Influenceur et RGPD : organiser une campagne conforme

Un influenceur peut traiter les données de son audience sans vendre de fichier : une newsletter, un concours, un formulaire pour une marque ou un export de messages suffisent à ouvrir des questions RGPD. Le premier travail consiste à repérer les opérations réellement décidées, puis à attribuer les responsabilités et à organiser les choix des personnes.

Une mention publicitaire explique la nature commerciale d’une publication. Elle ne dit pas nécessairement qui recevra les coordonnées, combien de temps elles seront conservées ni comment demander leur suppression. Ces informations doivent accompagner les parcours concernés.

Cartographier les opérations de la campagne

Partez des actions de l’audience : commenter, s’inscrire, envoyer un message, cliquer sur un lien, demander un lot. Pour chaque action, suivez les données jusqu’à leur destination finale. Incluez les outils du créateur, de l’agence et de la marque, ainsi que les copies locales.

Cette cartographie n’est pas un modèle imposé par le RGPD. Elle aide à appliquer les Art. 5(1)(b), (c) et (e) : finalités définies, données nécessaires et conservation limitée. Une colonne disponible dans un export n’a pas, pour cette seule raison, sa place dans le bilan.

Attribuer les rôles à partir des décisions réelles

Le créateur qui choisit de développer sa newsletter détermine une finalité propre. Pour une collecte au bénéfice d’une marque, les faits peuvent être différents. Qui choisit les personnes visées, les champs obligatoires, les destinataires et les réutilisations ? Qui peut décider d’une nouvelle campagne ?

La sous-traitance suppose un traitement pour le compte d’un responsable. Une responsabilité conjointe peut exister lorsque plusieurs acteurs déterminent ensemble les finalités et les moyens du traitement. Des responsabilités distinctes peuvent aussi se succéder. Les Art. 26(1) à (3) et 28(3) organisent les obligations correspondantes.

Écrivez une répartition compréhensible : information fournie par qui, preuve conservée où, demandes reçues par quel contact et suppressions déclenchées par qui. La personne doit pouvoir exercer ses droits ; les partenaires ne doivent pas la renvoyer indéfiniment les uns vers les autres.

Pour la remise de contacts, le dossier de transmission des leads par un influenceur précise les éléments à vérifier avant l’import chez l’annonceur. Un contrat rémunérant des inscriptions ne transforme pas toutes ces inscriptions en autorisations de prospection.

Séparer participation, livraison et communication commerciale

Un concours doit d’abord disposer de règles cohérentes avec son déroulement. La gestion des données nécessaires peut relever de l’Art. 6(1)(b) si elle est effectivement nécessaire à un contrat auquel la personne participe ; cette qualification demande un examen de l’opération. Elle ne couvre pas automatiquement une newsletter, un portrait publicitaire ou la transmission à tous les sponsors.

L’Art. L. 34-5 du CPCE encadre séparément la prospection électronique. La participation ne fournit pas, par elle-même, le consentement requis pour envoyer des offres commerciales aux particuliers. Une case facultative peut exprimer ce choix ; elle ne doit pas être confondue avec l’acceptation des règles du jeu.

Demandez l’adresse de livraison au gagnant lorsque cela suffit. Les autres participants n’ont pas besoin de fournir la même information. Si le jeu se déroule dans les commentaires, évitez d’exporter les personnes simplement mentionnées par un ami comme si elles s’étaient inscrites. Le guide des concours dans les commentaires détaille le tri et la justification du tirage.

Construire un parcours de newsletter compréhensible

Pour une newsletter commerciale adressée à des particuliers, l’article L. 34-5 du CPCE prévoit le principe du consentement préalable et des exceptions encadrées. Suivre le créateur sur un réseau social ne démontre pas, à lui seul, un consentement aux emails ni l’existence d’une vente ouvrant l’exception des produits ou services analogues du même fournisseur.

Un formulaire dédié peut présenter clairement l’identité de l’expéditeur, le contenu proposé et l’action d’inscription. Conservez le texte effectivement affiché et son lien avec le choix de la personne. L’Art. 7(1) impose de pouvoir démontrer le consentement ; l’Art. 7(3) prévoit un retrait possible à tout moment, aussi simple que le recueil.

Si les adresses doivent aller à une marque, le formulaire doit permettre de comprendre ce destinataire et son usage. Une newsletter du créateur et les offres d’une société partenaire ne deviennent pas une seule finalité parce qu’elles apparaissent sur la même page. Préparez aussi le sort des inscriptions recueillies par une ancienne version du formulaire.

Pour la prospection professionnelle, la CNIL distingue les sollicitations liées à la profession, sous réserve d’information et d’opposition. Cette possibilité ne dispense pas d’analyser la base légale et ne couvre pas indistinctement toute l’audience d’un compte professionnel.

Préparer une campagne avec une audience mineure

Le seuil français de quinze ans concerne un cadre précis. L’Art. 8(1) et (2) du RGPD, combiné à l’article 45 de la loi Informatique et Libertés, vise l’offre directe de services de la société de l’information lorsque le traitement repose sur le consentement. En dessous de quinze ans, le droit français prévoit un accord conjoint du mineur et du ou des titulaires de l’autorité parentale.

