Écrire aux habitants par courrier : ce que dit la CNIL

La CNIL décrit l’information donnée « au moment de la collecte » de l’adresse. Si vous choisissez une adresse dans des données publiques, vous ne la collectez pas auprès de l’habitant. La CNIL renvoie alors, dans ses références, aux articles 12 et 14 du RGPD.

L’article 14 vise les données qui n’ont pas été collectées auprès de la personne. Il demande de lui dire :

• qui vous êtes et comment vous joindre ;
• pourquoi vous utilisez son adresse, et sur quelle base juridique ;
• quelles catégories de données vous traitez, et qui les reçoit, le cas échéant ;
• l’intérêt légitime que vous invoquez, quand c’est la base choisie ;
• combien de temps vous gardez la donnée ;
• ses droits : accès, rectification, effacement, opposition ;
• son droit de saisir la CNIL ;
• d’où vient la donnée, et si la source est accessible au public ;
• l’existence éventuelle d’une décision automatisée, profilage compris.

Le délai est d’un mois au plus. Si l’adresse sert à écrire à la personne, l’information arrive au plus tard avec le premier courrier. C’est donc le premier courrier qui doit la porter.

La CNIL publie un exemple d’information pour la prospection par voie postale. Son cas de départ est celui d’une petite entreprise dont les prospects ont rempli un formulaire, pas celui d’une adresse tirée de données publiques. La CNIL précise elle-même que c’est une illustration à adapter, non un modèle valable dans tous les cas. Il montre une information en deux niveaux : un renvoi court, puis une notice complète.

• Un courrier à l’occupant. Il ne porte aucun nom. L’adresse est choisie d’après des données publiques : le cadastre, les photos aériennes de l’IGN, les déclarations de travaux publiées par la commune, le fichier des permis de construire, le revenu du quartier.
• Une mention dans chaque courrier. Elle dit qui écrit, d’où vient l’adresse et comment ne plus rien recevoir, par écrit et gratuitement.
• Une liste d’exclusion sans nom. Chaque refus devient une ligne : l’identifiant de l’adresse dans la Base Adresse Nationale, celui de la parcelle, l’adresse écrite sous une forme unique, la date et le motif. Phegos ne garde pas d’empreinte : l’identifiant et l’adresse sont en clair, sans nom. C’est un choix différent de celui que décrit la CNIL ; l’adresse reste une donnée personnelle, à protéger comme telle.
• Appliquée avant toute préparation de courrier. Une adresse exclue sort des listes, des lettres, des étiquettes et des fichiers. Si la liste d’exclusion n’a pas été chargée, le fichier est fermé. Phegos ne poste rien : c’est votre entreprise qui imprime et envoie.
• Une sortie contrôlée. Une adresse ne quitte la liste que si l’administrateur la retire, avec un motif.

Cette page ne traite que du courrier postal. Le téléphone relève d’autres règles, qu’elle ne décrit pas.

Un courrier sans nom n’est pas pour autant un courrier sans donnée personnelle : l’adresse d’une maison peut permettre d’identifier un foyer. Les règles ci-dessus s’appliquent.

Votre entreprise reste responsable du contenu du courrier. La répartition des rôles entre votre entreprise et Phegos n’est pas tranchée sur cette page : c’est une question pour votre conseil.

Avant le premier envoi, faites relire le texte du courrier et la mention d’information par la personne qui répond de la protection des données chez vous, ou par votre conseil.