Cet article n'est pas un conseil juridique. Nous ne sommes pas avocats, nous faisons tourner un service d'adresses e-mail temporaires, et la question de savoir où finissent les adresses e-mail et qui les conserve nous occupe tous les jours. Nous avons essayé d'expliquer ce que le RGPD dit des adresses e-mail, aussi simplement que possible pour un utilisateur ordinaire. En cas de litige concret, le mieux est de consulter un juriste ou de vous rendre directement sur le site de la CNIL.
Pourquoi une adresse e-mail est-elle une donnée personnelle ?
La logique du RGPD est simple. Si une information permet de vous identifier, seule ou combinée à d'autres, c'est une donnée personnelle. Une adresse du type marie.dupont@... porte déjà votre nom. Mais même avec un pseudonyme comme « fandechats1987@... », il est souvent facile de remonter jusqu'à vous en croisant les comptes ouverts avec cette adresse, l'historique des commandes et l'adresse de livraison.
Autre point, dans beaucoup de services, l'adresse e-mail sert aujourd'hui d'identifiant. Elle est à la fois votre moyen de contact et la clé de votre identité numérique. Pas étonnant que la loi juge utile de la protéger.
Les adresses professionnelles sont-elles concernées ?
Une adresse professionnelle nominative (prenom.nom@entreprise...) appartient à un salarié identifiable ; l'approche généralement admise est donc qu'elle constitue aussi une donnée personnelle. Les adresses génériques qui ne renvoient à personne en particulier, comme « contact@ » ou « support@ », peuvent être appréciées différemment. Pour les cas limites, mieux vaut là encore demander l'avis d'un spécialiste.
À quelles conditions un site peut-il collecter mon adresse ?
Corrigeons une idée reçue, le RGPD n'exige pas le consentement pour chaque traitement de données. Le texte prévoit d'autres bases légales. Par exemple, si c'est nécessaire à la conclusion ou à l'exécution d'un contrat (comme vous envoyer les informations de votre commande en ligne), l'entreprise peut utiliser votre adresse dans ce but. Le respect d'une obligation légale fait aussi partie de ces bases.
Le consentement, lui, doit être libre, spécifique, éclairé et univoque. Concrètement, cela signifie :
- La case « Je souhaite être informé des offres » ne doit pas être cochée d'avance.
- L'accès au service ne doit pas être conditionné à l'acceptation de la prospection. Rendre l'abonnement à la newsletter obligatoire pour pouvoir commander est une pratique discutable.
- Ce à quoi vous consentez doit être clairement indiqué ; une formule floue comme « à toutes fins utiles » ne colle pas vraiment à cette définition.
L'entreprise a aussi une obligation d'information, elle doit donc vous dire qui traite vos données, dans quel but, à qui elles peuvent être transmises et quels sont vos droits. C'est pour ça qu'on trouve un lien « Politique de confidentialité » ou des mentions d'information sous les formulaires d'inscription. Peu de gens les lisent, mais c'est là que l'on voit le plus clairement où va son adresse.
Quelles règles pour les e-mails promotionnels ?
Les e-mails publicitaires qui arrivent dans votre boîte ne relèvent pas seulement du RGPD, mais aussi des règles sur la prospection commerciale par voie électronique. En principe, une entreprise qui veut vous envoyer des e-mails publicitaires doit, en règle générale, avoir obtenu votre accord au préalable, avec des exceptions encadrées, par exemple pour un client existant à qui l'on propose des produits similaires. Chaque message doit aussi vous offrir un moyen simple de refuser la suite des envois (se désabonner). Les détails, exceptions comprises, sont fixés par les textes ; nous n'entrons pas dans ces nuances ici.
Côté utilisateur, retenez surtout que vous pouvez retirer votre accord à tout moment, en principe aussi facilement que vous l'avez donné, et le lien de désinscription doit figurer dans chaque message.
| Sujet | Quel cadre ? | Ce que ça vous apporte en pratique |
|---|---|---|
| Collecte, conservation et partage de votre adresse | RGPD | Droits à l'information, d'accès, d'effacement, etc. |
| E-mails publicitaires et promotionnels | Règles sur la prospection commerciale par e-mail | Accord préalable en règle générale, possibilité de refuser dans chaque message |
| Retrait de votre accord | RGPD et règles sur la prospection | Désinscription possible à tout moment, via le lien prévu dans chaque e-mail |
Quels sont vos droits en tant que personne concernée ?
