POPIA: Cookies, marketing et consentement pour les sites web en Afrique du Sud

POPIA s’applique-t-elle à votre site web ?

POPIA s’applique aux traitements effectués par un responsable du traitement domicilié en Afrique du Sud, ou par un responsable situé hors du pays qui utilise des moyens automatisés ou non automatisés en Afrique du Sud, sauf si ces moyens servent uniquement à faire transiter des informations par le pays (section 3).

La loi ne précise pas si le dépôt de cookies sur des appareils situés en Afrique du Sud revient à y utiliser des moyens : les entreprises étrangères doivent donc évaluer cette question plutôt que de présumer la réponse. Aucun seuil de chiffre d’affaires n’exempte les petites entreprises.

Selon la section 1 de la loi, les informations personnelles comprennent les identifiants en ligne et concernent les personnes physiques vivantes identifiables et, le cas échéant, les personnes morales existantes comme les sociétés.

Cookies, profilage et marketing direct : un exemple

Une boutique en ligne qui vend du matériel de plein air dépose un cookie publicitaire. Celui-ci enregistre qu’un visiteur a consulté des chaussures de randonnée, relie cet historique à l’adresse e-mail utilisée lors du paiement et ajoute la personne à une audience « chaussures ». La boutique envoie ensuite par e-mail une promotion sur les chaussures et affiche des annonces pour des chaussures sur d’autres sites web.

Ce que dit la loi : une fois reliés au visiteur, l’identifiant du cookie et l’historique de navigation sont des informations personnelles, car la définition inclut les identifiants en ligne. La constitution de l’audience nécessite un fondement prévu à la section 11. L’e-mail relève du marketing direct électronique, que la section 69 interdit sans consentement ou sans réunir les conditions applicables aux clients existants.

Ce que dit l’Information Regulator : sa note d’orientation sur le marketing direct range l’utilisation de cookies parmi les méthodes de marketing direct par communication électronique non sollicitée, aux côtés de l’e-mail, des SMS et des notifications push. Selon cette lecture, les annonces fondées sur les cookies relèvent elles aussi de la section 69. La note a une valeur consultative ; la loi et son règlement d’application prévalent.

Le profilage dans la loi : POPIA ne définit pas le profilage. La section 71 restreint les décisions fondées uniquement sur un profilage automatisé qui produisent des effets juridiques ou substantiels. En deçà de ce seuil, l’audience nécessite tout de même un fondement licite et doit correspondre à ce qui a été annoncé aux visiteurs.

Conseil de mise en œuvre de Passiro : traitez le cookie et le marketing comme une seule et même finalité. Placez les cookies de publicité et de remarketing dans une catégorie soumise au consentement qui reste désactivée jusqu’à l’opt-in, et enregistrez le choix relatif au marketing par e-mail dans un champ distinct.

Fondements licites, consentement et opposition

La section 11 prévoit six fondements : le consentement, un contrat avec la personne, une obligation légale, l’intérêt légitime de la personne, une mission de droit public, ou l’intérêt légitime de vous-même ou d’un tiers. La charge de la preuve du consentement vous incombe, et celui-ci peut être retiré à tout moment.

Le consentement désigne une manifestation de volonté libre, spécifique et éclairée. Accepter les conditions d’achat ou d’ouverture de compte ne vaut donc pas consentement spécifique aux cookies publicitaires.

L’opposition est un droit distinct. Les personnes peuvent s’opposer à tout moment au traitement fondé sur l’intérêt légitime, pour des motifs raisonnables et selon les modalités prescrites, ainsi qu’au marketing direct non électronique, comme le courrier postal. Après une opposition, le traitement doit cesser (section 11(3)–(4)).

La note d’orientation de l’Information Regulator admet l’intérêt légitime pour certaines formes de marketing direct non électronique, à l’issue d’un test documenté de finalité, de nécessité et de mise en balance. Le marketing direct électronique relève en revanche de la section 69.

Quand la voie des clients existants s’applique

La section 69(3) n’autorise le marketing direct électronique sans consentement qu’auprès de vos clients, et uniquement si les trois conditions suivantes sont réunies :

1. Coordonnées issues d’une vente : vous les avez obtenues dans le cadre de la vente d’un produit ou d’un service à cette personne.
2. Vos propres produits similaires : le marketing porte sur vos propres produits ou services similaires. L’exemple de l’Information Regulator : des chaussures et des ceintures pour un détaillant de vêtements, mais pas une assurance obsèques.
3. Une possibilité de s’opposer : la personne a eu une possibilité raisonnable, gratuite et simple de s’opposer lors de la collecte des coordonnées, et en dispose à chaque message.

Chaque message de marketing direct doit aussi identifier l’expéditeur et indiquer des coordonnées permettant de demander l’arrêt des messages (section 69(4)).

Cette voie a ses limites. Une visite du site web ou un profil de navigation n’est pas une vente, un achat passé ne couvre pas des produits sans rapport, et une opposition met fin à cette voie pour la personne concernée. L’Information Regulator ajoute que le silence ne vaut pas consentement : une personne à qui l’on n’a jamais posé la question lors de la collecte n’a pas donné son accord.

Pour toutes les autres personnes, vous avez besoin d’un consentement, et vous ne pouvez le demander qu’une seule fois, et pas après un refus (section 69(2)). Le règlement d’application de POPIA modifié exige un consentement écrit sur un formulaire substantiellement similaire au formulaire 4 ou par une autre méthode gratuite et accessible, et précise qu’un opt-out ne constitue pas un consentement.

Information, droits et sous-traitants

Avant de collecter des informations personnelles, prenez des mesures raisonnablement réalisables pour que les personnes sachent ce qui est collecté, qui vous êtes, la finalité, les destinataires, tout transfert à l’étranger et leurs droits, y compris l’opposition et la possibilité de déposer une plainte auprès de l’Information Regulator (section 18).

Les personnes peuvent aussi demander l’accès, la rectification et la suppression, sous certaines conditions. Transmettez les oppositions et les retraits à chaque système qui utilise les données : audiences publicitaires, campagnes programmées et exports.

Les sous-traitants (operators) ne peuvent traiter les données qu’avec votre autorisation, dans le cadre d’un contrat écrit imposant des mesures de sécurité (sections 20 et 21). Les transferts vers un tiers à l’étranger nécessitent une protection adéquate, un consentement ou un autre fondement prévu à la section 72 ; un cookie publicitaire accepté ne vaut pas, à lui seul, consentement au transfert.

Liste de contrôle pour votre site web

• Champ d’application : consignez pourquoi POPIA s’applique à votre site.
• Finalité par outil : indiquez quels cookies alimentent des audiences marketing.
• Avant le consentement : vérifiez que les cookies et pixels publicitaires restent désactivés.
• Voie des clients : vérifiez les trois conditions de la section 69(3) avant de vous appuyer sur cette voie.
• Oppositions : vérifiez qu’elles sont bien répercutées sur les audiences, les exports et les campagnes.
• Sous-traitants : vérifiez les contrats et les fondements des transferts pour chaque fournisseur.

FAQ