Ape Store

1/44
Recommandation n° 02/2013 du 30 janvier 2013
Objet : marketing direct et protection des données à caractère personnel (CO-AR-2012-007)

La Commission de la protection de la vie privée ;

Vu la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel (ci-après LVP), en particulier l'article 30 ;

Vu le rapport de Monsieur Willem Debeuckelaere, Président ; Émet, le 30 janvier 2013, la recommandation suivante :

Historique

Le 5 juin 2008, la Commission a publié sur son site Internet une note relative au marketing direct et à la protection des données à caractère personnel. Sur la base de cette note, toutes les personnes concernées par ce thème ont été invitées à exposer leur point de vue sur l'application de la LVP au marketing direct. La Commission se réjouit du fait que de nombreuses personnes contactées ont répondu favorablement à cette invitation, parmi lesquelles un certain nombre d'acteurs clé du secteur.
Au terme de la période de consultation, une nouvelle période de réflexion a commencé. Tous les commentaires reçus ont été analysés et traités dans une deuxième version de la note relative au marketing direct et à la protection des données à caractère personnel. Cette version retravaillée a été soumise à l'approbation de la Commission sous forme d'une recommandation.
Bien que cette recommandation soit intervenue après consultation des personnes concernées du secteur, elle reste un point de vue qui ne contraint pas le secteur. En premier lieu, la recommandation représente l'interprétation que donne la Commission aux dispositions de la LVP en matière de marketing direct.
Par ailleurs, la Commission recommande un certain nombre de méthodes en tant que best practices. Les méthodes proposées répondent à un traitement loyal et transparent de données à caractère personnel à des fins de marketing direct, peu importe si ces méthodes sont requises ou non par la loi au sens strict.
Enfin, la Commission formule à l'égard du législateur plusieurs améliorations souhaitables des dispositions existantes.
La présente note a été adaptée afin de tenir compte des diverses modifications qui ont été introduites telles que celles concernant la loi sur les communications non souhaitées (télémarketing) du 10 juillet 20121, l'introduction de la liste Ne m'appelez plus par l'Association belge du marketing direct, BDMA, et les coordonnées et liens Internet de divers services.
Contexte

La LVP comporte très peu de dispositions d'interdiction absolues. À titre de mesure générale, la LVP stipule que le traitement de données à caractère personnel est admissible pour autant qu'une justification de l'article 5 de la LVP s'applique et pour autant que toutes les conditions que pose la loi pour le traitement soient respectées.
Ce qui est particulier au contexte du marketing direct, c'est que l'admissibilité du traitement expire dès que la personne concernée s'y oppose. Pour certaines activités de marketing direct spécifiques, la loi va encore plus loin en n'acceptant que le consentement de la personne concernée comme fondement d'admissibilité (publicité par e-mail) ou en imposant des règles particulières en matière d'utilisation de numéros de téléphone à des fins de marketing direct. Ces deux particularités sont caractéristiques du régime strict auquel le marketing direct est soumis en ce qui concerne le traitement de données à caractère personnel.
Recommandation 02/2013 - 2/44
1 Loi du 10 juillet 2012 portant des dispositions diverses en matière de communications électroniques.
Recommandation
A. 9.
Définition du marketing direct

La loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel2, ci-après la "LVP", ne contient pas de définition de la notion de marketing direct mais l'examen de la réglementation européenne applicable en la matière nous permet d'affirmer qu'il faut entendre par là "l'ensemble des activités ainsi que tout service auxiliaire à celles-ci permettant d'offrir des produits et des services ou de transmettre tous autres messages publicitaires à des segments de population par le moyen du courrier, du téléphone ou d'autres moyens directs dans le but d'information ou afin de solliciter une réaction de la part de la personne concernée"3.
Le marketing direct au sens strict
10. Auprès du grand public, le marketing direct est le mieux connu sous la forme de messages

publicitaires qu'une personne reçoit à son nom. Les expéditeurs de ces messages ont recours à des supports très divers, évoluant au rythme des nouvelles technologies. Pour le marketing direct, on utilise actuellement un large spectre de moyens, à savoir le courrier classique, le fax, l'e-mail, le téléphone fixe et les messages sms sur des téléphones mobiles.

Le marketing direct au sens large
11.De nombreux préparatifs précèdent l’envoi d’un message publicitaire à une personne

déterminée, par exemple l’établissement d’un profil, l’achat ou la vente de coordonnées, le couplage de banques de banques de données, ... Des intermédiaires professionnels interviennent souvent dans ce contexte.

12. Le marketing direct ne doit pas nécessairement aboutir à l’envoi d’un message publicitaire, d’autres approches sont envisageables. Le prix d’un produit ou d'un service peut ainsi être adapté (automatiquement) sur la base d’un profil client4.

2 Loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel telle que modifiée par la loi du 11 décembre 1998 (Moniteur belge du 3 février 1999) et par la loi du 26 février 2003 (Moniteur belge du 26 juin 2003).

3 Article 1.2 de l'annexe à la Recommandation n° R(85) 20 du Comité des Ministres aux États membres relative à la protection des données à caractère personnel utilisées à des fins de marketing direct du 25 octobre 1985. L'Exposé des motifs précise que la recommandation s'applique tout autant au marketing mené par des organismes caritatifs, des partis et associations politiques, etc. Voir l'Exposé des motifs de la recommandation R(85) 20, n° 13. Voir également le considérant 30 de la Directive européenne 95/46/CE du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données, J.O.C.E., L 281/31, 23 novembre 1995.

