Agence emailing : qui conserve les preuves ?

L’annonceur qui fonde une campagne sur le consentement doit pouvoir le démontrer, même lorsque l’agence collecte les inscriptions et conserve les preuves. Il n’est pas obligé d’héberger lui-même toutes les traces, mais il doit organiser leur disponibilité, leur intelligibilité et leur restitution. Un contrat qui indique seulement « base conforme RGPD » ne répond pas à cette exigence.

Le bon livrable n’est pas une attestation générale. C’est un ensemble permettant de relier un destinataire, un choix, le texte alors présenté et l’utilisation effectivement autorisée. Ce guide explique comment répartir le travail avec une agence, puis vérifier la remise sans dupliquer inutilement tout le fichier.

Définir d’abord l’opération confiée à l’agence

Une agence peut publier le formulaire, héberger la base, préparer les sélections ou envoyer les messages. Elle peut aussi fournir son propre fichier ou organiser une campagne pour plusieurs annonceurs. Ces situations ne permettent pas d’attribuer un rôle unique à toutes ses activités.

Lorsqu’elle traite les données pour le compte de l’annonceur, sur ses instructions, l’article 28 du RGPD encadre la sous-traitance. Le contrat doit correspondre aux opérations réelles. Une agence qui réutilise les contacts pour ses propres offres poursuit une finalité distincte, qui demande sa propre qualification ; l’accord de l’annonceur ne remplace pas celui des personnes lorsque celui-ci est requis.

Le présent guide prend comme hypothèse principale une agence chargée de collecter les inscriptions et d’exécuter l’emailing d’un annonceur identifié. Il ne permet pas de qualifier automatiquement la revente d’un fichier, la publicité du réseau d’agences ou une responsabilité conjointe.

L’Art. 7(1) impose au responsable de démontrer le consentement lorsqu’il est utilisé. L’Art. 28(3)(h) impose au sous-traitant de mettre à disposition les informations nécessaires pour démontrer ses obligations et de contribuer aux audits. Confier l’exécution ne fait donc pas disparaître le besoin de preuve de l’annonceur.

Relier quatre éléments qui répondent à des questions différentes

Le dossier doit permettre de comprendre qui a choisi, quoi, quand et dans quel contexte. Une ligne « abonné=true » ne répond qu’à une partie de la question, parfois sans expliquer comment cette valeur a été créée.

Les lignes directrices 5/2020 du CEPD, §§104–108 expliquent que le responsable choisit sa méthode de preuve, sans collecter excessivement. Il doit pouvoir établir l’accord individuel et les informations présentées à cette occasion ; renvoyer à la bonne configuration actuelle du site ne suffit pas.

Une organisation exploitable relie les éléments suivants :

Les identifiants doivent permettre le rapprochement sans exposer toutes les données à chaque intervenant. Conserver une adresse IP ou une copie d’identité par défaut n’est pas une obligation générale de preuve du consentement. Le choix des traces doit être nécessaire et proportionné au regard de l’Art. 5(1)(c).

Une annexe opérationnelle partielle, commentée

Les formulations suivantes sont des propositions à adapter. Elles complètent un contrat de sous-traitance ; elles ne prétendent pas contenir toutes ses clauses obligatoires.

Supports. « L’agence conserve chaque version du support de collecte utilisé pour l’annonceur, avec le texte présenté, les dates de mise en service et les références permettant de la relier aux choix enregistrés. Une nouvelle version ne remplace pas silencieusement les références historiques. »

Cette clause évite de produire aujourd’hui un beau formulaire qui n’était pas celui de l’inscription. L’annonceur valide le texte destiné à sa campagne ; l’équipe qui publie confirme la version effectivement déployée. Une maquette approuvée n’est pas une preuve de mise en production.

Accès. « L’agence permet au contact habilité de l’annonceur et à son suppléant d’obtenir, pour un identifiant déterminé, les éléments utiles à la reconstitution du choix. La restitution indique les éventuelles lacunes et la signification des champs. »

L’accès peut reposer sur un export ou une consultation sécurisée. Une extraction illisible, réservée à un salarié parti depuis six mois, n’est pas une solution opérationnelle. Le contrat précise le délai de service convenu selon les besoins ; il ne faut pas présenter ce délai négocié comme un délai universel prévu par le RGPD.

Retraits. « L’agence enregistre les retraits et restrictions reçus dans le périmètre confié, les répercute aux sélections concernées et signale les copies ou systèmes dans lesquels leur application n’est pas confirmée. Une valeur manquante n’est pas interprétée comme un accord. »

Cette règle doit aussi couvrir les campagnes préparées avant le retrait. L’Art. 7(3) exige un retrait aussi simple que le consentement ; l’Art. 21(2) et (3) encadre l’opposition à la prospection. Un calendrier mensuel d’échange de fichiers ne justifie pas des envois contraires à un refus entre deux synchronisations.

Restitution. « La remise de fin de mission comprend les données et preuves nécessaires dans un format documenté, avec les références de supports et les exclusions applicables. Les écarts sont identifiés avant la suppression des copies selon les instructions et les obligations applicables. »

L’Art. 28(3)(g) prévoit, au choix du responsable, suppression ou renvoi des données en fin de prestation et destruction des copies, sauf conservation exigée par le droit applicable. La clause doit organiser cet enchaînement, pas donner à l’agence une autorisation de garder indéfiniment sa propre copie marketing.

