Aristotelis Zervos
Aristotelis Zervos, directeur éditorial chez 2B Advice, allie expertise juridique et journalistique dans les domaines de la protection des données, de la conformité informatique et de la réglementation de l'IA.
Dans son arrêt C‑654/23, la Cour de justice de l'Union européenne (CJUE) apporte des précisions claires. Lignes directrices sur l'interprétation de la notion de „ publicité directe “ au sens de la directive « vie privée et communications électroniques » et sur la relation entre la directive « vie privée et communications électroniques » et la RGPD. La CJUE précise notamment dans quelles conditions l'envoi de newsletters à des adresses e-mail collectées dans le cadre de comptes utilisateurs gratuits est autorisé et dans quels cas aucune autorisation distincte n'est requise. Consentement est nécessaire. Quelles sont les conséquences pratiques de l'arrêt de la CJUE pour les entreprises ?.
Compte gratuit et newsletter sans consentement
L'affaire concernait la plateforme roumaine en ligne avocatnet.ro, qui propose des actualités juridiques. Inteligo Media SA, l'exploitant de la plateforme, permettait initialement aux utilisateurs de lire gratuitement jusqu'à six articles par mois. Pour obtenir du contenu supplémentaire gratuit, les utilisateurs pouvaient créer un compte gratuit, pour lequel ils devaient fournir leur adresse e-mail. La création de ce compte gratuit leur donnait accès à deux articles supplémentaires par mois et à une newsletter quotidienne intitulée „ Personal Update “. Lors de leur inscription, ils pouvaient expressément refuser de recevoir la newsletter (opt-out). Chaque newsletter contenait également un lien de désabonnement permettant de se désinscrire à tout moment.
L'autorité nationale roumaine chargée de la protection des données (ANSPDCP) y a vu un Violation Contre la loi sur la protection des données : Inteligo Media aurait utilisé les adresses e-mail collectées à d'autres fins. À savoir, pour envoyer des publicités directes par newsletter, sans avoir obtenu au préalable le consentement explicite des destinataires. Consentement de l'utilisateur. Un Amende d'environ 9 000 euros. Inteligo Media a contesté cette accusation et a fait valoir qu'elle avait agi conformément à la directive ePrivacy et qu'elle n'avait donc pas besoin d'une base juridique supplémentaire au titre du RGPD, telle qu'une Consentement nécessaire. Finalement, la cour d'appel roumaine a soumis plusieurs questions à la CJUE. Entre autres, sur la définition de „ publicité directe “, sur l'interprétation de „ dans le cadre de la vente d'un produit ou d'un service “ (art. 13, al. 2 de la directive ePrivacy) et sur l'application de la RGPD (Art. 6 et art. 95 RGPD) dans ce contexte.
Quand une newsletter est-elle considérée comme du publipostage ?
Une question centrale était de savoir si la newsletter envoyée quotidiennement devait être considérée comme du „ publipostage “ au sens de la directive ePrivacy. Inteligo Media a fait valoir que la newsletter servait principalement à informer sur les nouvelles modifications législatives et avait un caractère rédactionnel. La CJUE a toutefois précisé que ce n'était pas seulement le contenu, mais surtout l'objectif poursuivi par le message qui était déterminant. Bien que la newsletter Personal Update contienne des résumés informatifs, elle poursuit en fin de compte un objectif commercial : rediriger les utilisateurs vers le site web via des liens afin qu'ils utilisent leur limite gratuite et soient incités à acheter un abonnement complet. Il s'agit donc d'une approche publicitaire individuelle des utilisateurs. La CJUE confirme que de tels e-mails "à des fins de prospection directe “, même si, à première vue, elles semblent avoir un caractère rédactionnel.
Conclusion : Les entreprises sont autorisées à envoyer des newsletters au contenu „ mixte “ (informations et publicités cachées). Publicité) sont considérés comme du publipostage direct au sens de la législation sur la protection des données. Ce qui est déterminant, c'est l'objectif promotionnel du message, et non son contenu superficiel.
Compte utilisateur gratuit = „ vente d'un service “ ?
La question de savoir si la création d'un compte gratuit peut être considérée comme „ liée à la vente d'un produit ou d'un service “ (art. 13, al. 2 de la directive ePrivacy) revêt une importance particulière dans la pratique. Cette définition détermine si la règle d'exception du „ soft opt-in “, qui autorise la publicité directe sans consentement préalable, s'applique. Consentement autorisé. La CJUE le confirme expressément : même un service apparemment gratuit peut constituer une „ vente “ si l'utilisateur fournit ses données en contrepartie. Le fait déterminant est que la création d'un compte donne lieu à une relation contractuelle entre l'utilisateur et le fournisseur et que ce dernier en tire un avantage économique indirect. Dans le cas présent, le „ paiement indirect “ consistait en ce que l'offre gratuite devait promouvoir les ventes de l'abonnement premium payant. La CJUE souligne que les coûts du service gratuit sont économiquement pris en compte dans le prix de l'offre payante et sont donc considérés comme une rémunération indirecte.