4 Joseph Turow, Lauren Feldman et Kimberly Meltzer, Open to exploitation: American shoppers online and offline, Annenberg Public Policy Center of the University of Pennsylvania, s.l., 2005, 36 p.
Recommandation 02/2013 - 3/44
13. Le point de vue de la Commission porte sur les traitements de données à caractère personnel à des fins de marketing direct au sens large. Cela comprend notamment les cas suivants :

a) tant les actions de marketing direct menées par une entreprise pour assurer la promotion de ses propres produits ou services, que le marketing direct "externe", c'est-à-dire le transfert à des tiers de données à caractère personnel par une entreprise ou leur traitement pour le compte de tiers, en vue de promouvoir des produits ou services similaires ou non ;
b) les traitements effectués à des fins commerciales par des intermédiaires professionnels, pour développer leur activité principale ou secondaire5, telle que le commerce d'adresses (échange, vente ou location de fichiers), l'enrichissement de fichiers, l'utilisation de technologies intrusives dans la vie privée à des fins de marketing direct dont l'emploi de cartes à puce "intelligentes", l'enregistrement de données biométriques et de données RFID6, l'exploration de données ("data mining"), la création d'un entrepôt de données ("data warehousing"), le profilage, ... ;
c) les traitements effectués à des fins non commerciales7 telles que la promotion des activités d'associations caritatives ou d'autres associations et fondations8, par exemple à caractère politique ;
d) la publicité telle que définie à l'article 2, 7° de la loi sur le commerce électronique9 ou à l'article 93, 3° de la loi sur les pratiques du commerce10, à condition qu'elle soit personnalisée et implique par conséquent un traitement de données à caractère personnel (la LVP ne s’applique pas aux affiches publicitaires du paysage urbain si celles-ci ne traitent pas des données à caractère personnel).
5 Ce sera par exemple le cas si un fournisseur d'électricité commercialise des données à caractère personnel qu'il a obtenues dans le cadre de ses prestations normales. Cette activité secondaire est donc exercée en plus de ses services traditionnels.

6 La RFID ("radio frequency identification ") est une technologie permettant d'identifier divers biens (de consommation) par radiofréquence. Voir à ce propos le document de travail WP 105 "Document de travail sur les questions de protection des données liées à la technologie RFID (radio-identification)", adopté le 19 janvier 2005 par le Groupe de travail article 29, qui peut être consulté via le lien http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion- recommendation/index_en.htm#h2-8.

7 Dans ce qui suit, le terme 'entreprise' est utilisé, sans toutefois vouloir exclure les traitements non commerciaux.

8 Exemples : actions par écrit visant à récolter des fonds, à mener des campagnes par courrier, des lettres en chaîne, ...

9 La loi du 11 mars 2003 sur certains aspects juridiques des services de la société de l'information définit comme suit la publicité : "toute forme de communication destinée à promouvoir, directement ou indirectement, des biens, des services ou l'image d'une entreprise, d'une organisation ou d'une personne ayant une activité commerciale, industrielle ou artisanale ou exerçant une activité réglementée.", M.B. du 17 mars 2003 (2° édition), ci-après la "Loi sur le commerce électronique".

10 La loi du 14 juillet 1991 sur les pratiques du commerce et sur l'information et la protection du consommateur définit la "publicité" comme : "toute communication ayant comme but direct ou indirect de promouvoir la vente de produits ou de services, quel que soit le lieu ou les moyens de communication mis en œuvre.", M.B. du 29 août 1991, ci-après la "Loi sur les pratiques du commerce"
Recommandation 02/2013 - 4/44
B.
e) l'utilisation de numéros de téléphone à des fins de marketing direct, telle que régie par les articles 100/1 à 100/7 inclus de la loi du 6 avril 2010 relative aux pratiques du marché et à la protection du consommateur11.

Législation applicable

14. Tout traitement12 de données à caractère personnel13 effectué à des fins de marketing direct est soumis à la LVP. De plus, les consommateurs sont également protégés par la loi sur le commerce électronique14, la loi sur les pratiques du commerce15 et la loi relative aux pratiques du marché et à la protection du consommateur. La loi sur le commerce électronique et la loi sur les pratiques du commerce ont une interprétation de la notion de publicité qui se démarque légèrement de la notion de marketing direct.

Justification du traitement

15. Un traitement de données à caractère personnel doit toujours se fonder sur un des cas énumérés limitativement à l’article 5 de la LVP. À première vue, les principes fondamentaux suivants entrent en ligne de compte :

 consentement de la personne concernée (article 5 a) de la LVP) ;
 existence d'une relation (pré)contractuelle directe avec le client ou le client potentiel ; "nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci"

(article 5, b) de la LVP) ;
 intérêt pondéré : "nécessaire à la réalisation de l'intérêt légitime poursuivi par le

responsable du traitement ou par le tiers auquel les données sont communiquées, à condition que ne prévalent pas l'intérêt ou les droits et libertés fondamentaux de la personne concernée qui peut prétendre à une protection au titre de la présente loi" (article 5, f) de la LVP).
C.
Recommandation 02/2013 - 5/44
11 M.B., 12 avril 2010.

12 L'article 1, § 2 de la LVP définit le traitement en ces termes : "toute opération ou ensemble d'opérations effectuées ou non à l'aide de procédés automatisés et appliquées à des données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion ainsi que le verrouillage, l'effacement ou la destruction de données à caractère personnel. "

13 Selon l’article 1, § 1 de la LVP, "on entend par 'données à caractère personnel' toute information concernant une personne physique identifiée ou identifiable ". Est considérée comme identifiable : "une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d'identification ou à un ou plusieurs éléments spécifiques, propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale."

14 Article 2, 7° Loi sur le commerce électronique.
15 Article 93, 3° Loi sur les pratiques du commerce.
16. L'on examine ci-après dans quelle mesure et sous quelles conditions les principes fondamentaux susmentionnés peuvent s'appliquer au marketing direct.

C.1. Marketing direct avec consentement de la personne

concernée

17. Dans le cadre du marketing direct, le consentement indubitable de la personne concernée (article 5, a) de la LVP) constitue un fondement légal pour le traitement de données à caractère personnel. Ce consentement doit être libre16, spécifique et informé (article 1, § 8 de la LVP). Il est également important que le consentement puisse être retiré à tout moment.

18. Le consentement doit être donné directement par la personne concernée. La Commission préfère que le consentement octroyé suppose une action positive de la personne concernée17 (par exemple, cocher une case dans un formulaire). Si le consentement est déduit de l'absence d'action de la personne concernée (par exemple, ne pas décocher une case qui l'est déjà), le risque de contestation du consentement donné est bien plus important.

19. En outre, le consentement doit concerner spécifiquement les traitements en vue du marketing direct. Le fait de ne mentionner les informations que dans des conditions générales empêche également de donner un consentement libre. Une déclaration de confidentialité succincte constitue la méthode appropriée pour garantir que le consentement obtenu est libre, spécifique et informé. Attirer ainsi l'attention sur une information complète reprise dans les conditions générales s'inscrit dans le cadre d'un traitement de données à caractère personnel loyal et transparent à des fins de marketing direct.

