Mailchimp et RGPD : contrat, transferts et audiences

Vous pouvez utiliser Mailchimp pour une campagne française si vous avez un cadre contractuel adapté, un mécanisme valable pour les transferts et des destinataires que vous êtes autorisé à solliciter. Activer les champs « GDPR » ne remplit pas ces trois conditions. Il faut notamment que les permissions recueillies déterminent réellement le segment auquel le message part.

La difficulté apparaît souvent dans un compte ancien : plusieurs audiences, un import dont la preuve manque et des automatisations oubliées. Ce guide propose une revue de ces points à partir d’une campagne concrète, puis explique comment traiter une opposition qui dépasse une seule audience.

Examiner le contrat et les données admises

Le DPA Mailchimp fait partie de l’accord de service. Il prévoit le traitement en sous-traitance pour le client, mais écarte de ce périmètre certains traitements où Mailchimp est responsable. Il interdit aussi de confier certaines données qualifiées contractuellement de sensibles. Les sections 3 et 5 organisent respectivement l’information sur les sous-traitants et les audits ; recevoir les alertes sur les changements suppose une inscription.

Conservez la version applicable au contrat, les annexes pertinentes et une adresse suivie pour les notifications. La définition contractuelle des données exclues mérite une lecture avant tout ajout de champ personnalisé : le logiciel ne doit pas devenir le lieu où l’équipe copie indistinctement des pièces et notes CRM.

Rapprochez ces engagements des obligations de l’article 28 du RGPD. Les instructions, accès, assistance aux droits et conditions de sortie doivent correspondre au service utilisé. La signature d’un DPA n’atteste ni la licéité de votre fichier ni celle du contenu envoyé.

Distinguer les mécanismes de transfert

La section 6 du DPA prévoit des traitements aux États-Unis et dans les pays d’intervention des entités et prestataires concernés. Elle mobilise le Data Privacy Framework pour les flux couverts et des clauses contractuelles types lorsque des garanties appropriées sont requises.

Pour un flux fondé sur l’adéquation, vérifiez l’entité destinataire et la couverture actuelle de sa certification. L’Art. 45(1) permet les transferts couverts sans autorisation spécifique. L’évaluation nécessaire pour des garanties relevant de l’Art. 46 ne devient pas une analyse d’impact des transferts automatiquement obligatoire pour tous les flux bénéficiant d’une adéquation. Ces régimes figurent au chapitre V du RGPD.

Le dossier de transfert hors EEE distingue donc les destinataires et les fondements, plutôt que d’attribuer une conclusion générale à la marque. Un connecteur ajouté ultérieurement peut créer un autre flux. Son examen ne disparaît pas parce que le compte principal avait déjà été accepté.

Relier formulaires, permissions et destinataires

Le guide des formulaires GDPR de Mailchimp décrit des champs modifiables, des segments fondés sur les permissions et l’enregistrement de versions textuelles pour certaines inscriptions par formulaire hébergé ou page d’inscription. L’éditeur précise que leur activation ne rend pas le compte conforme. Ces possibilités ne garantissent pas la conservation de la même preuve pour chaque formulaire externe ou import.

Votre contrôle doit donc commencer par le message : quel contenu, pour quelle finalité, à quels contacts ? L’administrateur montre ensuite la règle de sélection et les éléments qui justifient le statut de quelques personnes représentatives. Un libellé « consentement » avec une valeur vraie ne suffit pas s’il ne renvoie à aucun choix identifiable.

L’Art. 7(1) du RGPD exige de pouvoir démontrer le consentement lorsqu’il fonde le traitement. Gardez le périmètre et la version de l’information présentée. Une correction typographique ne pose pas le même problème qu’un ajout de publicité de partenaires : le second projet demande une analyse nouvelle, sans attribuer rétroactivement cette portée aux anciens choix.

Cas pratique : une céramiste sépare boutique et ateliers

Dans cet exemple fictif, une PME de céramique vend des objets et organise des ateliers. Deux équipes ont créé deux audiences Mailchimp : « Boutique » et « Ateliers ». Certaines personnes figurent dans les deux. La dirigeante veut envoyer une campagne présentant les ateliers d’automne.

La revue découvre trois sources : des inscriptions explicites aux nouvelles des ateliers, les adresses nécessaires aux commandes d’objets et un ancien fichier de visiteurs d’un salon. Ce dernier porte une colonne « intéressé », sans texte d’information ni trace du choix initial. L’équipe ne peut pas l’interpréter comme un accord à recevoir les campagnes.

La dirigeante retient un lancement limité aux inscriptions documentées aux nouvelles des ateliers. Les commandes d’objets restent hors de cette campagne ; aucune exception client n’est supposée couvrir automatiquement une autre activité. Le fichier salon est isolé des envois pendant l’examen de sa conservation et de sa provenance.

Voici le dossier de lancement renseigné, sans campagne réellement effectuée :

Ce tableau fournit une instruction à l’administrateur : ne pas compléter les permissions absentes pour augmenter le volume de la campagne. Si la preuve n’est pas retrouvée à temps, la personne n’entre pas dans le lancement fondé sur le consentement. Une audience plus petite mais justifiée permet de décider ; un statut inventé masque le problème.

Appliquer le régime français à chaque source

L’article L. 34-5 du Code des postes et des communications électroniques encadre la prospection électronique. L’exception du client existant suppose notamment une collecte dans le cadre d’une vente ou prestation, des produits ou services analogues fournis par la même personne et une opposition simple et gratuite à la collecte puis lors des messages. Une simple présence dans un fichier ne remplit pas ces conditions.

La CNIL distingue particuliers et prospection professionnelle. Pour certains messages professionnels, l’intérêt légitime peut être retenu lorsque la sollicitation est liée à l’activité, avec information et opposition. Notre guide email marketing et RGPD explique ce tri.

N’envoyez pas à tous les contacts inconnus un message promotionnel censé « récupérer leur accord ». Le fait de demander un consentement ne dispense pas de justifier l’envoi lui-même. La documentation du fournisseur sur la reconfirmation ne remplace pas ces règles françaises ni les conditions contractuelles du service.

Une opposition générale doit dépasser une audience

Mailchimp explique que ses audiences sont indépendantes : la désinscription concerne l’audience dont provient le message. Sa documentation des désinscriptions recommande notamment de tenir compte de cette séparation lorsque plusieurs audiences servent la même organisation.

Dans notre scénario, une lectrice écrit : « Je ne veux plus recevoir aucune offre de votre entreprise. » La portée est générale. La responsable doit appliquer cette opposition aux campagnes Boutique et Ateliers, ainsi qu’aux autres envois commerciaux concernés. Elle ne peut pas répondre que l’autre équipe utilise une audience différente. Les Art. 21(2) et (3) du RGPD imposent de cesser le traitement aux fins de prospection auxquelles la personne s’oppose.

Le service client transmet la demande à la personne responsable des envois avec le périmètre exprimé. Celle-ci recherche les audiences et synchronisations pertinentes, applique les exclusions, puis conserve une trace limitée permettant de respecter le choix. Si la demande est ambiguë, l’entreprise ne doit pas profiter de l’ambiguïté pour poursuivre un usage clairement refusé.

Recette : l’ancienne audience ne doit pas relancer la personne

L’équipe utilise des coordonnées fictives qu’elle contrôle pour vérifier le parcours prévu. Elle prépare un profil présent dans les deux audiences, applique une opposition générale et examine les prochains envois manuels et automatiques. Le résultat attendu est l’exclusion des sollicitations couvertes, sans effacer les données nécessaires à une commande encore en cours.

Dans la suite hypothétique, l’audience Ateliers exclut correctement le profil, mais un scénario Boutique lui destine encore une promotion. La dirigeante suspend ce scénario. L’administrateur corrige la propagation de l’opposition et recherche les imports susceptibles de restaurer l’ancien statut. La reprise exige un contrôle sur les deux audiences et sur la source qui les alimente.

Si un connecteur ne peut pas respecter cette règle, il reste arrêté ou son périmètre est réduit. L’entreprise ne conserve pas l’automatisation en demandant simplement au client de cliquer sur tous les liens de désinscription. La structure interne du compte ne doit pas neutraliser une opposition explicite.

Conserver les preuves et préparer la sortie

L’Art. 5(1)(e) du RGPD impose une durée adaptée au besoin. Définissez séparément les données exploitées pour les campagnes, les éléments de preuve et les informations minimales nécessaires pour éviter une réinscription. Conserver une opposition ne justifie pas de garder toutes les notes et tous les historiques commerciaux à côté.

Avant une migration, choisissez un petit dossier fictif comprenant une inscription prouvée, une permission absente et une opposition. Vérifiez que l’export permet de distinguer ces situations, puis que le futur outil les interprète correctement. Le guide de migration emailing avec preuves de consentement précise les pièces à préserver. Un export d’adresses seul peut être inutilisable pour décider des futurs envois.

Enfin, validez séparément les fonctions de suivi des messages, les publicités et les intégrations que vous souhaitez activer. L’accord à recevoir un courriel ne résout pas automatiquement les questions liées à un pixel de suivi. Le lancement de notre campagne n’autorise pas ces usages supplémentaires par défaut.

Ce qu’il faut retenir

• Distinguez contrat, transferts et autorisation de solliciter.
• Reliez les permissions au texte et à la source qui les justifient.
• Appliquez la portée de l’opposition malgré la séparation des audiences.
• Une migration doit conserver les preuves et les exclusions, pas seulement les adresses.

FAQ

Faut-il nécessairement signer un DPA séparé ?

Le DPA publié indique son incorporation à l’accord. Conservez les conditions applicables et les éléments d’acceptation ; ne supposez pas l’existence d’un menu de signature universel.

Faut-il effacer une commande après une désinscription ?

La désinscription commerciale ne supprime pas les obligations et finalités distinctes de gestion de la commande. Il faut arrêter l’usage refusé et appliquer à chaque autre donnée son propre fondement et sa durée.

Un fichier importé peut-il être validé par son seul statut abonné ?

Non. Le statut doit correspondre à une justification vérifiable. Si la preuve ne suit pas, l’import ne crée pas le consentement manquant.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.