La CNIL vient de publier une note pour rappeler, dans le cadre du RGPD, les règles en matière de cession de fichiers clients à des fins de prospection commerciale. Ces règles s’appliqueront à l’entreprise Camaïeu qui souhaite justement y procéder suite à sa liquidation judiciaire.
Alors, quelles sont les obligations à respecter dans le cadre de ce type de vente ?
Les obligations du vendeur ? Il doit remettre un fichier “propre”.
Durée de conservation
Premièrement, le fichier ne doit pas comporter de données de clients conservées plus de 3 ans après la fin de la relation commerciale. La CNIL précise que cette fin peut correspondre à la date de l’achat ou de la fin de la garantie. Les données concernées sont uniquement celles qui sont de nature commerciale, et non celles qui relèvent de l’administratif ou du contentieux. Elles sont exclues de cette possibilité d’être cédées.
Données consentis
Ensuite, la volonté du client devra être respectée. Ne pourront être incluses dans le fichier cédé les données de clients qui se sont opposés à la transmission de leurs données par voie postale ou téléphonique ou celles de clients qui n’ont pas consenti à cette transmission à fin de prospection par voie électronique.
Les obligations de l’acquéreur ? Il doit s’assurer du consentement des clients et de leur information après son acquisition.
Information
D’abord, l’acquéreur devra informer les clients sous un délai d’un mois maximum la session du fichier dans lequel se trouve ses données en communiquant le nom de la société cédante.
Vérification du consentement
Il doit s’assurer du consentement dans l’utilisation des données. Si le consentement a été donné et que dans la liste des destinataires de ces données figurait déjà le nom de l’acquéreur, celui-ci peut déjà enclencher les démarches de prospection avec ces clients. Si ce n’est pas le cas, il doit alors obtenir lui-même ce consentement.
Expression du client
Il faut pouvoir laisser à l’utilisateur un moyen simple d’exprimer son refus d’utilisation ultérieure des de s’étonner.
RGPD
Il devra s’assurer du respect de toutes les autres dispositions du RGPD.