20. Il est évident que le consentement des personnes concernées ne constitue pas une porte ouverte à n'importe quel traitement de données à caractère personnel. Les autres dispositions de la LVP doivent être entièrement respectées, notamment en ce qui concerne le respect de la finalité initiale, le délai de conservation, la qualité des données et les conditions particulières qui s'appliquent au traitement de données sensibles, de données relatives à la santé et de données judiciaires (articles 6 à 8 de la LVP).

16 Il n'y a pas de consentement libre lorsqu'une personne qui souhaite exercer son droit d'opposition ne peut pas accéder à un produit ou un service ou ne peut bénéficier d'un bon de réduction, d'un cadeau, etc. (souvent pour les contrats d'adhésion). On ne peut pas non plus considérer qu'un consentement est libre quand il est donné à défaut de réaction dans un délai imparti.

17 Dans certains cas, le consentement doit répondre à des conditions plus strictes. Voir plus loin ce qui est précisé sur le consentement requis pour le traitement de données sensibles ou relatives à la santé ou pour l'utilisation de certains moyens de communication.
Recommandation 02/2013 - 6/44
21. La Commission considère que le consentement de la personne concernée est nécessaire dans certains cas énumérés ci-après. Il s'agit de cas dans lesquels une loi spéciale requiert le consentement (a et b), un traitement incompatible est envisagé (c) ou la pondération d'intérêt va dans le sens de la personne concernée (d et e). Vu l'évolution de la technologie, cette énumération n'est pas limitative.

a) lorsque certains moyens de communication sont utilisés

22. En vertu d'une législation particulière18, l’envoi de messages personnalisés par courrier électronique, SMS, MMS, fax ou système automatisé d'appel ainsi que l'utilisation de (certains) cookies ne peut en principe avoir lieu qu'avec le consentement de la personne concernée ("opt-in"). La Directive 2002/58/CE19 part de l'idée qu'en l'espèce, il n'existe pas d'équilibre entre l'intérêt légitime dont un responsable de traitement peut se prévaloir pour traiter des données à caractère personnel à des fins de marketing direct et celui qu'a la personne concernée à ne pas être dérangée. Ce principe a entre-temps été transposé dans l'article 14, § 1 de la loi sur le commerce électronique20 et dans l'article 94/17, § 1 de la loi sur les pratiques du commerce21, en ce qui concerne l'utilisation à des fins publicitaires du courrier électronique, du fax et de systèmes automatisés d'appel. Le contrôle du respect des lois précitées relève de la compétence du SPF Économie.

23. Néanmoins, un tel système d'opt-in n'est pas toujours requis dans le cadre de la loi sur le commerce électronique puisque l'article 14, § 1, 2ème alinéa de cette loi stipule qu'un

18 Article 100 de la loi du 6 avril 2010 relative aux pratiques du marché et à la protection du consommateur.

19 L'article 13.1 de la Directive européenne 2002/58/CE concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques stipule que : "L'utilisation de systèmes automatisés d'appel sans intervention humaine (automates d'appel), de télécopieurs ou de courrier électronique à des fins de prospection directe ne peut être autorisée que si elle vise des abonnés ayant donné leur consentement préalable."

20 L'article 14, § 1er de la loi du 11 mars 2003 sur certains aspects juridiques des services de la société de l'information est libellé comme suit :

"Article 14. § 1er. L'utilisation du courrier électronique à des fins de publicité est interdite, sans le consentement préalable, libre, spécifique et informé du destinataire des messages.

Sur proposition conjointe du Ministre qui a la Justice dans ses attributions et du Ministre qui a les Affaires économiques dans ses attributions, le Roi peut prévoir des exceptions à l'interdiction prévue à l'alinéa premier".

La notion de courrier électronique est quant à elle définie à l'article 2, 2° de cette même loi comme "tout message sous forme de texte, de voix, de son ou d'image envoyé par un réseau public de communications qui peut être stocké dans le réseau ou dans l'équipement terminal du destinataire jusqu'à ce que ce dernier le récupère".

21 Depuis le 1er janvier 2006, l'exigence d'opt-in a également été prévue dans la loi sur les pratiques du commerce, aussi bien pour les systèmes automatisés d'appel sans intervention humaine, que pour les télécopieurs à des fins de publicité personnalisée. L'article 94/17, § 1 de la loi du 14 juillet 1991 sur les pratiques du commerce et sur l'information et la protection du consommateur stipule ce qui suit : "§ 1er. L'utilisation de systèmes automatisés d'appel sans intervention humaine et de télécopieurs à des fins de publicité personnalisée est interdite, sans le consentement préalable, libre, spécifique et informé du destinataire des messages. Le Roi peut, par arrêté délibéré en Conseil des ministres, étendre cette interdiction à d'autres techniques de communication, compte tenu de leur évolution."
Recommandation 02/2013 - 7/44
arrêté royal22 peut prévoir des exceptions. Dans un certain nombre de cas, il n'est en effet pas nécessaire de solliciter le consentement préalable de la personne concernée, qui ne bénéficie alors que d'un droit d'opposition a posteriori (système de l'opt-out).

24. Pour l'utilisation de l'e-mail, le SPF Économie a publié une brochure disponible sur son site Internet23 : "Le 'Spamming' en 24 questions & réponses".

25. En raison du champ d'application spécifique de la loi sur le commerce électronique et de la loi sur les pratiques du commerce et de leur définition respective de la "publicité"24, certains messages – qui relèvent de la notion de marketing direct selon la Commission – échappent à la règle d'opt-in imposée dans ces lois. Des messages envoyés par des partis ou mandataires politiques à des fins électorales ne font notamment pas partie du champ d'application de la règle d'opt-in25. La Commission estime que de lege ferenda, la règle d'opt-in26 devrait s'appliquer sans distinction pour le marketing direct via courrier électronique, fax, systèmes d'appels automatiques ou télémarketing27. Vu le caractère intrusif de ces moyens de communication, la Commission recommande de recourir à l'opt-in à titre de "best practice" pour leur utilisation à des fins de marketing direct de quelque nature que ce soit.