Exemple de réception : trois destinataires, trois conclusions

Voici un dossier fictif de réception, sans essai allégué sur un outil réel. L’annonceur Mosaïque prépare sa lettre mensuelle. Son agence remet une extraction correspondant à trois identifiants examinés. Le support F-03 nomme Mosaïque et décrit cette lettre ; le support F-04 concerne une opération distincte.

Pour C-101, l’événement du 3 septembre renvoie à F-03, contient le choix positif et peut être attribué au contact. Aucun événement de retrait n’apparaît dans les sources de préférences examinées. Le dossier permet de justifier ce choix pour la lettre décrite, sous réserve des autres conditions applicables à l’envoi.

Pour C-102, la colonne indique « abonné », mais aucune référence de formulaire ni événement attribuable n’est retrouvé. L’annonceur ne peut pas déduire une preuve individuelle de la bonne tenue de C-101. Il exclut C-102 de cette campagne fondée sur le consentement tant qu’une justification valable n’est pas établie.

Pour C-103, un accord F-03 est documenté le 5 septembre et un retrait le 20. L’export d’audience préparé le 18 le contient encore. L’agence retire cette adresse de la sélection concernée et vérifie le fichier réellement utilisé avant l’envoi. La preuve de septembre reste utile à l’histoire du dossier ; elle n’autorise pas l’envoi après retrait.

La réception décrit donc trois conclusions individuelles, pas un taux de conformité de toute la base. Cet examen révèle les types d’écarts à rechercher plus largement. Il ne permet pas d’affirmer que les autres contacts sont valides parce qu’un petit échantillon était documenté.

Que demander lorsque la preuve manque ?

Demandez les références et traces existantes : support archivé, journal d’événement, confirmation éventuelle, historique d’import ou de modification. Le guide pour prouver le consentement aide à distinguer ces pièces d’un statut commercial.

Si l’agence retrouve un ancien support, il faut encore relier le destinataire à son utilisation. Une capture isolée ne remplit pas ce manque. Ne recréez pas un faux événement avec la date d’import ou la date de début du contrat d’agence.

L’envoi fondé sur un consentement non démontré reste écarté. Un nouveau choix valablement recueilli peut justifier l’avenir dans son périmètre ; il ne rend pas rétroactivement licites les anciens traitements. N’envoyez pas non plus une promotion de « reconfirmation » en supposant que sa formulation suffit à la dispenser des règles d’email marketing.

Lorsque le défaut touche une règle commune de collecte ou d’import, l’annonceur examine la population concernée et les campagnes passées. Corriger une seule fiche ne répond pas à un mécanisme qui en a créé des milliers. Le périmètre doit être établi à partir des faits disponibles, sans inventer un nombre de personnes touchées.

Sécuriser le dossier de preuve et sa durée

Les preuves contiennent elles-mêmes des données personnelles. Donnez accès aux personnes qui doivent les consulter, protégez les exports et séparez les dossiers des clients de l’agence. Un répertoire partagé pour toutes les campagnes peut exposer les coordonnées d’un annonceur à un autre.

La cartographie des accès des sous-agences permet de suivre les intervenants supplémentaires. Les conditions d’autorisation et de recours à d’autres sous-traitants prévues aux Art. 28(2) et (4) s’appliquent lorsqu’ils réalisent ces traitements pour le compte de l’annonceur.

La durée du dossier de preuve doit correspondre à son besoin. Le CEPD indique au §107 que la démonstration reste nécessaire pendant le traitement concerné ; après sa fin, la preuve ne doit pas être conservée plus longtemps que strictement nécessaire à une obligation légale ou à la défense de droits. Cela n’impose pas une conservation éternelle de tous les événements techniques.

Distinguez les données nécessaires pour respecter un refus, les preuves limitées d’une opération passée et les informations devenues inutiles. Documentez les échéances et les accès. Le changement d’agence ne fait pas repartir automatiquement toutes les durées.

Ce qu’il faut retenir

• L’annonceur doit pouvoir démontrer le consentement qu’il invoque.
• Le support, le choix individuel, son historique et l’envoi sont des preuves différentes.
• Le contrat organise l’accès, les retraits et la restitution avec des critères concrets.
• Une lacune bloque l’usage concerné ; une preuve nouvelle ne répare pas rétroactivement le passé.

FAQ

Faut-il recevoir une copie de toute la base chaque semaine ?

Pas nécessairement. Un accès fiable et une restitution ciblée peuvent suffire. Multiplier les copies augmente les données à protéger et les refus à répercuter ; choisissez une organisation adaptée.

Une certification de l’agence remplace-t-elle les preuves ?

Non. Elle peut apporter un élément d’appréciation selon sa portée, mais elle ne démontre pas le choix de chaque destinataire ni son état à la date de la campagne.

L’agence peut-elle fournir seulement un total d’inscriptions ?

Ce total peut servir au suivi commercial. Il ne permet pas de reconstituer l’accord d’une personne qui conteste un envoi. Le dossier doit donner accès aux éléments individuels utiles.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.