Avec cette interprétation large, le compte gratuit remplit déjà la condition d'une „ vente “ au sens de l'article 13, paragraphe 2, de la directive ePrivacy. Les entreprises proposant des modèles freemium peuvent donc considérer leurs utilisateurs gratuits comme des „ clients “ au sens de la directive ePrivacy et leur envoyer des newsletters dans le cadre de leur propre offre, sans opt-in préalable, pour autant que les autres conditions soient respectées. La seule incertitude réside dans la portée de cette interprétation. La CJUE n'a pas précisé si les services purement gratuits sans aucune intention de vente incitative sont également considérés comme une „ vente “ ou s'il doit toujours y avoir un intérêt économique propre du fournisseur. Dans la pratique, les entreprises doivent toutefois partir du principe que les données échangées contre une prestation correspondent à un échange similaire à un paiement – le „ paiement avec des données “ est reconnu comme un modèle commercial réel.
ePrivacy vs RGPD : aucune double base juridique requise (lex specialis)
La clarification apportée par la CJUE concernant la relation entre la directive « vie privée et communications électroniques » et la RGPD. Article 95 RGPD indique que la RGPD aucune obligation supplémentaire n'est imposée dans la mesure où, pour certains domaines (tels que les communications électroniques), la directive « vie privée et communications électroniques » prévoit des dispositions spécifiques ayant le même objectif. La CJUE confirme désormais expressément le principe de la lex specialis dans ce contexte : si un traitement de données remplit les conditions spécifiques de la directive « vie privée et communications électroniques », il n'est pas nécessaire de recourir aux bases juridiques générales de la RGPD (art. 6, al. 1). En clair : l'art. 13, al. 2 de la directive « vie privée et communications électroniques » constitue une base juridique autonome et exhaustive pour l'envoi d'e-mails publicitaires directs. Si toutes les conditions qui y sont mentionnées – par exemple, possibilité de refus et produit similaire – sont remplies, la directive s'applique. Traitement comme légitime. Un examen séparé conformément à l'art. 6 RGPD (par exemple sur intérêts légitimes) n'est pas nécessaire.
La CJUE contredit ainsi l'opinion largement répandue selon laquelle, en plus de l'exception prévue par la directive « vie privée et communications électroniques », il fallait toujours disposer d'une autorisation au titre du RGPD (souvent l'article 6, paragraphe 1, point f) RGPD, intérêt légitime, efforts). Dans la pratique, de nombreuses entreprises avaient déjà recours à une option séparée dans le cas du soft opt-in. Consentement et a plutôt retenu l'intérêt légitime. Le jugement précise que la règle du soft opt-in fournit en soi la justification nécessaire. Important : cela ne signifie pas que la RGPD ne s'applique pas dans l'ensemble. Toutes les autres obligations (par exemple. Obligations d'information, Sécurité des données, Droits des personnes concernées) continuent bien sûr de s'appliquer. Cependant, il n'est plus nécessaire d'avoir, parallèlement à la règle ePrivacy, une base juridique RGPD (telle que Consentement ou LI).
Conseil de lecture : Données à caractère personnel et pseudonymisation – La CJUE précise les exigences
Newsletter sans consentement : que faut-il prendre en compte à l'avenir ?
En principe, la directive ePrivacy exige une autorisation préalable pour les communications électroniques non sollicitées à des fins publicitaires. Consentement le destinataire (opt-in, art. 13, paragraphe 1, de la directive ePrivacy). L'article 13, paragraphe 2, de la directive ePrivacy prévoit toutefois l'exception bien connue („ soft opt-in “) pour la publicité auprès des clients existants, qui est transposée dans le droit allemand, par exemple à l'article 7, paragraphe 3, de la loi sur la concurrence déloyale (UWG). L'arrêt de la CJUE clarifie désormais la manière dont cette exception doit être appliquée et souligne les conditions strictes qui y sont associées :
- Relation client : Il doit exister une relation client, y compris des relations rémunérées indirectement comme dans le modèle freemium. Un compte utilisateur gratuit peut donc être considéré comme un „ client “ s'il fait partie d'un échange commercial de services (par exemple, accès contre données).
- Produit/service similaire : Le site Publicité ne peut se référer qu'à ses propres produits ou services similaires. Dans le cas Inteligo, la newsletter portait sur le contenu de sa propre plateforme, ce qui relève de services similaires. Cependant, ceux qui souhaitent promouvoir des produits tiers ou totalement différents ne peuvent pas invoquer cette exception.
- Opt-out lors de la collecte de données : Dès la collecte des données (par exemple lors de la création du compte), le client doit avoir clairement la possibilité de s'opposer à l'utilisation de son adresse e-mail. Dans le cas présent, cela s'est fait via une case à cocher „ Je ne souhaite pas recevoir de newsletter “. Cette option de désinscription doit être gratuite et simple.