22 Voir notamment l'arrêté royal du 4 avril 2003 visant à réglementer l'envoi de publicités par courrier électronique, qui prévoit ce qui suit en son article 1er, 1° : "Par dérogation à l'article 14, § 1er, alinéa 1er de la loi du 11 mars 2003 sur certains aspects juridiques des services de la société de l'information, et sans préjudice de l'article 2 du présent arrêté, tout prestataire est dispensé de solliciter le consentement préalable à recevoir des publicités par courrier électronique :

1° auprès de ses clients, personnes physiques ou morales, lorsque chacune des conditions suivantes est remplie :

a) il a obtenu directement leurs coordonnées électroniques dans le cadre de la vente d'un produit ou d'un service, dans le respect des exigences légales et réglementaires relatives à la protection de la vie privée ;

b) il exploite lesdites coordonnées électroniques à des fins de publicité exclusivement pour des produits ou services analogues que lui-même fournit ;

c) il fournit à ses clients, au moment où leurs coordonnées électroniques sont recueillies, la faculté de s'opposer, sans frais et de manière simple, à une telle exploitation. (...)".

23 Voir http://economie.fgov.be/information_society/spamming/spamming_brochure_fr.pdf.

24 L'article 93 de la loi sur les pratiques du commerce définit la publicité comme "toute communication ayant comme but direct ou indirect de promouvoir la vente de produits ou de services, quel que soit le lieu ou les moyens de communication mis en œuvre". L'article 2, 7° de la loi sur le commerce électronique définit la publicité comme "toute forme de communication destinée à promouvoir, directement ou indirectement, des biens, des services ou l'image d'une entreprise, d'une organisation ou d'une personne ayant une activité commerciale, industrielle ou artisanale ou exerçant une activité réglementée.”

25 SPF Économie, "Le 'Spamming' en 24 questions & réponses", 2005, p. 11.

26 Dans l'avis n° 5/2004, le groupe de travail Article 29 stipule que la règle de l'opt-in définie dans l'article 13 de la Directive 002/58/CE s'applique au marketing direct, y compris la prospection directe réalisée par les associations caritatives et les organisations politiques. Avis 5/2004 portant sur les communications de prospection directe non sollicitées selon l'article 13 de la Directive 2002/58/CE.

27 Article 13 de la Directive 2002/58/CE et point 74 de l'avis de la Commission n° 10/2012 du 21 mars 2012 relatif au projet de loi portant des dispositions diverses en matière de communications électroniques.
Recommandation 02/2013 - 8/44
b) lorsque des données sensibles et des données relatives à la santé sont traitées

26. Si les données traitées sont des données sensibles ou des données relatives à la santé28, respectivement au sens des articles 6 et 7 de la LVP, le consentement écrit de la personne concernée est requis.

c) lorsque l'activité de marketing direct visée n'est pas compatible avec la finalité initiale pour laquelle les données ont été collectées

27. Le traitement ultérieur de données à caractère personnel, par exemple des données de clients, en vue du commerce d'adresses et de profils est un traitement qui est incompatible avec les finalités initiales pour lesquelles ces données ont été collectées29 (voir ci-après le point D.1.).

28. Des évolutions significatives de l'entreprise (par exemple, une fusion, une reprise ou une réorientation de l'entreprise vers d'autres marchés) sont souvent à l'origine de traitements ultérieurs de données à d'autres fins qui ne sont pas compatibles avec les finalités initiales. Pour procéder malgré tout au traitement ultérieur, le consentement de la personne concernée est requis.

d) lorsquelapersonneconcernéeestmineure

29. Pour pouvoir traiter les données à caractère personnel d'un mineur n'ayant pas la capacité de discernement, il faut impérativement obtenir au préalable le consentement de ses représentants légaux30.

28 Sont considérées comme des données sensibles les données à caractère personnel révélant l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques et l’appartenance syndicale ainsi que les données à caractère personnel relatives à la vie sexuelle (article 6, § 1 de la LVP). Les données relatives à la santé sont les données à caractère personnel relatives à la santé de la personne concernée (article 7, § 1 de la LVP). Pour mémoire, les données judiciaires sont les données à caractère personnel "relatives à des litiges soumis aux cours et tribunaux ainsi qu'aux juridictions administratives, à des suspicions, des poursuites ou des condamnations ayant trait à des infractions, ou à des sanctions administratives ou des mesures de sûreté" (article 8 de la LVP). Le consentement ne peut néanmoins jamais légitimer un traitement de données judiciaires (article 8 de la LVP). Ces dernières ne peuvent en aucun cas être utilisées à des fins de marketing direct.

29 La situation dans laquelle il est question de traitement ultérieur en vue du commerce d'adresses et de profils doit être distinguée de celle dans laquelle le commerce d'adresses et de profils constitue une des finalités initiales de la collecte de données. Voir en particulier à cet égard le point D.1. La finalité du traitement et E.1. Droit à l'information.

30 Voir à ce propos l'avis n° 38/2002 émis par la Commission le 16 septembre 2002, relatif à la protection de la vie privée des mineurs sur Internet. La Commission y recommandait de solliciter soit le consentement des parents, soit celui du mineur, si celui-ci possédait déjà une capacité de discernement suffisante. Bien que l'appréciation de ce critère puisse varier en fonction du contexte pratique et juridique, l'âge de discernement est d'ordinaire situé entre 12 et 14 ans.
Recommandation 02/2013 - 9/44
e) lorsqu'ilestquestionde"marketingviral"

30. On voit sur Internet des exemples incitant les internautes à communiquer les données à caractère personnel d'amis ou de connaissances, souvent pour des actions de marketing direct. C'est ce qu'on appelle le "marketing viral". À défaut de garanties adéquates à l'égard des personnes concernées, la communication à des tiers de données à caractère personnel d'amis et de connaissances à des fins de marketing direct ne semble pas bénéficier de suffisamment de légitimité à la lumière de la LVP. En effet, les amis/connaissances concernés n'ont généralement pas été informés au préalable et n'ont pas non plus donné leur consentement à cet effet, ce qui implique qu'ils n'ont aucun contrôle sur le traitement de leurs données à caractère personnel. En ce qui concerne la publicité par courrier électronique ou par SMS, le SPF Économie a également rédigé une brochure intitulée "La légalité du marketing viral"31.

