’abonné est l’employeur.

Sont traités comme abonnés individuels bien qu’il s’agisse d’entreprises : les entrepreneurs individuels, les sociétés de personnes qui ne sont pas des LLP (anglaises, galloises, nord-irlandaises) et les autres groupements de personnes non constitués en société. Ils bénéficient de toutes les protections des personnes physiques.

La règle du PECR sur l’email pour le B2B

Pour les abonnés personnes morales, le PECR n’impose pas littéralement de respecter l’opt-out, mais l’ICO considère que l’adresse d’opt-out obligatoire vise manifestement à permettre aux personnes morales de se désabonner : vous devriez donc respecter l’opt-out d’un abonné personne morale, et vous pouvez être tenu de le faire lorsque des données personnelles sont en jeu (droit d’opposition). Tenez une liste « ne pas écrire » des opt-out des personnes morales et filtrez chaque nouvelle liste B2B à partir de celle-ci.

Soft opt-in pour les entrepreneurs individuels et les sociétés de personnes : les quatre conditions sont requises : coordonnées obtenues dans le cadre d’une vente ou de la négociation d’une vente ; promotion de vos seuls produits ou services similaires ; opt-out clair proposé lors de la collecte ; opt-out proposé dans chaque message. L’exemple de l’ICO : une entreprise en ligne de fournitures de construction, dont les clients sont en majorité des entrepreneurs individuels, applique le soft opt-in à tous ses clients lors du paiement (explication et case d’opt-out, désabonnement dans chaque email) : c’est la conception uniforme et sûre.

Type d’abonné inconnu = le traiter comme un abonné individuel. Si vous ne pouvez pas déterminer si une adresse appartient à un abonné personne morale ou individuel, présumer qu’il s’agit d’une personne morale risque d’enfreindre le PECR ; l’ICO recommande d’appliquer les règles des abonnés individuels. Sur le plan opérationnel, les heuristiques fondées sur le domaine (« cela ressemble à un domaine d’entreprise ») ne permettent pas de distinguer une société à responsabilité limitée d’un entrepreneur individuel : une raison de plus pour laquelle les listes B2B fondées sur le consentement valent mieux que les listes issues du scraping.

La couche UK GDPR au-dessus du PECR

• Un contact professionnel nommé (nom et numéro enregistrés, ou une adresse du type prenom.nom@company.com) est une donnée personnelle, même dans un cadre professionnel ; l’UK GDPR s’applique pleinement, y compris le droit absolu de s’opposer à la prospection directe. Les cibles non nominatives (« le service informatique », info@company.com) ne sont pas des données personnelles.
• Cartes professionnelles : rangées en vrac dans un tiroir, l’UK GDPR ne s’applique pas ; saisies dans une base de contacts, il s’applique.
• Base légale : lorsque le PECR exige le consentement, utilisez le consentement ; lorsqu’il ne l’exige pas, l’intérêt légitime convient généralement, sous réserve du test en trois étapes (identifier l’intérêt ; nécessité ; mise en balance).
• Transparence : informez les contacts professionnels, lors de la collecte, que vous leur adresserez de la prospection ; les coordonnées obtenues auprès de sources publiques ou de tiers exigent une information sur la confidentialité dans un délai raisonnable, d’un mois au plus.
• Réutilisation : l’exemple de l’organisateur de conférences donné par l’ICO montre qu’écrire après coup aux adresses (vérifiées comme appartenant à des personnes morales) des participants peut passer une évaluation de compatibilité et d’attentes raisonnables, mais que vendre les coordonnées des participants sans les en avoir informés ne passe pas le test de loyauté, et que les acheteurs de telles listes enfreindraient le PECR pour tout abonné individuel, puisque le consentement doit nommer l’expéditeur.
• Données accessibles au public (sites d’entreprise, Companies House, réseaux sociaux, presse) : l’accessibilité au public ne vaut pas consentement. Le PECR s’applique toujours aux appels, emails et télécopies utilisant des coordonnées issues du scraping ; l’UK GDPR s’applique dès que les données identifient une personne. Les personnes présentes sur des réseaux professionnels y sont généralement à titre personnel (bien que professionnel) : leur écrire n’est pas du « marketing B2B », et l’UK GDPR comme le PECR s’appliquent aux messages directs.
• Oppositions : respectez les opt-out et les retraits ; placez les personnes qui s’opposent sur une liste de suppression plutôt que de les supprimer, afin de pouvoir filtrer les futures listes (voir Droit d’opposition et droit à l’effacement). L’exemple de l’ICO : un cabinet de recrutement qui écrit à la directrice des ressources humaines nommée d’une société à responsabilité limitée n’a pas besoin du consentement du PECR, mais lorsque la directrice demande l’arrêt, il arrête et la place en liste de suppression : l’adresse nominative est une donnée personnelle et l’opposition est absolue.

Le tableau B2B comparé

« Puis-je écrire à une adresse professionnelle sans consentement préalable ? » pour les quatre marchés de référence :

Note de provenance pour l’Allemagne : les conditions légales de la synthèse du §7(2) et du §7(3) ci-dessus sont vérifiées par rapport à la traduction anglaise officielle (non contraignante) publiée sur gesetze-im-internet.de, citée dans l’article consacré à l’Allemagne ; seul le texte allemand fait foi.

La conséquence opérationnelle : l’affirmation « la prospection B2B à froid est acceptable en Europe » est fausse dans deux des quatre plus grands marchés (l’Allemagne et les Pays-Bas exigent l’opt-in même pour les adresses de personnes morales), vraie sous conditions en France (rapport avec la profession, information et opposition) et vraie seulement pour les véritables abonnés personnes morales au Royaume-Uni, où les entrepreneurs individuels se cachent, impossibles à distinguer, dans toute liste achetée. Ajoutez la couche de la délivrabilité (les emails destinés aux entreprises passent par des passerelles et des environnements professionnels dotés de leurs propres systèmes de réputation, et les emails à froid génèrent les plaintes et les adresses pièges touchées décrites dans Méthodes de consentement), et la collecte fondée sur le consentement reste la seule stratégie qui fonctionne partout.