- Option de désinscription dans chaque message: Chaque e-mail publicitaire envoyé doit contenir une mention claire indiquant la possibilité de se désabonner (lien de désabonnement). Les destinataires doivent pouvoir se désabonner facilement à tout moment.
Ce n'est que lorsque toutes ces conditions sont remplies qu'une newsletter peut être envoyée sans consentement préalable. Si l'une des conditions n'est pas remplie, par exemple parce que le contenu promu ne peut plus être considéré comme „ similaire “ ou parce qu'aucune possibilité de refus n'a été offerte lors du contact initial, l'exception ne s'applique pas. Dans de tels cas, un consentement explicite doit être obtenu avant l'envoi de la newsletter. Consentement de l'utilisateur, qui doit répondre aux critères stricts du RGPD (volontaire, informé, vérifiable, etc.).
Conséquences pratiques pour les entreprises
La décision de la CJUE a des répercussions pratiques sur la conception des abonnements aux newsletters et les stratégies marketing. Les entreprises doivent désormais examiner leurs processus et les adapter si nécessaire :
- Utiliser les modèles freemium en toute sécurité juridique : Les entreprises proposant des comptes utilisateurs gratuits ou des offres „ freemium “ peuvent désormais utiliser le soft opt-in en toute sécurité juridique. Utilisez les adresses e-mail issues d'inscriptions gratuites pour la publicité directe de vos propres offres premium, sans autorisation séparée. Consentement. Mais uniquement si les conditions d'opt-out ont été respectées. Assurez-vous que dès l'inscription, une mention claire concernant l'envoi de la newsletter soit indiquée et qu'il soit possible de se désabonner.
- Contrôle de similitude des Publicité: Vérifiez que le contenu publicitaire que vous prévoyez de diffuser concerne bien uniquement vos propres produits/services similaires. Publicité pour les produits non spécialisés, les offres de tiers ou les services entièrement nouveaux de l'entreprise ne relève pas de l'exception et nécessite Consentement. Veillez à ce que le contenu marketing reste étroitement lié au produit initialement acheté.
- Mettre en œuvre systématiquement l'opt-out : Documentez les possibilités de désinscription dans vos systèmes. Chaque e-mail publicitaire doit contenir un lien de désinscription bien visible. Cela renforce également la confiance des clients. Vérifiez régulièrement que les désinscriptions sont mises en œuvre de manière fiable sur le plan technique.
- Pas de couplage caché : Renoncez à proposer des newsletters de manière dissimulée dans le cadre d'un „ pack obligatoire “. Si vous proposez une Consentement doivent obtenir (car le soft opt-in ne s'applique pas), celle-ci ne doit pas être liée à l'utilisation du compte. Les utilisateurs doivent pouvoir utiliser l'offre gratuite même s'ils refusent la newsletter, sinon la Consentement inefficace (Interdiction de couplage).
- Transparence dans les déclarations de confidentialité : Adaptez votre politique de confidentialité et les informations destinées aux clients. Expliquez clairement à quelles fins vous utilisez l'adresse e-mail (par exemple, pour envoyer une newsletter gratuite sur des offres similaires) et précisez que l'utilisateur peut s'y opposer à tout moment. Cela souligne votre Conformité et informe les personnes concernées conformément à l'art. 13. RGPD.
- Documentation la base juridique : Consignez la base sur laquelle vous envoyez vos newsletters. Pouvez-vous vous appuyer sur le § 7 al. 3 UWG / art. 13 al. 2 ePrivacy-RL (soft opt-in), ou existe-t-il une Consentement avant ? Une propre Documentation aide à prouver que votre cabinet est conforme à la législation en vigueur.
Conclusion : newsletter sans consentement dans des conditions strictes
L'arrêt C-654/23 Inteligo Media de la CJUE apporte une clarification qui facilite la tâche des entreprises : la réglementation ePrivacy relative à la Marketing par courriel est une lex specialis et autorise, dans des conditions strictes, l'envoi de newsletters sans opt-in préalable. Les newsletters doivent être considérées comme de la publicité directe, même si leur contenu est principalement informatif.
Les entreprises ont tout intérêt à adapter dès maintenant leurs processus de newsletter : celles qui souhaitent bénéficier de l'exception du soft opt-in doivent respecter toutes les conditions requises. Dans le cas contraire, une déclaration explicite est nécessaire. Consentement du destinataire. Dans l'ensemble, cet arrêt renforce les approches pratiques dans le domaine du marketing direct et tient compte de la réalité des services en ligne „ gratuits “. Pour les délégués à la protection des données et les décideurs, cela signifie une plus grande sécurité juridique dans la conception de Marketing par courriel, Il convient toutefois de faire preuve de prudence afin de conserver la confiance des utilisateurs et d'éviter tout risque juridique.
German 
English 
Italian 
French