Le RGPD appelle « personne concernée » celle dont les données sont traitées. Dans les grandes lignes, vous avez le droit :
- de savoir si vos données sont traitées et, le cas échéant, d'y accéder,
- de connaître les finalités du traitement,
- de savoir à qui elles sont transmises, y compris hors de l'Union européenne,
- de faire rectifier des données incomplètes ou inexactes,
- d'obtenir leur effacement, dans les conditions prévues par le texte,
- de vous opposer à leur utilisation à des fins de prospection,
- d'introduire une réclamation auprès de l'autorité de protection des données (la CNIL en France) et de demander réparation si vous avez subi un préjudice.
Comment demander à une entreprise d'effacer mon adresse ?
- Ouvrez la politique de confidentialité de l'entreprise ; les moyens de la contacter y sont généralement indiqués.
- Envoyez votre demande par écrit ou par le canal indiqué. Précisez l'adresse e-mail liée au compte, pour qu'elle puisse vérifier votre identité.
- Formulez clairement votre demande, par exemple : « Je demande l'effacement des données associées à cette adresse et mon retrait de vos listes de prospection. »
- Le RGPD prévoit une réponse dans un délai d'un mois, qui peut être prolongé dans certains cas. Sans réponse, ou si la réponse ne vous satisfait pas, vous pouvez saisir la CNIL.
Et le mail temporaire dans tout ça ?
L'un des grands principes du RGPD veut que les données soient adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité. C'est ce qu'on appelle la minimisation des données. Ce principe s'adresse aux entreprises ; mais rien ne nous empêche, en tant qu'utilisateurs, de l'appliquer à nous-mêmes en évitant de donner à un site des données dont il n'a pas vraiment besoin.
Prenons un exemple. Pour télécharger un PDF, vous remplissez un formulaire. Le site demande votre adresse, puisqu'il va y envoyer le fichier. Vous n'aurez plus jamais affaire à lui. Si vous donnez votre adresse permanente, elle se retrouve dans une liste marketing et dans la base de données de l'entreprise. Ensuite, rédiger une demande d'effacement, retirer votre accord, vous désabonner, tout ça devient votre affaire. Vous avez des droits, c'est vrai ; mais les exercer prend du temps.
Pour ce genre de démarche ponctuelle, une adresse créée avec Geçici Mail fait le travail puis disparaît d'elle-même. Pas d'inscription chez nous, ni nom, ni téléphone demandés ; une adresse aléatoire est prête dès l'ouverture de la page. Les e-mails reçus sont supprimés automatiquement après 24 heures. De notre côté aussi, nous cherchons donc à ne pas accumuler de données durables qui pourraient vous être rattachées. Pour comprendre comment ça fonctionne, lisez notre article qu'est-ce qu'un mail temporaire et comment l'utiliser.
Quand le mail temporaire n'est-il pas adapté ?
Soyons francs, utiliser une adresse temporaire partout n'est pas une bonne idée. Votre banque, vos démarches administratives, les services facturés, l'entreprise à laquelle vous postulez ou un compte que vous garderez longtemps méritent votre adresse permanente, parce que les réinitialisations de mot de passe, les factures et les notifications à valeur juridique y arriveront. Le mail temporaire ne fait que recevoir, il ne peut pas envoyer, et l'adresse cesse de servir au bout de quelques heures. La clé de récupération permet d'y revenir, mais ce n'est pas une raison pour en faire votre adresse principale. Nous traitons l'aspect sécurité plus en détail dans l'article une adresse mail jetable est-elle sûre ?
Questions fréquentes
Mon adresse e-mail est-elle une donnée personnelle au sens du RGPD ?
Oui. Une adresse e-mail qui permet de vous identifier, directement ou en la combinant avec d'autres informations, est une donnée personnelle au sens du RGPD.
Un site doit-il toujours obtenir mon consentement pour collecter mon adresse ?
Non. Le RGPD prévoit d'autres bases légales que le consentement ; par exemple, si c'est nécessaire à l'exécution d'un contrat, votre adresse peut être utilisée dans ce but. L'envoi d'e-mails publicitaires nécessite en revanche, en règle générale, un accord distinct.
Comment retirer mon accord pour recevoir des e-mails promotionnels ?
Utilisez le lien de désinscription présent en bas de chaque message, ou contactez directement l'entreprise pour vous opposer à la prospection. Le retrait est possible à tout moment.
Puis-je demander à une entreprise d'effacer mes données ?
Oui, le RGPD vous donne un droit à l'effacement. Adressez votre demande par le canal indiqué dans la politique de confidentialité ; certaines données peuvent toutefois être conservées un temps en raison d'obligations légales.
Utiliser un mail temporaire me fait-il perdre mes droits RGPD ?
Non, vos droits restent entiers. Le mail temporaire vous évite simplement de partager votre adresse permanente sans nécessité, ce qui réduit le nombre de situations où vous aurez à les exercer.