31. La Commission recommande avec insistance que certaines activités de marketing direct ne puissent être réalisées que moyennant le consentement préalable des personnes concernées. Il s'agit de cas dans lesquels il est très difficile, voire même impossible, de traiter des données à caractère personnel sans obtenir le consentement de la personne concernée et de respecter quand même toutes les dispositions de la LVP. De lege ferenda, le législateur devrait imposer un "opt-in" dans ces cas. Il s'agit notamment des activités suivantes :

- commerce de données à caractère personnel : ce commerce implique que des coordonnées de personnes concernées sont commercialisées. La commercialisation de données à caractère personnel provenant d'annuaires téléphoniques et d'autres formes de transfert de données à caractère personnel à des tiers ou le traitement de données à caractère personnel sur ordre de tiers (mise à disposition ou ce qu'on appelle la location de données) en font partie. Le commerce de données à caractère personnel se fait souvent via des intermédiaires professionnels, comme un éditeur d'annuaires téléphoniques, un "listbroker", qui agit entre des entreprises et des propriétaires d'adresses et/ou de profils, ou un "listmaker", qui collecte et commercialise des adresses et/ou des profils à partir de plusieurs sources.
- profilage : le profilage est un traitement de données automatisé ayant pour but d'appliquer une évaluation, une classification ou une décision à un individu
Recommandation 02/2013 - 10/44
31 http://economie.fgov.be/fr/consommateurs/Internet/commerce_electronique/Spamming/.
en se basant sur la comparaison et la collecte de données à caractère

personnel.32
- commerce de profils personnels : le commerce de profils personnels est la

transmission à des tiers ou le traitement sur ordre de tiers de profils33, où une évaluation, une classification ou une décision (éventuelle) à l'égard d'une personne physique résulte du profilage. Ce commerce se fait souvent via des intermédiaires, comme un "listbroker" et un "listmaker".

C.2. Marketing direct dans le cadre d'une relation

(pré)contractuelle directe avec le client ou le client potentiel

32. Il est évident que l'exécution d'un contrat conclu avec la personne concernée entraîne un certain nombre de traitements de ses données à caractère personnel. Le fait de répondre à des questions de clients potentiels implique également, dans de nombreux cas, un traitement de données à caractère personnel. La LVP affirme dès lors qu'un traitement de données est possible dans ces cas, pour autant qu'il soit nécessaire à l'exécution du contrat ou de mesures qui précèdent la conclusion de ce contrat et qui sont prises à la demande de la personne concernée.

33. Tout d'abord, le suivi contractuel (livraison, facturation, éventuelles mises en demeure, etc.) est nécessaire à l'égard des clients. Le type de données nécessaires à cet effet dépend du produit et/ou service en question. Le profilage de clients peut être justifié dans certains secteurs34 sur la base de la relation (pré)contractuelle (par exemple, les assurances), mais pas dans d'autres (par exemple, le commerce de détail).

32 "Profiling means an automatic processing of data whose aim is to apply to an individual an evaluation, classification or decision on the basis of matching of data relating to individuals." (article 1, d, annexe de la "Draft Recommendation on the protection of individuals with regard to automatic processing of personal data in the framework of profiling") (version février 2009), rédigée par le Bureau du Comité consultatif de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel (T-PD-Bur), Conseil de l'Europe.

33 "Le 'profilage' est une technique de traitement automatisé des données qui consiste à appliquer un 'profil' à une personne physique, notamment afin de prendre des décisions à son sujet ou d’analyser ou de prévoir ses préférences, comportements et attitudes personnels.", article 1, e. de la Recommandation CM/Rec(2010)13 du 23 novembre 2010 du Comité des Ministres aux États membres sur la protection des personnes à l’égard du traitement automatisé des données à caractère personnel dans le cadre du profilage, publiée à l'adresse :

https://wcd.coe.int/ViewDoc.jsp?Ref=CM/Rec(2010)13&Language=lanFrench&Ver=original&Site=CM&BackColorInternet=DB DCF2&BackColorIntranet=FDC864&BackColorLogged=FDC864

34 Dans certains cas, le profilage est même imposé par la loi. Par exemple, l'obligation des banques d'établir un profil d'investisseur de leurs clients (article 27, § 4-5 de la loi du 2 août 2002 relative à la surveillance du secteur financier et aux services financiers, M.B. du 4 septembre 2009 et les articles 15-17 de l'arrêté royal du 3 juin 2007 portant les règles et modalités visant à transposer la directive concernant les marchés d'instruments financiers, M.B. du 18 juin 2007).
Recommandation 02/2013 - 11/44
34. À l'égard de clients potentiels, il est nécessaire – selon les circonstances – de disposer de coordonnées afin de pouvoir répondre à la demande. Le cas échéant, un certain nombre de données à caractère personnel doivent être collectées et traitées pour pouvoir rédiger une offre de prix personnalisée.

35. Dans la pratique, de nombreuses entreprises trouvent important de développer davantage la relation avec leurs clients et clients potentiels (ce qu'on appelle le "customer relationship management" ou "CRM"), au-delà de ce qui est strictement nécessaire à l'exécution d'un contrat ou à la prise de mesures précontractuelles. Ne sont par exemple pas nécessaires au sens de l'article 5 b) de la LVP :

- une enquête de satisfaction auprès de clients, spécifiquement au sujet de produits et services qu'ils achètent ;
- une invitation à des (anciens) clients pour prolonger ou renouveler leur contrat, ce qu'on appelle le marketing de rétention ;
- une information de clients potentiels au sujet de nouvelles promotions ;
- l'enregistrement d'informations de la personne concernée dans le fichier central CRM d'un groupe, où différents logos commerciaux, marques ou dénominations commerciales sont utilisés alors que la personne concernée n'a pas toujours une relation contractuelle préalable avec les différentes

entreprises35.

36. Le constat selon lequel l'article 5, b) de la LVP n'offre pas un fondement pour le développement de la relation avec les clients ou clients potentiels implique que ce la ne peut se faire que sur une autre base, comme le consentement (article 5, a) de la LVP) ou l'intérêt pondéré (article 5, f) de la LVP).

