L'utilisation des pixels espions dans une newsletter

Le pixel espion (aussi appelé "balise") est un morceau de code qui, intégré à un site web, va permettre de faire remonter diverses informations concernant les utilisateurs eux-mêmes ainsi que les actions qu'ils entreprennent sur le site (tranches d'âge, pages consultées, clics, etc...).

Concrètement, il se matérialise par une image numérique dont la dimension représente 1x1 pixel (d'où le nom) et qui, lors de son chargement lié à l'affichage d'une page web ou à l'ouverture d'un Email, va transmettre différentes mesures.

Ces "mesures" permettent de comprendre le trafic d'un site interne et le  comportement des internautes. Ils sont de très bons indicateurs pour juger, par exemple, de l'efficacité d'une campagne de publicité ou de l'attractivité d'un article de blog.

Le pixel espion est donc très largement présent dans les mails type newsletter ou publicitaire afin de collecter des informations sur le destinataire et, c'est pour cette raison que la plus part des boîtes mails bloquent le chargement automatique des images dans une grande partie de vos courriels et vous demande une action manuelle afin de les télécharger.

Toute utilisation de pixels espions nécessite une certaine conformité au Règlement Général de Protection des Données Personnelles (ci-après « RGPD »), comme cela est imposé pour l’utilisation des cookies sur les sites internet.

L’Autorité danoise de protection des données a reçu une plainte concernant l’utilisation des pixels espions au sein des newsletters d’un fonds de croissance dénommé Vækstfonden.

Le 17 février 2022, compte tenu de la plainte reçue, l’Autorité a mené sa propre enquête sur l’utilisation des pixels espions dans les newsletters envoyées par le fonds de croissance à ses abonnées.

A l’issue d’une telle enquête, l’Autorité a constaté une violation de l'article 6, sous-section 1 et de l'article 13 du RGPD.

Le 15 mars 2022, à la suite d’un courrier d’avertissement de l’Autorité danoise, le fonds de croissance a déclaré que le système de newsletters allait être modifié prochainement et a précisé que depuis février 2022, aucune newsletter n’a été envoyée via ce système.

Le fonds de croissance a ajouté que seules les données personnelles non sensibles et non confidentielles sont collectées et traitées.

Par ailleurs, il a précisé qu’il agissait en qualité d’acteur privé pour le traitement des données en question.

Néanmoins, le fonds de croissance a reconnu que les pixels espions n’avaient pas été désactivés lors de l’envoi des newsletters de septembre 2021 jusqu’à janvier 2022.

Eu égard aux précisions apportées par le fonds de croissance, l’Autorité danoise a formulé les demandes suivantes :

• S’assurer que tous les destinataires de la newsletter consentent à l’utilisation de pixels espions ;
• S’assurer que le nouveau système contient les fonctions nécessaires pour éviter des erreurs humaines lors de l’envoi des newsletters, etc..
• Mettre en place des mesures garantissant que des erreurs ne se reproduisent plus, notamment en impliquant la direction des risques du fonds de croissance.

Le fonds de croissance a alors suspendu l’envoi des newsletters jusqu’à la transition vers un nouveau système chargé d’envoyer les newsletters tout en respectant les recommandations de l’Autorité danoise.

En outre, une actualisation de la politique de confidentialité du fonds de croissance a également été mise en œuvre afin d’assurer le respect de l’article 13 du RGPD consacrant le droit à l’information de la personne concernée.

Enfin, le fonds de croissance a mis en place une procédure de suppression des informations stockées dans ses systèmes numériques et a supprimé toutes les données collectées grâce aux pixels espions avant le 30 juin 2021.

Comme indiqué ci-dessus, l’utilisation de pixels espions dans une newsletter entraîne automatiquement un traitement des données à caractère personnel du destinataire de la newsletter.

Conformément à l’article 6 du RGPD, le traitement des données personnelles est licite si la personne concernée a donné son consentement explicite audit traitement.

Par ailleurs, l’article 13 du RGPD énonce clairement que lorsque des données à caractère personnel ont été collectées auprès de la personne concernée, le responsable de traitement doit obligatoirement, au moment de la collecte des données, notifier à la personne concernée une série d’informations (identité du responsable de traitement, finalités du traitement, destinataires des données collectées etc.).

Par conséquent, le responsable de traitement émetteur de la newsletter doit s’assurer que les destinataires consentent au traitement de leurs données et qu’ils sont informés de la finalité de celui-ci.

Afin de garantir le respect des articles 6 et 13 du RGPD, il est essentiel pour le responsable de traitement de mettre en place les mesures suivantes :

• Recueillir le consentement du destinataire de la newsletter pour le traitement de ses données personnelles ;

• Informer le destinataire de la newsletter de la finalité du traitement de ses données personnelles.

En pratique, afin de recueillir le consentement du destinataire, il est recommandé d’ajouter un opt-in via lequel le destinataire peut donner son consentement explicite sur le traitement de ses données personnelles.

Par ailleurs, afin d’informer le destinataire de la finalité du traitement de ses données personnelles, il convient d'indiquer cette finalité dans votre politique de confidentialité et de renvoyer à cette politique au sein de l’opt-in comme dans l’exemple ci-dessous.  

Exemple d’opt-in à insérer :

«  J’accepte que mon adresse électronique/numéro de téléphone soit utilisé pour recevoir les newsletters de la société XXX par courrier électronique ou SMS.

Et, en cas de transmission à des partenaires :  J’accepte que mon adresse électronique/numéro de téléphone soit transmis aux partenaires de la société XXX à des fins de prospection commerciale par courrier électronique ou SMS. 

En acceptant de recevoir nos newsletters vous confirmez avoir pris connaissance de notre Politique de Confidentialité présente sur notre site internet : [insérer le lien de votre politique de confidentialité] »

il est indispensable de vérifier la conformité de l’utilisation des pixels espions par votre société au sein de ses newsletters.

Chez PLR Avocats, nous nous efforçons de tenir une veille juridique régulière pour nos clients concernant l'évolution et le respect des règles en matière de protection des données personnelles.

Nous accompagnons les entreprises dans leur mise en conformité avec le RGPD afin que celle-ci soit pleinement efficace et opposable à la CNIL.

PLR Avocats prend également en charge les missions du DPO.

Pour nous contacter, c'est ICI !