Vous avez passé par tout le processus d'identification de votre public cible, de collecte de ses numéros de téléphone, de rédaction de la copie pour vos campagnes et de définition de toutes vos préférences.

Mais avant d'envoyer votre SMS, prenez un moment pour vérifier votre campagne et répondre à une question très importante : êtes-vous conforme à 100 % au RGPD ?

Nous avons réuni nos avocats, Sophie Soubelet-Caroit et Perrine Salagnac de SSC Avocats, pour comprendre les implications du RGPD et de la protection des données.

Pour être concis, dans cette section, nous nous concentrerons uniquement sur les fondements du RGPD, la collecte de données et le consentement pour les campagnes de marketing par SMS. Cependant, nous vous encourageons à lire également notre guide Cybersécurité et SMS Marketing : protégez vos données, dans lequel nous explorons en profondeur comment assurer la sécurité de nos données, prévenir les attaques et les violations, et ce qu'il faut faire au cas où nous en aurions une.

Qu'est-ce que le RGPD ?

Le règlement général sur la protection des données (RGPD) est une « loi sur la vie privée et la sécurité qui impose des obligations à tout type d'institution collectant des données auprès d'utilisateurs qui appartiennent à l'Union européenne », même lorsque l'institution elle-même n'appartient pas à l'UE. Par exemple, si vous êtes basé au Brésil mais que vous traitez des données provenant de clients ou de visiteurs européens, vous devez être en conformité avec le RGPD.

Ce règlement a été institué en 2016 et appliqué en 2018 pour mettre un terme aux conditions générales de vente à la noix que ni les utilisateurs ne pouvaient comprendre, ni les entreprises ne voulaient expliquer.

L'objectif ici est de tout faire pour que les sociétés informent correctement et de manière compréhensible pour que les gens puissent décider librement s'ils veulent ou non s'engager avec elles. Cela implique également de prendre la protection des données comme un élément cntral de tous les processus de l'entreprise.

• Quel est l'objectif du RGPD ? That users can understand what is being offered to them so they can freely choose when they want to opt in or opt out at will, having full authority over their data and its use by third parties.
• Qui doit obéir au RGPD ? All institutions that process the data of EU citizens, even if the institution itself is not based in the EU.
• Peut-on se voir infliger une amende pour avoir enfreint le RGPD ? Yes, you can be fined, and the fines are very high. They can reach up to €20 million or 4% of global revenue (whichever is higher), plus compensation for damages suffered by the data subjects.

S'agit-il uniquement de consentement ?

« Lorsque vous lisez sur Internet dans les sites de marketing, ils ne s'intéressent qu'au consentement. Est-ce que tout est question de consentement ? La réponse est NON », explique Perrine.

« Le consentement n'est pas toujours nécessaire quand on traite du RGPD. C'est une idée fausse très répandue. En fait, dans l'article 6 du RGPD, vous verrez qu'il existe d'autres bases juridiques. Le consentement n'est que l'une d'entre elles », dit-elle. Chaque responsable de traitement doit choisir les bases qui lui conviennent et qui sont réalisables.

« Mais si vous tenez compte des autres réglementations, par exemple le "Code des postes et des communications électroniques" et son application réglementée par l'entité appelée ARCEP, dans certains cas mais pas dans tous, vous devez demander le consentement. Mais ce n'est pas le même consentement : l'un concerne la collecte de données, l'autre l'envoi de SMS. Ce sont deux choses différentes », indique Sophie.

Alors que pouvons-nous faire pour être sûrs à 100 % de respecter la réglementation ? « Il est dangereux d'avoir une approche unilatérale, car vous avez besoin d'une analyse au cas par cas des exigences légales », indique Sophie. Chaque cas est différent et la réponse à cette question dépendra des lois locales qui s'appliquent à vos clients et à votre entreprise.

Comment demander le consentement ?

Le RGPD stipule que le consentement doit être :

• Donné librement : it must be voluntary.
• Informé : tell the person what information you will keep and how you intend to use it.
• Sans ambiguïté : stated in clear and simple language.
• Spécifique : stands out clearly from other content.
• Exprimé : you cannot imply it; individuals must provide affirmative consent, such as "I understand and agree to…".

Exemples de formulaires conformes au RGPD

Réglementation en France

Chez Octopush, 70 % de notre clientèle est française, il était donc logique d'inclure ici une analyse spécifique sur les différents types de consentement. Voici un bref résumé de ce dont nous avons discuté avec Sophie et Perrine, qui peut servir de guide.

Exigences pour l'envoi de SMS commerciaux

Selon la CNIL, tout message texte doit comporter :

• Sender identity: clearly indicate to recipients who is sending the SMS.
• An easy and clear opt-out option: such as text STOP to XXXX, or noPUB=STOP.

Horaires d'expédition

La plupart des fournisseurs de SMS et MMS citent les mêmes informations provenant de l'ARCEP :

Afin d'éviter tout abus et toute nuisance, les délais d'expédition sont limités. Pour la majorité des opérateurs, les SMS mobiles sont interdits entre 20 h et 8 h du matin en semaine. Les envois sont également interdits le dimanche et les jours fériés toute la journée. Toute infraction à la règle est punie d'une amende de 1 000 € HT par infraction.

Toutefois, et après consultation de nos avocats, ces informations doivent être tempérées. Il n'existe pas de loi en France qui précise les heures et les jours où vous pouvez ou non envoyer des SMS. Par conséquent, vous ne pouvez pas être condamné à une amende sur cette base.

Néanmoins, l'interdiction d'envoyer un SMS ou un MMS entre 20 heures et 8 heures du matin, ou les dimanches et jours fériés, est une bonne pratique observée par les entreprises concernées en France. Ainsi, ces règles sont souvent stipulées dans les conditions générales des fournisseurs de SMS et MMS et doivent être respectées par Octopush et, par conséquent, par ses clients.

‍

Liens utiles

Prospection commerciale par SMS-MMS (CNIL)

Messages publicitaires par SMS ou MMS : est-ce légal ? (CNIL)

Art. 8 (GDPR)