37. Le fichier clientèle d'une entreprise a pour premier objectif de constituer un instrument pour la gestion de l'entreprise. Certaines entreprises considèrent leur fichier clientèle comme un produit commercialisable permettant de créer une plus-value pour l'entreprise. La vente, la location ou la mise à disposition d'une quelconque autre manière d'un fichier clientèle à une autre entreprise à des fins de marketing direct ne se fonde pas sur l'article 5, b) de la LVP. Cela s'applique même si les entreprises en question sont membres d'un même groupe d'entreprises.

35 Par exemple une multinationale qui intègre dans un fichier central CRM des activités de banque, d'assurance et de services postaux qui étaient exploitées via différentes entreprises avec des marques et logos commerciaux distincts.
Recommandation 02/2013 - 12/44
C.3. Marketing Direct avec intérêt pondéré

38. La LVP laisse une porte ouverte pour admettre un traitement, plus particulièrement lorsqu'il est nécessaire à la réalisation de l'intérêt légitime poursuivi par le responsable du traitement36 ou par le tiers auquel les données sont communiquées (article 5, f) de la LVP). Ce motif peut être invoqué, sauf si l'intérêt ou les droits et libertés fondamentaux de la personne concernée prévalent. Il s'agit donc ici d'une pondération des intérêts qui doit être faite au cas par cas.

39. L'article 5, f) de la LVP est un fondement potentiel d'activités de marketing direct qui sont juridiquement sur le même pied que l'article 5, a) et 5, b) de la LVP. Toutefois, l'obtention du consentement de la personne concernée est et reste une "best practice", ce à la lumière du principe d'autodétermination informationnelle.

40. La Commission constate que le maintien d'un équilibre adéquat est loin d'être évident dans la pratique, en particulier pour le commerce de données à caractère personnel. Si l'équilibre est rompu, le traitement perd son fondement d'admissibilité et il doit être complètement interrompu37. L'on examine ci-après le moment auquel l'équilibre des intérêts est évalué, les critères au moyen desquels l'équilibre est considéré et la manière dont l'équilibre des intérêts est sauvegardé.

41. Pour rappel, on a mentionné ci-avant que dans certaines situations spécifiques, le consentement de la personne concernée est indispensable et dans certains autres cas plutôt inévitable (voir ci-avant au point C.1.).

a) À quel moment l'équilibre d'intérêts est-il évalué ?

42. La particularité de l'article 5, f) de la LVP réside dans le fait qu'il n'y a pas un seul moment auquel la pondération d'intérêts doit se faire ; il s'agit d'une préoccupation continue du responsable du traitement. Avant de commencer le traitement, le responsable du traitement doit pouvoir démontrer un intérêt légitime, soit le sien, soit celui du tiers auquel les données sont destinées. De même, le responsable du traitement doit pouvoir démontrer

36 Article 1, § 4 de la LVP : "Par "responsable du traitement", on entend la personne physique ou morale, l'association de fait ou l'administration publique qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données à caractère personnel."

37 Une solution réside dans le fait d'obtenir le consentement de la personne concernée et d'appuyer ainsi le traitement sur l'article 5, a) de la LVP.
Recommandation 02/2013 - 13/44
que l'intérêt ou les droits et libertés fondamentaux de la personne concernée ne prévalent pas, eu égard aux circonstances.

43. Une fois que le traitement a débuté, le responsable du traitement doit veiller à ce que l'équilibre des intérêts reste en sa faveur, à la lumière de toutes les circonstances.

b) Quels critères déterminent s'il est question d'un équilibre des intérêts avant le commencement du traitement ?

44. Du fait que l'article 5, f) de la LVP laisse une porte ouverte à l'admissibilité, chaque situation doit être examinée individuellement. Toutefois, certaines grandes lignes peuvent être dégagées.

45. Pouvoir invoquer un intérêt légitime (par exemple, la liberté de commerce, d'expression, d'association,...) n'est en soi pas déterminant. Il faut systématiquement réaliser concrètement une comparaison avec les intérêts de la personne concernée. L'article 5, f) de la LVP ne laisse pas supposer que les intérêts prévalent dans un sens ou dans l'autre38, seule prévaut l'obligation de maintenir l'équilibre des intérêts pendant le traitement.

46. La LVP donne aux personnes concernées la possibilité de s'opposer au traitement de leurs données à des fins de marketing direct (article 12 de la LVP). Il n'en découle pas du tout qu'il y ait une présomption d'équilibre pour les activités de marketing direct. L'intention du responsable du traitement de marketing direct de respecter le droit d'opposition n'est pas non plus déterminante.

47. L'existence d'un équilibre entre les intérêts peut être plus facilement démontrée lorsqu'il existe déjà une relation d'une signification quelconque entre le responsable du traitement et la personne concernée. Ce qui est pertinent en la matière, c'est la mesure dans laquelle on peut attendre de la personne concernée qu'elle sache (encore) que le responsable du traitement traite des données à caractère personnel la concernant. Un contact unique et sommaire pèse peu dans la balance, par exemple un client potentiel qui demande une seule fois une offre de prix ou un renseignement. Une relation contractuelle de longue durée pèse beaucoup plus dans la balance.

38 Cela a déjà été indiqué aussi bien par le Conseil d'État que par la Commission dans son avis d'initiative n° 34/2000 du 22 novembre 2000 relatif à la protection de la vie privée dans le cadre du commerce électronique dont il ressortait qu'une simple invocation de l'article 5, f) de la LVP par le responsable ne suffisait pas pour légitimer le nouveau traitement (la réutilisation des données de clients existantes).
Recommandation 02/2013 - 14/44
48. La Commission admet que l'article 5, f) de la LVP peut en principe constituer un fondement pour le "customer relationship management" à l'égard des propres clients / clients potentiels. Il peut s'agir ici :

- de réaliser une enquête de satisfaction auprès de propres clients, spécifiquement au

sujet de produits et services qu'ils achètent ;
- d'envoyer une invitation à de propres (anciens) clients pour prolonger ou renouveler leur

contrat, ce qu'on appelle le marketing de rétention ;
- d'informer les propres clients au sujet de nouvelles promotions sur des produits et/ou

services qu'ils ont acheté par le passé ;
- d'informer les clients potentiels au sujet de nouvelles promotions sur des produits et/ou

services pour lesquels ils ont déjà eu récemment un contact avec l'entreprise ;
- de réaliser et d'utiliser des profils personnels pour la gestion de la propre clientèle par le

responsable qui a une relation contractuelle directe avec la personne concernée.

