Cette semaine, les boîtes de courriel se remplissent de messages d'entreprises qui demandent à leurs destinataires de rester abonnés.
« Nous mettons à jour notre politique de confidentialité. » « Cliquez ici pour continuer à recevoir nos nouvelles. » Certains de ces messages proviennent d'entreprises auxquelles les destinataires ne se souviennent pas d'avoir transmis leur adresse, ce qui illustre bien le problème. La plupart des gens semblent cliquer sur très peu d'entre eux, et de nombreuses listes d'envoi sont sur le point de diminuer considérablement.
Demain, le 25 mai, le RGPD s'applique. Le Règlement général sur la protection des données de l'Union européenne a été adopté en 2016 avec une période de transition de deux ans. De nombreuses entreprises ont passé ces deux années sans s'y préparer et les deux dernières semaines à tenter de s'y conformer dans l'urgence.
Notre analyse, qui diffère de l'opinion dominante, est que ce règlement sera bénéfique pour le marketing des petites entreprises.
Pourquoi une entreprise située hors d'Europe doit-elle tenir compte du RGPD?
C'est la portée du règlement qui surprend de nombreuses entreprises. Il s'applique aux organisations situées hors de l'UE lorsqu'elles offrent des biens ou des services à des personnes dans l'UE, ou qu'elles suivent leur comportement. Une maison d'hôtes en Asie dont la liste d'envoi compte des clients allemands est donc visée. Une boutique canadienne qui vend en ligne en France est visée. Un centre de plongée en Indonésie dont la moitié des clients sont européens est aussi visé; c'est notre cas, comme celui de tous les exploitants que nous connaissons dans la région.
Ce sont les amendes qui font les manchettes : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Aucune petite entreprise ne se verra réalistement imposer le maximum, mais ce chiffre a attiré l'attention comme aucun appel général au respect de la vie privée ne l'avait fait.
Pour consulter le texte intégral, le RGPD complet est présenté article par article sur gdpr-info.eu (en anglais). Il est plus lisible qu'on pourrait le croire. Les articles 6 et 7, qui portent sur la base légale et le consentement, sont les plus pertinents pour les petites entreprises.
Qu'exige le RGPD en matière de consentement à l'infolettre?
C'est le changement le plus important pour toute entreprise qui possède une liste d'envoi. Selon le RGPD, le consentement doit être libre, spécifique, éclairé et univoque. Une case précochée n'est pas valable. L'idée qu'un seul achat passé autorise une entreprise à envoyer des courriels indéfiniment ne l'est pas davantage.
Chaque entreprise doit donc examiner sa liste et répondre à une question délicate : pour chacune de ces personnes, pouvons-nous démontrer comment et quand elle a accepté de recevoir nos communications?
Pour la plupart des petites entreprises, la réponse honnête est « en partie ». Des noms recueillis sur une feuille d'inscription lors d'un événement, des adresses copiées à partir des réservations, une carte d'affaires obtenue dans un salon professionnel. C'est ce qui explique tous les courriels qui inondent actuellement les boîtes de réception : des campagnes de reconfirmation. L'entreprise écrit une fois à tous ses contacts, explique la situation et ne conserve que les personnes qui acceptent.
Les listes vont diminuer, certaines de façon importante. L'an dernier, la chaîne de pubs britannique Wetherspoon est allée plus loin en supprimant toute sa base de données de courriels clients. La plupart des petites entreprises n'iront pas jusque-là, mais beaucoup perdront une part importante de leur liste.
Nous prévoyons toutefois que les listes restantes seront plus performantes. Les personnes qui ont activement donné leur accord ouvrent davantage les messages, cliquent davantage et se plaignent moins. Une petite liste de personnes qui souhaitent vous lire a plus de valeur qu'une grande liste de personnes qui ne le souhaitent pas. C'est une position que nous défendons depuis des années, et le RGPD amènera de nombreuses entreprises à le constater par elles-mêmes.
Comment rédiger une politique de confidentialité en langage clair?
L'autre document que les entreprises s'empressent de mettre à jour est la politique de confidentialité. La plupart ont été copiées ailleurs, comportent du remplissage juridique et décrivent des pratiques que l'entreprise n'a même pas.
Le RGPD exige que l'information transmise aux personnes soit concise, transparente et formulée en termes clairs et simples. Ce principe convient bien à une petite entreprise, qui fait généralement un usage limité des données. La politique devrait simplement décrire ce que vous faites :
- Ce que vous recueillez (nom, courriel, éventuellement un numéro de téléphone pour les réservations).
- Pourquoi vous le recueillez.
- Qui d'autre y a accès, par exemple votre plateforme d'envoi de courriels ou votre système de réservation.
- Combien de temps vous le conservez.
- Comment une personne peut vous demander de l'effacer, et à qui s'adresser.
Cinq courtes sections, rédigées comme vous les expliqueriez à un client au comptoir. Pour la plupart des petites entreprises, c'est suffisant, et c'est beaucoup plus digne de confiance que six pages de texte type que personne ne lit.
Comment gérer le consentement aux témoins et le suivi?
Une tendance problématique se dessine déjà. La réponse aux exigences de consentement aux témoins prend la forme d'énormes bandeaux conçus pour inciter les visiteurs à cliquer sur Accepter. Pendant ce temps, le site charge une douzaine de scripts de suivi dont le propriétaire ignore l'existence : un pixel Facebook d'une ancienne campagne publicitaire, trois outils d'analyse, un module de clavardage et des intégrations qui transmettent des données ailleurs.
Nous recommandons de réduire le suivi avant de vous préoccuper du bandeau. Ouvrez votre site, examinez ce qu'il charge et retirez tout ce que vous n'utilisez pas. Si vous ne consultez qu'un seul tableau de bord, un seul outil d'analyse suffit. Moins de scripts signifie moins de complications liées au consentement, un site plus rapide et moins d'éléments à expliquer dans votre politique. Une configuration adéquate du suivi des conversions et de l'analytique commence habituellement par le retrait d'outils, et non par leur ajout.
Que signifie le RGPD pour une entreprise au Canada?
Ayant cofondé une agence Web à Vancouver, nous recevons souvent cette question de la part d'entreprises canadiennes. Si vous avez des clients en Europe, le RGPD peut s'appliquer à vous. Les entreprises touristiques, en particulier, devraient présumer que c'est le cas.
Le Canada a aussi ses propres règles. La LCAP, la loi canadienne antipourriel, exige le consentement pour les courriels commerciaux depuis 2014; une entreprise canadienne devrait donc déjà pouvoir expliquer comment chaque personne s'est inscrite. Si ce n'est pas le cas, le problème existe indépendamment de l'Europe. De plus, en vertu de la LPRPDE, la loi fédérale sur la protection des renseignements personnels dans le secteur privé, la déclaration obligatoire des atteintes aux données entre en vigueur le 1er novembre cette année. Les entreprises canadiennes devront donc, de toute façon, savoir quelles données elles détiennent et pourquoi.
Ce billet ne constitue pas un avis juridique. Si vous traitez des données sensibles, nous vous recommandons de consulter un avocat. Pour une petite entreprise typique, le travail concret se résume toutefois à une courte liste : savoir d'où provient chaque adresse courriel, rédiger votre politique de confidentialité en langage clair et cesser de charger des scripts dont vous n'avez pas besoin.
Si la liste de votre infolettre combine de véritables abonnés et des adresses recueillies au fil du temps, nous recommandons d'envoyer le courriel de reconfirmation. La perte à court terme est rapidement compensée : vous obtenez une liste de personnes qui souhaitent réellement recevoir vos nouvelles, la seule qui ait une véritable valeur.