La autoridad francesa de protección de datos y lo que espera de usted

La Commission nationale de l'informatique et des libertés —la CNIL— es la autoridad que supervisa cómo se recogen y se utilizan los datos personales en Francia, incluida muy especialmente la prospección por correo electrónico. Publica una guía práctica detallada sobre la prospección comercial por medios electrónicos, y la hace cumplir.

Una cosa ha cambiado de raíz desde que el RGPD entró en aplicación en 2018, y los artículos antiguos siguen equivocándose: ya no existe ninguna obligación de declarar su base de datos de contactos ante la CNIL. El antiguo régimen de declaración fue suprimido. Lo que lo sustituye es la responsabilidad proactiva: usted debe poder demostrar el cumplimiento, lo que en la práctica significa llevar un registro de sus actividades de tratamiento y poder aportar pruebas del consentimiento.

Recogida de direcciones: qué se permite y qué no

Las direcciones extraídas de sitios web, foros y directorios no pueden usarse para prospección. Cuando alguien le facilita su dirección por iniciativa propia —a través de un formulario, una suscripción a un boletín, una encuesta—, debe informársele en ese mismo momento de que podrá utilizarse para enviarle mensajes comerciales, y de quién los enviará.

El consentimiento no se transmite en cadena. Si las direcciones se recogen para cederlas a socios comerciales, hay que decir a la persona quiénes son esos socios en el momento en que presta su consentimiento; una referencia genérica a «nuestros socios» no sirve. La CNIL ha impuesto multas importantes a intermediarios de datos exactamente por este motivo.

Los dos niveles de prospección

La CNIL distingue entre prospectar a un consumidor y prospectar a un profesional.

Para los consumidores se exige consentimiento previo, con la estrecha excepción de escribir a un cliente existente sobre productos o servicios similares a los que ya le compró.

Para los profesionales, las reglas son más ligeras. Puede enviarse un mensaje sin consentimiento previo cuando su objeto guarda relación con la profesión de la persona contactada, siempre que se la informe y pueda oponerse de forma sencilla en cualquier momento. El remitente debe seguir identificándose con claridad. Esta es la postura declarada de la CNIL y no una exención legal, así que documente por qué considera que una campaña concreta encaja en ella.

Cuánto tiempo puede conservar los datos de prospección

El marco de referencia de la CNIL recomienda conservar los datos de un prospecto que no ha llegado a ser cliente hasta tres años desde el último contacto procedente de esa persona. Un clic en un enlace o una petición de documentación cuentan como contacto; abrir un correo, no. Para los clientes, el plazo equivalente corre desde el fin de la relación comercial.

Son recomendaciones que crean una presunción de conformidad, no plazos legales fijos: puede conservar los datos más tiempo si justifica y documenta por qué. La obligación vinculante es el principio de limitación del plazo de conservación del RGPD: no conserve datos personales más tiempo del que exige la finalidad.

Las sanciones son reales

La prospección es una prioridad permanente de la CNIL y produce sanciones todos los años. Decisiones recientes han sancionado el envío sin consentimiento válido, formularios diseñados de modo que el consentimiento no era ni libre ni inequívoco, mecanismos de baja que obligaban a escribir al delegado de protección de datos en lugar de bastar un clic, y la cesión de datos de prospectos a terceros sin una base adecuada. Las multas han ido desde decenas de miles de euros hasta ocho cifras en los casos mayores.

La lección práctica es la misma en todos los casos: recoja el consentimiento con limpieza, guarde la prueba, ponga fácil la salida y no trate un fichero de prospectos como un activo que se pueda hacer circular.

Consulte también: las leyes y el envío de correos en Francia.