Expertises des Systèmes d'information - Décembre 2021 - N°474 - Le mensuel du droit de l'informatique et du multimédia - 429

DOCTR INE
RGPD
Base légale de l'utilisation
des réseaux sociaux à des
fins promotionnelles
Chaque mois, Alexandre Fiévée tente d'apporter des
réponses aux questions que tout le monde se pose
en matière de protection des données personnelles,
en nous appuyant sur les décisions rendues par
les autorités nationales de contrôle de protection
des données personnelles au niveau européen. Ce
mois-ci, il se penche sur une décision de l'autorité
de contrôle italienne qui se prononce sur l'absence
de base légale d'une utilisation des réseaux sociaux
à des fins promotionnelles.
A
la
d'un
suite d'une plainte
particulier
qui
reprochait à l'un de
ses « contacts » sur
LinkedIn de lui avoir adressé une
offre concernant des services
immobiliers, la GPDP, autorité
italienne de contrôle, a sanctionné
ce professionnel au motif que le
traitement ainsi réalisé ne reposait
sur une aucune base légale.
Rappel du principe
« Pour pouvoir être mis en œuvre,
rappelle la Cnil, tout traitement de
données doit se fonder sur l'une
des " bases légales " prévues par le
RGPD. La détermination de la base
légale appropriée est une étapeclé
pour les organismes »1
.
Les bases légales sur lesquelles le
responsable du traitement peut
s'appuyer sont au nombre de
six : le consentement (la personne
a consenti au traitement de ses
données) ; le contrat (le traitement
est nécessaire à l'exécution ou à
la préparation d'un contrat avec la
personne concernée) ; l'obligation
légale (le traitement est imposé
par des textes légaux) ; la mission
En matière de marketing, s'il est
traditionnellement admis que la
base légale est l'intérêt légitime, le
consentement est requis dès lors
que la prospection est réalisée par
voie électronique (du moins en B to
C). Qu'en est-il lorsqu'un professionnel
utilise la plateforme LinkedIn
pour collecter de l'information sur
des prospects et leur adresser des
messages promotionnels ?
EXPERTISES DÉCEMBRE 2021
d'intérêt public (le traitement est
nécessaire à l'exécution d'une
mission d'intérêt public) ; l'intérêt
légitime (le traitement est nécessaire
à la poursuite d'intérêts
légitimes de l'organisme qui traite
les données) ; et la sauvegarde
des intérêts vitaux (le traitement
est nécessaire à la sauvegarde
des intérêts vitaux de la personne
concernée, ou d'un tiers). En
d'autres termes, un traitement de
données personnelles est interdit
s'il ne repose pas sur une des six
bases
légales énumérées par
le
RGPD. Il appartient au responsable
du traitement de choisir
légale appropriée, au cas par cas, en
considération de la situation et du
type de traitement.
la base
L'affaire
Dans cette affaire2
, le collaborateur
d'une société a utilisé le
registre public immobilier pour
vérifier la propriété de plusieurs
biens et adresser ensuite aux
propriétaires identifiés (avec qui
il était en « contact » sur le réseau
LinkedIn) des propositions de
services immobiliers. L'un d'eux
s'est plaint de cette démarche
commerciale auprès de la GPDP,
l'autorité italienne de protection
des données. Lors de l'audience,
la société a contesté toute forme
de manquement au RGPD, considérant
d'une part que l'accès au
registre public immobilier avait
été fait pour réaliser des vérifications
sur la propriété des biens et
d'autre part que le profil LinkedIn
du plaignant était configuré de
manière à être joignable par tout
utilisateur du réseau social, sans
aucune limitation.
Cette analyse n'a pas été validée par
la GPDP, qui a relevé tout d'abord
que : « LinkedIn est une plateforme
dont le but est de mettre en
relation des personnes partageant
429

Expertises des Systèmes d'information - Décembre 2021 - N°474 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Décembre 2021 - N°474 - Le mensuel du droit de l'informatique et du multimédia