Le RGPD et les listes de suppression des ESP

Source : M3AAWG Support Document: The GDPR and ESP Suppression Lists, décembre 2024. La mise en garde du document s’applique aussi ici : ce n’est pas un avis juridique, mais un contexte pour les ESP qui réfléchissent à leurs pratiques de listes de suppression ; les questions juridiques précises relèvent d’un conseil. Document récupéré à l’URL de la révision finale (the_gdpr_and_esp_suppression_listsfinal.pdf) ; l’URL diffusée à l’origine renvoie désormais une erreur 404.

La tension en un paragraphe

Un ESP supprime des adresses pour qu’aucun email ne leur soit envoyé : c’est le geste de protection de la délivrabilité que toute la profession attend (voir Hygiène de base de données et politiques de mise en sommeil, et la conception opérationnelle dans Architecture des listes de suppression). Mais au regard du RGPD, tout traitement de données à caractère personnel exige une base légale, et les adresses email sont des données à caractère personnel. Lorsqu’un ESP supprime une adresse que son client ne lui a pas demandé de supprimer, il agit en dehors des instructions du client, ce qui peut faire passer l’ESP du statut de sous-traitant, peu exposé, à celui de responsable du traitement, soumis à l’ensemble des obligations du responsable du traitement. Parallèlement, une demande de « droit à l’oubli » (effacement) semble exiger la suppression de l’enregistrement même que l’ESP doit conserver pour garantir que la personne ne recevra plus jamais d’email.

Définitions (article 4 du RGPD)

• Responsable du traitement : l’« organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement… » (article 4, point 7).
• Sous-traitant : l’« organisme qui traite des données à caractère personnel pour le compte du responsable du traitement… » (article 4, point 8).

Être sous-traitant comporte moins de risques et de responsabilité, à condition que l’ESP puisse démontrer qu’il a suivi les instructions du responsable du traitement et qu’il n’a traité les données pour aucune finalité ni par aucun moyen au-delà de ce que le responsable du traitement a déterminé.

Les adresses email sont-elles des données à caractère personnel ?

En règle générale, oui. Il existe des exceptions (les adresses de rôle génériques comme info@example.com ou les adresses de réponse génériques comme lotteryentry@example.com), mais concevez les systèmes en partant du principe que toutes les adresses email concernées sont des données à caractère personnel. Le domaine lui-même peut être une donnée à caractère personnel, par exemple js@john-smith.example.com.

Base légale de l’ESP sous-traitant qui envoie des emails pour le compte d’un client : le contrat avec le client (article 6, paragraphe 1, point b). Les ESP peuvent supprimer des données non personnelles (comme des adresses pièges connues) sans que le RGPD entre en jeu, lorsque l’adresse piège n’est réellement pas une donnée à caractère personnel.

Les 13 événements qui déclenchent une suppression

Le M3AAWG énumère les circonstances dans lesquelles une suppression intervient, chacune ayant une portée différente au regard du RGPD :

Par ailleurs, retirer une adresse parce que son titulaire est connu pour être décédé n’implique aucune donnée à caractère personnel : les personnes décédées n’ont pas de droits au titre du RGPD.

Listes de suppression par client : le terrain sûr du sous-traitant

Les listes de suppression gérées client par client, composées des personnes qui ont signalé comme spam les emails de cet expéditeur, qui se sont désabonnées ou dont les adresses ont généré un rebond, peuvent être exploitées tout en restant « simple sous-traitant ». Conditions que le contrat entre l’ESP et le client devrait rendre explicites :

• Le fonctionnement concret de la suppression : en cas de rebond, l’ESP en assure-t-il le suivi pour le compte du client, ou le client doit-il mettre à jour sa propre liste ?
• Fin du contrat : comment le client (le responsable du traitement) prend-il connaissance des demandes de désabonnement reçues par l’intermédiaire de l’ESP ? Le client est tenu de respecter ces demandes même s’il envoie ensuite par un autre ESP.

Listes de suppression globales : le terrain du responsable du traitement

Les ESP peuvent considérer la suppression globale (commune à tous les clients) comme indispensable à leur activité : il devient difficile de bien servir quelque client que ce soit si des clients continuent d’écrire à des adresses pièges ou à des plaignants récurrents. Mais :

• Utiliser la liste de suppression propre à l’ESP pour bloquer des adresses auxquelles le client lui a demandé d’écrire va à l’encontre du contrat qui l’oblige à agir « pour son compte » : l’ESP « détermine » alors « les finalités et les moyens du traitement », autrement dit il est devenu responsable du traitement.
• Il est « très probable » que l’ESP agisse au-delà du rôle de sous-traitant s’il tient sa propre liste de suppression pour bloquer des adresses précises : par exemple des personnes hostiles à l’activité de l’ESP, des comptes de rôle, des domaines pièges, des rebonds définitifs connus, etc.
• Si un ESP exploite une liste de suppression globale, le contrat client devrait préciser comment elle s’applique, afin que le client puisse remplir ses propres obligations de responsable du traitement. Des complications en matière de protection des données apparaissent généralement dès que l’ESP prend des mesures que le client n’a pas demandées.
• Un ESP devenu responsable du traitement doit agir en conséquence ; le document renvoie à la liste de contrôle de l’ICO britannique pour les responsables du traitement comme point de départ : https://ico.org.uk/for-organisations/sme-web-hub/checklists/data-protection-self-assessment/controllers-checklist/

Traiter les demandes d’oubli : la solution pratique

La solution implicite du document à la tension entre effacement et suppression :

1. Une demande d’effacement ou d’arrêt du traitement reçue par l’ESP concerne des données que l’ESP traite pour le compte de ses clients : il faut l’acheminer et l’enregistrer d’une manière prévue par le contrat.
2. Le contrat entre l’ESP et son client devrait préciser comment ce type de suppression fonctionnera en pratique : c’est la phrase décisive. La manière licite de conserver un enregistrement de suppression après une demande d’effacement est de l’avoir défini contractuellement comme faisant partie du traitement demandé par le responsable du traitement.
3. Distinguer les catégories de suppression : la suppression des adresses objectivement invalides et des données non personnelles (adresses pièges) ne pose pas de problème ; la suppression par client fondée sur le consentement relève du travail de sous-traitant encadré par le contrat ; la suppression globale à l’initiative de l’ESP relève du travail de responsable du traitement et oblige l’ESP à en assumer les obligations.

Liste de contrôle opérationnelle pour un ESP

• Inscrire explicitement le comportement de suppression (par client et, le cas échéant, liste globale) dans le contrat de sous-traitance (DPA), y compris la suppression des adresses jetables et des adresses pièges.
• Définir la remise des données en fin de contrat : les désabonnements et les plaintes doivent parvenir au client, qui reste lié par eux chez son ESP suivant.
• Traiter par défaut toutes les adresses comme des données à caractère personnel ; n’exclure que les cas objectivement non personnels.
• Si vous exploitez une liste de suppression globale, acceptez l’analyse du responsable du traitement : documentez les finalités, la base légale, la durée de conservation et le traitement des droits des personnes concernées (liste de contrôle de l’ICO ci-dessus).
• Adresser à un conseil juridique les questions du type « suis-je sous-traitant ou responsable du traitement dans ce cas ? » : le document le répète deux fois.

Voir aussi : Architecture des listes de suppression (le complément opérationnel : comment la séparation entre listes par client et liste globale décrite ci-dessus est construite) · CAN-SPAM · LCAP · PECR britannique · Feedback loops de plaintes · List-Unsubscribe.