La CNIL rappelle les règles sur la vente de fichiers clients : ce qu’il faut savoir
À la suite de sa liquidation judiciaire, Camaïeu met en vente ses actifs immatériels dont son fichier de clients de plus de 4 millions de personnes. Une vente aux enchères doit avoir lieu mercredi 7 décembre. Mais cette vente de fichiers clients suscite un questionnement majeur : est-ce en conformité avec le RGPD ? Aujourd’hui, la CNIL fait le point.
La vente de fichiers clients est bien autorisée
La CNIL (Commission Nationale de l’Informatique et des Libertés) confirme que la vente d’un fichiers clients est bien autorisée à condition de respecter le RGPD.
Parce qu’un tel fichier contient des données personnelles – notamment l’identité (nom et prénom), l’adresse email, le numéro de téléphone ou encore l’adresse postale des personnes enregistrées dans la base de données – sa transmission ne peut se faire que sous réserve de respecter le règlement général sur la protection des données (RGPD), explique la CNIL.
L’autorité française précise également que « seuls les fichiers qui ont été constitués dès le départ dans le respect de la réglementation peuvent faire l’objet d’une vente. »
Les règles de la CNIL pour les ventes de fichiers clients
La CNIL livre les conditions nécessaires pour être en conformité avec le RGPD :
- Le fichier vendu doit contenir seulement les données des clients actifs : les données des clients peuvent être utilisées pour une durée de 3 ans à compter de la fin de la relation commerciale (par exemple, à compter d’un achat).
- Seules les données des clients qui ne se sont pas opposés à la transmission de leurs données ou qui y ont consenti peuvent être vendues : cela signifie que ceux qui se sont opposés ou qui n’ont pas consenti à la transmission de leur données devront être supprimés du fichier avant que celui-ci ne soit revendu.
- L’acquéreur doit assurer le respect des droits des personnes : il doit fournir une information claire aux personnes présentes dans le fichier acheté et vérifier l’existence d’un consentement éclairé à la prospection en ligne s’ils souhaitent utiliser leurs données.
Pour connaître tous les détails des règles, rendez-vous sur le blog post de la CNIL.
Quel que soit le canal de prospection utilisé, chaque sollicitation devra permettre aux personnes d’exprimer, si elles le souhaitent et par un moyen simple, leur refus de recevoir de nouvelles sollicitations (par exemple avec un lien pour se désinscrire à la fin du message).