49. Il est beaucoup plus difficile de démontrer un équilibre des intérêts lorsqu'il n'y a aucune relation entre la personne concernée et le responsable du traitement ou lorsque cette relation
est très sommaire. C'est par exemple notamment le cas des intermédiaires qui commercialisent des données à caractère personnel et des profils personnels, de même que les entreprises qui font appel à ceux-ci pour leurs actions de marketing direct.

50. Il peut ressortir de la législation et de la réglementation qu'il ne peut être question d'un équilibre des intérêts. On retrouve un certain nombre d'exemples dans la LVP, par exemple le traitement de données sensibles ou le traitement ultérieur à des fins incompatibles. Mais cela peut également ressortir d'autres législations, par exemple la loi sur le commerce électronique (voir ci-avant au point C.1.), ou la loi relative aux pratiques du marché et à la protection du consommateur, qui a tenté de limiter les appels téléphoniques non sollicités (ce qu'on appelle le "cold calling").

51. Identifier une cause de légitimation ne constitue qu'une petite étape. Ce qui est crucial, c'est le respect de toutes les autres dispositions de la LVP. Le fait d'invoquer l'article 5, f) de la LVP n'est aucunement une porte ouverte pour développer toutes les activités de marketing direct possibles.

c) Qu'implique la sauvegarde de l'équilibre des intérêts ?

52. L'existence d'un équilibre des intérêts entre le responsable du traitement et la personne concernée n'est pas une donnée statique. Cet équilibre des intérêts doit être sauvegardé en
Recommandation 02/2013 - 15/44
permanence, tant que les données à caractère personnel font l'objet d'un traitement. Les autres dispositions de la LVP doivent au moins être respectées scrupuleusement, ce qui suppose l'existence d'une politique de vie privée globale dans le chef de celui qui pratique le marketing direct.

53. Un certain nombre d'obligations doivent déjà être remplies avant le commencement du traitement :

- faire une déclaration auprès de la Commission (voir le point F.1.) ;
- prendre les mesures nécessaires pour la protection des données (voir le point F.2.) ;
- conclure les conventions contractuelles nécessaires avec les sous-traitants (voir le point F.2.) ;
- avoir respecté les autres obligations légales concernant les traitements en vue du marketing direct, comme la garantie du droit d'opposition en vertu de l'article 12 de la LVP ou (lors de l'utilisation de numéros de téléphone à des fins de marketing direct) des articles 100/1 à 100/2 inclus de la loi du 6 avril 2010 relative aux pratiques du marché et à la protection du consommateur.

54. D'autres obligations doivent être respectées pendant le traitement et/ou au terme de ce dernier :
- donner des informations claires à la personne concernée, conformément à l'article 9 de

la LVP, y compris – lorsque le respect loyal de la LVP le requiert – une mention proactive

de la source des données (voir le point E.1) ;
- donner suite au droit d'opposition, conformément à l'article 12 de la LVP, en particulier

ne pas associer à l'exercice de ce droit des conditions illégitimes (voir le point E.3.) ;
- supprimer les données au terme du délai de conservation (voir le point D.3.) ;
- ne pas procéder à un traitement ultérieur des données à des fins incompatibles (voir le

point D.1.).

55. Outre les points de la LVP qui sont énumérés ici à titre d'exemple, il faut également tenir compte d'autres réglementations pertinentes (par exemple, la loi sur le commerce électronique, la loi sur les pratiques du commerce et la loi relative aux pratiques du marché et à la protection du consommateur).
Recommandation 02/2013 - 16/44
D. Principes relatifs à la qualité du traitement

D.1. La finalité du traitement

56. Les données à caractère personnel ne peuvent être collectées que pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités (article 4, § 1, 2° de la LVP).

57. Une première exigence consiste donc à ce que le responsable du traitement détermine précisément pour quelles finalités il traitera des données. S'il décide par la suite de traiter les données pour des finalités supplémentaires, il faut alors évaluer la compatibilité de ces dernières avec le traitement initial.

a) Description claire des finalités

58. La description des finalités doit permettre à la personne concernée de se faire une idée raisonnable des traitements auxquels elle peut s'attendre. La Commission recommande de faire une distinction, dans l'information à l'égard de la personne concernée, entre quatre types de finalités, pour autant qu'elles s'appliquent :

1. gestion de la propre clientèle : le responsable traite les données de clients / clients potentiels à des fins de marketing direct concernant des produits et services déterminés qu'il offre lui-même. Si l'on procède au profilage de clients / clients potentiels, cela doit être clairement indiqué ;

2. location de données à caractère personnel et de profils personnels : le responsable utilise les données de clients / clients potentiels à des fins de marketing direct concernant des produits et services déterminés d'autres entreprises, sans transférer les données ;

3. vente de données à caractère personnel et/ou de profils personnels : le responsable du traitement transmet les données de clients / clients potentiels à d'autres entreprises en vue d'une utilisation dans le cadre du marketing direct ;

4. compliance : utilisation de données à caractère personnel sur la base d'obligations légales (spécifiquement indiquées) du responsable.

59. Des descriptions trop vagues ou trop générales de la finalité ne respectent pas la LVP et n'ont pas non plus un impact sur les prévisions raisonnables de la personne concernée. Quelques exemples :

"vos données à caractère personnel sont utilisées à des fins commerciales" ;
"vos données à caractère personnel sont traitées à des fins de marketing direct" ;
"vos données sont reprises dans notre fichier clientèle" ;
Recommandation 02/2013 - 17/44
4. "vos données sont destinées à un usage interne".

60. Une description très brève – comme "vos données sont reprises dans notre fichier pour vous tenir au courant de nos activités" – peut suffire, étant entendu que l'entreprise en question doit alors se limiter strictement aux traitements en vue du marketing direct qui répondent à cette description restrictive de l'entreprise spécifique.

b) Interdiction d'utilisation incompatible

61. Les données à caractère personnel ne peuvent pas être traitées ultérieurement de manière incompatible avec les finalités initiales pour lesquelles elles ont été obtenues et traitées. La compatibilité doit être appréciée en tenant compte de tous les facteurs pertinents, notamment des prévisions raisonnables de l'intéressé et des dispositions légales et réglementaires applicables (article 4, § 1, 2° de la LVP). Les prévisions raisonnables de l'intéressé jouent un très grand rôle dans le cadre du marketing direct.

