C’est un message qui a attiré l’attention ce week-end des 3 et 4 décembre 2022. En feuilletant le journal, l’ancien député européen Jean-Marie Cavada a remarqué un curieux encart publicitaire : la maison Mercier & Cie, spécialisée dans la vente aux enchères, va proposer à l’achat les droits de propriété intellectuelle de la marque Camaïeu, liquidée cet automne.
En lisant dans le détail les actifs proposés à partir de 500 000 euros, on relevait le portefeuille des différentes marques de l’entreprise, mais également les noms de domaine. C’est surtout un dernier élément qui a retenu l’attention : le fichier clients du groupe, contenant 3,8 millions d’individus actifs, selon la description faite dans l’encart publicitaire.
La présence de ce fichier a immédiatement interrogé la légalité de la démarche au regard du Règlement général sur la protection des données (RGPD). Ce texte exige, entre autres, de recueillir le consentement éclairé et explicite des individus pour traiter leurs données personnelles, selon des finalités préalablement bien exposées.
La vente, prévue le 7 décembre, a fini par remonter jusqu’aux oreilles de la Cnil (la Commission nationale de l’informatique et des libertés). Si elle ne s’exprime pas spécifiquement sur le cas de Camaïeu, l’autorité de protection des données personnelles vient toutefois de préciser le cadre légal qui s’applique à ce genre de base de données.
Cette vente peut être licite, mais il y a des règles à respecter
Sans surprise, la Cnil observe que la vente d’un fichier clients peut être licite — c’est d’ailleurs une opération courante, précise-t-elle. Cependant, cela doit se dérouler dans le cadre du RGPD, avec en particulier deux conditions : il faut que cette liste contienne des clients actifs et que ceux-ci aient acceptés que leurs données soient transférables à des tiers.
Ce que l’on entend par client actif est un client dont la dernière relation commerciale avec l’entreprise a moins de trois ans. Cette relation commerciale peut prendre diverses formes : un achat, l’expiration d’une garantie, une prestation de services, un contact venant du client. La dernière relation commerciale sert de référence pour déterminer s’il s’agit d’un client actif ou non.
L’acquisition du fichier clients impose aussi à son nouveau propriétaire de suivre certaines règles. La première étant qu’il faudra prévenir, rapidement, toutes les personnes présentes dans ce fichier de ce transfert. Le délai en la matière est d’un mois. Il faudra par ailleurs vérifier si le consentement des personnes a bien été recueilli.
Avant l’intervention de la Cnil, plusieurs spécialistes du droit avaient estimé que la vente du fichier clients de Camaïeu peut être licite si les dispositions du RGPD sont respectées. C’est le cas de Bernard Lamon, avocat spécialiste en droit du numérique et des communications, et Thibault Douville, professeur des universités et directeur du master droit du numérique à Caen.
« La cession est possible et l’acquéreur devra recueillir un consentement renouvelé des personnes concernées. C’est conforme au RGPD. Certains disent que la cession est impossible : je ne pense pas », a écrit Bernard Lamon. Un autre de ses confrères, Jean-Christophe Guerrini, a, lui aussi, estimé la cession légale si cette base de données est conforme à la loi.
Qu’en est-il du fichier clients de Camaïeu ? Il ne sera en l’espèce peut-être pas requis d’informer les individus après cette cession ni de procéder à une quelconque vérification. Et pour cause : sur le site Interenchères, le lot contenant la propriété intellectuelle du groupe ne fait plus du tout mention du fichier clients. Il ne reste que les marques et les noms de domaine.
Abonnez-vous à Numerama sur Google News pour ne manquer aucune info !
