Ce que vous devez savoir.

La période de fin d'année approche et comme d’habitude, vous voulez envoyer une carte de Noël à votre famille, vos amis mais aussi à vos contacts professionnels. L'envoi de cartes de Noël à la famille et aux amis est une « activité strictement personnelle » qui est exemptée de l'application du GDPR (voir article 2, c) du GDPR). Si, en tant qu'entreprise, vous envoyez une carte de Noël à vos clients et à vos contacts professionnels, vous devez respecter les règles du GDPR.

Ce que vous devez faire.

Une question fréquemment posée est de savoir si votre entreprise a besoin du consentement préalable de la personne concernée avant d'envoyer une carte de Noël. Au premier regard, il semble certainement défendable que votre entreprise ait un intérêt légitime à envoyer des vœux de Noël. Cela étant, si les vœux de Noël sont envoyés par voie électronique, vous devez, pour des raisons de sécurité, également tenir compte de la législation vie privée et communications électroniques qui impose une autorisation préalable pour toute forme de « marketing direct » envoyé par voie électronique. Après tout, il n'est pas exclu qu'une carte de Noël puisse être considérée comme un « message promotionnel » de la part de votre entreprise.

La législation vie privée et communications électroniques prévoit deux exceptions importantes à l'obligation de consentement, dont vous pouvez vous prévaloir :

• l’envoi de cartes de Noël à des personnes avec lesquelles vous avez déjà une relation client ou, dans un contexte B2B, avec lesquelles vous avez eu un premier contact.
• l’envoi de cartes de Noël à une adresse purement B2B (c'est-à-dire une adresse de type : info@...).

Les entreprises qui souhaitent faire usage de ces exceptions doivent offrir la possibilité aux personnes concernées par les communications électroniques, de se désabonner  sans frais et de manière simple (par exemple, en prévoyant cette possibilité au bas de la carte de Noël électronique).

Il va sans dire que les entreprises doivent également respecter les autres obligations qui leur incombent en vertu du GDPR, telles que l'obligation d'informer les personnes concernées via une déclaration de confidentialité de l’utilisation de leurs données à caractère personnel.