62. La Commission admet que les personnes concernées peuvent raisonnablement prévoir que leurs données à caractère personnel soient traitées à des fins de marketing direct interne, bien que dans les limites suivantes :

- le traitement est effectué par l'entreprise avec laquelle la personne concernée a une relation directe de client39, actuelle ou récente40, et

- il s'agit de produits et/ou de services similaires à ceux auxquels se rapporte cette relation de client, et

- il s'agit de produits et/ou services que l'entreprise propose elle-même.

63. Il relève de la responsabilité de l'entreprise qui dépasse ces limites de démontrer que les attentes raisonnables de l'intéressé n'ont pas été outrepassées. Cela illustre l'importance d'informer la personne concernée correctement et en temps opportun (voir le point E.1.).

64. La Commission estime que tout commerce de données à caractère personnel constitue toujours un traitement avec une finalité propre qui, lorsqu'il est question de traitement ultérieur, est incompatible avec la finalité du traitement initial41. Le

39 Il peut s'agir d'une relation contractuelle ou précontractuelle, bien que dans ce dernier cas, on peut en principe moins qualifier la relation d'actuelle ou récente qu'une relation contractuelle effective.

40 Pour en juger, il faut tenir compte de tous les facteurs pertinents : nature des produits et des services, durée de la relation, ...

41 La situation dans laquelle il est question de traitement ultérieur en vue du commerce d'adresses et de profils doit être distinguée de celle dans laquelle le commerce d'adresses et de profils constitue une des finalités initiales de la collecte de données. Voir en particulier à cet égard le point E.1. Droit à l'information.
Recommandation 02/2013 - 18/44
traitement ultérieur de données à des fins incompatibles est contraire à l'article 4, § 1, 2° de la LVP, sauf lorsque le consentement de la personne concernée a été obtenu avant le commencement du traitement envisagé.

65. Les organisations ne peuvent donc pas transférer ou mettre à disposition comme bon leur semble des données de leurs clients, membres, employés, élèves, étudiants, volontaires, etc. à des entreprises qui souhaitent les utiliser à des fins de marketing direct.

66. La Commission estime que la réutilisation de sources de données publiées – tant d'origine publique que privée – en vue du marketing direct est incompatible avec la finalité initiale de la publication. La LVP s'applique inconditionnellement aux données qui sont publiées par la personne concernée elle-même ou dont la publicité est légalement imposée42. La personne ou l'organisation qui publie ces données le fait en vue d'une finalité particulière et c'est cette finalité qui est déterminante pour la compatibilité avec l'utilisation ultérieure.

Voici quelques exemples de telles sources :

 registres qui doivent être (partiellement) publics en vertu de la loi43;
 messages dans les médias écrits (publicités dans les hebdomadaires, faire-part de naissance,

annonces de mariages et avis nécrologiques) ;
 informations disponibles sur Internet (blogs, forums de discussion, sites Internet d'employeurs

avec des coordonnées professionnelles de personnes physiques).

67. La Commission estime qu'en cas d'évolutions importantes d'une entreprise (suite par exemple à une fusion, une reprise ou une réorientation de l'entreprise vers d'autres marchés), la compatibilité des traitements suivants doit être examinée avec rigueur par le responsable du traitement.

42 La LVP du 8 décembre 1992 – telle que publiée au Moniteur belge le 18 mars 1993 – comportait, avant la modification législative du 11 décembre 1998, deux exceptions pour les données publiées, plus particulièrement pour :

- les "traitements portant exclusivement sur des données à caractère personnel qui font l'objet d'une publicité en vertu d'une disposition légale ou réglementaire" (article 3, § 2, 2° de l'ancienne LVP) ;

- les "traitements portant exclusivement sur des données à caractère personnel dont la personne à laquelle elles se rapportent assure ou fait assurer la publicité, pour autant que le traitement respecte la finalité de cette publicité" (article 3, § 2, 3° de l'ancienne LVP).

Ces exceptions n'étaient pas conformes à la Directive européenne 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données et ont par conséquent dû être supprimées. Vu la description très détaillée des deux exceptions, l'impact de leur suppression est limité. Étaient uniquement exceptés les traitements qui se rapportaient exclusivement à des données publiées. Pour les données publiées par la personne concernée elle-même, le principe de finalité restait d'application, malgré l'exception.

43 Voir l'avis de la Commission n° 22/2000 du 28 juin 2000 relatif au traitement de données personnelles par certaines sociétés de renseignement commercial à partir des informations inscrites au rôle général des Cours et Tribunaux du travail.
Recommandation 02/2013 - 19/44
68. L'éventuelle incompatibilité du traitement ultérieur ne peut être levée que si la personne concernée consent au traitement ultérieur (article 5, a) de la LVP), ce avant le commencement du traitement ultérieur envisagé (article 9 de la LVP). L'utilisation incompatible de données à caractère personnel est en outre sanctionnée pénalement (article 39, 1° de la LVP).

D.2. La proportionnalité du traitement

69. Les données à caractère personnel collectées et traitées doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont obtenues et pour lesquelles elles sont traitées ultérieurement (article 4, § 1, 3° de la LVP). Il est inadmissible de collecter des données parce qu'elles pourraient être utiles un jour.

70. L'importance d'une description suffisamment précise des finalités poursuivies par le responsable du traitement apparaît de nouveau ici. Une entreprise qui vend des produits ou des services déterminés ne peut pas réclamer sans raison des données auprès de ses clients sur des produits et services qui n'ont absolument aucun lien (par exemple, une entreprise de télécommunications qui poserait des questions sur les habitudes alimentaires), ce en vue du marketing direct.

71. Le non respect de l'article 4, § 1, 3° de la LVP est sanctionné pénalement (article 39, 1° de la LVP).

D.3. Un délai de conservation pour les fichiers de masse et

l'enrichissement de fichiers en vue du marketing direct

72. La LVP stipule que les données