Le Groupe de travail « Protection des données personnelles » de France Générosités vient de mettre en ligne son « Mémento sur la mise en pratique du Règlement Général sur la Protection des Données personnelles pour les organisations faisant appel à la générosité du public ».
Ce document, qui a été supervisé par la CNIL, entend aider les organisations membres de France Générosités à
- définir une politique de protection des données,
- mettre en avant les caractéristiques des organismes faisant appel à la générosité du public
- interpréter les règles de la protection des données à la lumière des spécificités du caractère caritatif.
Il peut être téléchargé au départ du lien suivant
La cession de fichiers de donateurs serait-elle tolérée en France ?
La version actuelle du Mémento de France Générosités ne pouvait couvrir l'ensemble des dispositions relatives à l'implémentation de la RGPD, dès lors que la CNIL n'a pas encore produit de recommandations concernant certaines pratiques spécifiques.
On sait que l'échange de fichiers de donateurs, soit entre organisations caritatives soit avec une agence commerciale de fundraising, a fait l'objet de nombreuses critiques au Royaume-Uni, ainsi qu'occasionnellement en Belgique.
-> Lire: 'Vente de fichiers 'donateurs': on continue ?'
Le Mémento français ne consacre pas de rubrique explicitement dédiée à cette pratique. Mais l'argumentaire présenté en page 14 sous le titre 'Un exemple d'intérêt légitime: la prospection caritative' donne toutefois l'impression que l'échange de fichiers dans le cadre d'une finalité de direct mail de type caritatif serait toujours autorisé en France sans 'opt-in' préalable, moyennant une information des usagers concernés en matière de possibilité d'opt-out.
Nous reproduisons ci-dessous l'argumentaire défendu par le document de France Générosités:
Mémento sur la mise en pratique du RGPD
Page 14: "Un exemple d’intérêt légitime: la prospection caritative"
" Il est important de souligner que le RGPD ne revient pas sur les pratiques actuelles relatives à l’opt-in et l’opt-out dans le cadre des opérations de prospection, et notamment la distinction entre prospection commerciale et prospection caritative.
En effet, le RGDP prévoit spécifiquement que le traitement de données est licite lorsqu’il «est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers » et précise que «le traitement de données à caractère personnel à des fins de prospection peut être considéré comme étant réalisé pour répondre à un intérêt légitime. » (Considérant 47).
La règle actuelle qui distingue prospection commerciale et prospection caritative reste donc en vigueur.
L’envoi de sollicitations commerciales (Article L.34-5 du Code des postes et des communications électroniques) par voie électronique (mail, sms, mms) suppose bien que les personnes aient explicitement donné leur accord pour être démarchées, au moment de la collecte de leurs coordonnées.
Le recueil du consentement doit alors s’exprimer par un moyen simple comme par exemple une case à cocher à côté de laquelle il est indiqué que la personne est d’accord pour recevoir des opérations de prospection commerciale (opt-in).
Le recueil préalable du consentement n’est pas nécessaire, par exception, lorsque la prospection n’est pas de nature commerciale, ce qui est notamment le cas pour les prospections caritatives menées par les organismes faisant appel à la générosité du public. Dans ce cas, la personne doit simplement, au moment de la collecte des données être informée que ses données seront utilisées à des fins de prospection et être en mesure de s’opposer à cette utilisation de manière simple et gratuite par le biais d’un mail, d’un SMS, d’un courrier par voie postale ou encore par un appel téléphonique. Cela peut également se faire par le biais d’une case à cocher proposée directement sur le formulaire de recueil des données personnelles à côté de laquelle il est indiqué que la personne ne souhaite pas recevoir de la prospection caritative (opt out).
De même, pour la prospection par voie postale, le principe reste celui de l’information préalable et du droit d’opposition.
L’envoi de sollicitations par voie postale est donc possible à condition que la personne soit, au moment de la collecte de ses coordonnées, informée de leur utilisation à des fins de prospection et en mesure de s’opposer à cette utilisation de manière simple et gratuite (cf ci-dessus).
En tout état de cause, l’existence d’un intérêt légitime du RT doit être mise en balance avec les intérêts et droits fondamentaux de la personne concernée, car ces derniers peuvent prévaloir sur l’intérêt du RT lorsque des données sont traitées dans des circonstances où les personnes concernées ne s’attendent raisonnablement pas à un traitement ultérieur."
Divergences d'interprétation de la RGPD ?
Les recommandations de France Générosités font donc état, comme l'indique l'extrait figurant ci-dessus, d'un traitement distinct "par exception, lorsque la prospection n’est pas de nature commerciale, ce qui est notamment le cas pour les prospections caritatives menées par les organismes faisant appel à la générosité du public".
Or on ne trouve guère trace de pareil traitement de faveur réservé au secteur associatif, ni dans les documents des instances européennes, ni dans le Code of Fundraising Practice des autorités britanniques (Fundraising Regulator):
De même en Belgique la prise de position du Président de l'Autorité de Protection des Données personnelles lors du Congrès de l'AERF du 18 novembre 2018 n'indiquait nullement que les associations actives en collecte de fonds pourraient se dispenser d'obtenir le consentement préalable de leurs usagers en cas location ou cession de fichiers de donateurs à des tiers:
