Lancer une campagne : le dossier de validation RGPD
Validation RGPD d'une campagne : réunissez audience, message, preuves et prestataires dans un dossier qui permet une décision avant lancement.
La campagne est prête, mais personne ne sait qui a vérifié la source du fichier ou l’effet d’une désinscription. Un dossier court permet de rendre la décision vérifiable avant l’envoi. Il doit décrire la campagne réelle, pas rassembler des attestations générales sans lien avec elle.
Réunir les pièces indispensables
| Rubrique | Pièce ou réponse attendue |
|---|---|
| Objectif | Résultat commercial précis et usage des données |
| Audience | Critères, origine et exclusions |
| Message | Version, émetteur et canal |
| Fondement | Analyse applicable à cette population et à ce canal |
| Information et choix | Parcours, version et preuves pertinentes |
| Prestataires | Rôles, accès et destinataires |
| Droits | Désinscription, opposition et propagation |
| Conservation | Échéances du fichier et des résultats |
| Arrêt | Responsable capable de suspendre la campagne |
Les Art. 5(2) et 24(1) fondent la responsabilité démontrable : principes et responsabilité du responsable de traitement.
Rapprocher preuve et audience
Un formulaire conforme ne justifie pas les contacts collectés ailleurs. Contrôlez un échantillon pertinent des sources et périodes réellement incluses, puis documentez les limites de cette vérification. Le guide de l’audit fournisseur de leads fournit une méthode de rapprochement.
Pour le canal électronique, appliquez les règles de la CNIL sur la prospection. Le dossier ne doit pas réduire le fondement à une case positive copiée sur tout le fichier.
Définir des décisions exploitables
Prévoyez trois issues : lancement dans le périmètre décrit, lancement limité après exclusion identifiée, ou suspension d’une partie faute d’éléments nécessaires. Une réserve vague « à vérifier plus tard » ne dit pas à l’équipe ce qu’elle peut envoyer.
Le registre marketing par finalités décrit le traitement durable ; le dossier de campagne en précise l’exécution ponctuelle. Les deux documents se complètent sans recopier les mêmes informations partout.
Garder la capacité d’arrêter
Avant lancement, identifiez qui peut bloquer le scénario, les exports et les audiences si une anomalie apparaît. Vérifiez le circuit du retrait publicitaire lorsque la campagne utilise des listes synchronisées.
Après exécution, rattachez les anomalies et corrections au dossier. Une modification de l’audience, du prestataire ou du message peut exiger une nouvelle revue ; elle ne doit pas hériter silencieusement de l’ancienne validation.
Ce qu’il faut retenir
- Décrivez audience, canal et message effectivement prévus.
- Reliez les preuves aux contacts inclus.
- Formulez une décision précise et conservez une capacité d’arrêt.
FAQ
La signature du DPO transfère-t-elle la responsabilité ?
Non. Le responsable de traitement conserve ses obligations. Le DPO conseille et contrôle dans le cadre de sa mission ; l’organisation doit définir les responsabilités opérationnelles.
Faut-il refaire tout le dossier à chaque newsletter ?
Réutilisez les éléments stables et vérifiez les changements pertinents. Une nouvelle source de contacts ou une nouvelle finalité peut justifier une analyse supplémentaire.
Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.
Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.