Ce seuil n’est donc ni une majorité générale ni une autorisation de tout usage publicitaire à partir de quinze ans. La validité d’un contrat, l’image du mineur et les règles propres aux plateformes soulèvent d’autres questions. Les traitements concernés doivent également faire l’objet d’une information claire et adaptée à leur compréhension.

La recommandation de la CNIL sur le consentement parental insiste sur le caractère conjoint de cet accord. Évitez un dispositif qui prétendrait recueillir le choix du jeune en ne demandant que celui du parent.

Avant de lancer une collecte ouverte aux mineurs, définissez une méthode proportionnée pour traiter l’âge et les accords nécessaires. L’Art. 8(2) exige des efforts raisonnables de vérification compte tenu des moyens technologiques disponibles. Collecter systématiquement des pièces d’identité de toute l’audience n’est pas une conséquence automatique de cette obligation. Si le parcours n’est pas prêt, reportez cette collecte plutôt que d’accumuler des dossiers impossibles à justifier.

Vérifier les liens affiliés et les outils d’attribution

Un lien affilié peut servir à identifier l’origine d’une vente. Il faut regarder ce qui se produit réellement après le clic : paramètres transmis, lectures ou écritures dans le terminal, destinataires et éventuelle association avec un compte. Le nom commercial d’une technologie ne suffit pas à déterminer son régime.

L’article 82 de la loi Informatique et Libertés encadre l’accès aux informations du terminal et leur inscription, avec un consentement préalable sauf exceptions définies. La nécessité pour rémunérer un partenaire ne se confond pas avec la stricte nécessité au service expressément demandé par l’utilisateur.

Le dossier de l’affiliation après refus des cookies aide à répartir les contrôles entre créateur, réseau et annonceur. Une simple URL n’est pas automatiquement un traceur ; inversement, l’absence de cookie tiers ne prouve pas l’absence d’opération soumise au consentement. Faites expliquer les flux et les conséquences d’un refus avant de publier la campagne.

Réunir un dossier exploitable avant la publication

Exemple fictif : la créatrice Iris prépare une opération avec la marque Sureau. Le concours reste réservé aux adultes ; une newsletter propre à Iris est proposée séparément. La marque souhaite uniquement un bilan global et les coordonnées nécessaires pour expédier le lot au gagnant.

Dans ce scénario, la fiche de campagne peut prévoir :

• les règles et la notice du concours dans leurs versions diffusées ;
• un export limité aux éléments nécessaires au tirage et à sa justification ;
• une collecte privée de l’adresse du gagnant pour la livraison ;
• la preuve des inscriptions distinctes à la newsletter d’Iris ;
• un bilan à Sureau dont le niveau de détail ne permet pas d’identifier inutilement les participants.

Si la marque demande ensuite les adresses de tous les participants, cette demande modifie le projet. L’équipe doit examiner la nouvelle finalité, la transmission, l’information et les accords nécessaires. Elle ne doit pas modifier silencieusement l’export pour satisfaire le sponsor.

De même, un portrait du gagnant destiné à une publicité appelle un examen distinct de la livraison. Le guide des photos d’événement utilisées en marketing aide à organiser autorisation d’image, information et retrait selon le cas. La remise du lot ne vaut pas accord général à toutes les réutilisations visuelles.

Clôturer la campagne et traiter les droits

Définissez des durées par usage : gestion du concours, preuve, livraison, newsletter et copies de travail. La fin du partenariat doit déclencher un examen des accès et exports ; elle ne signifie pas que toute pièce doit être détruite le même jour. Une conservation résiduelle exige une finalité et une justification propres.

Les Art. 12 à 21 du RGPD encadrent l’information et les droits selon leurs conditions respectives. Préparez un contact qui reste actif après la dernière publication. Une opposition à la prospection doit atteindre les outils concernés, y compris lorsqu’elle arrive auprès du créateur après une transmission à la marque.

Pour le dossier Iris, la clôture proposée consiste à vérifier le retrait des accès temporaires, la suppression des exports devenus inutiles et le maintien des seuls abonnés ayant valablement choisi la newsletter. Ce sont des actions à organiser et à documenter, sans prétendre qu’une plateforme les réalise automatiquement.

Ce qu’il faut retenir

• Décomposez la campagne en opérations et destinataires précis.
• Réservez la livraison, la newsletter et la publicité à leurs usages justifiés.
• Préparez les parcours concernant les mineurs avant la collecte.
• Vérifiez les traceurs, les droits et les copies jusqu’à la clôture.

FAQ

L’agence peut-elle prendre toute la responsabilité ?

Le contrat doit refléter les décisions et traitements réels. Chaque acteur conserve les obligations liées à son rôle ; une clause générale ne change pas à elle seule cette qualification.

Peut-on garder les non-gagnants comme prospects ?

La participation ne suffit pas. Examinez séparément le fondement de la prospection, les accords nécessaires, l’information et la durée adaptée.

La mention « publicité » remplace-t-elle la notice RGPD ?

Elle explique la dimension commerciale de la publication. La notice doit permettre de comprendre les traitements de données, leurs responsables et les droits correspondants.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.