O regulador francês de proteção de dados, e o que ele espera
A Commission nationale de l'informatique et des libertés — a CNIL — é a autoridade que supervisiona como os dados pessoais são coletados e usados na França, incluindo, e muito, a prospecção por e-mail. Ela publica orientações práticas detalhadas sobre a prospecção comercial por meios eletrônicos, e as faz valer.
Uma coisa mudou de forma fundamental desde que o RGPD entrou em vigor em 2018, e artigos antigos ainda erram nisso: não existe mais obrigação de declarar sua base de contatos à CNIL. O antigo regime de declaração foi extinto. O que o substituiu foi a responsabilização — você precisa conseguir demonstrar conformidade, o que na prática significa manter um registro das suas atividades de tratamento e conseguir apresentar prova do consentimento.
Coleta de endereços: o que pode e o que não pode
Endereços coletados automaticamente de sites, fóruns e diretórios não podem ser usados para prospecção. Quando alguém entrega o próprio endereço a você — por um formulário, uma inscrição em newsletter, uma pesquisa —, essa pessoa precisa ser avisada naquele momento de que ele poderá ser usado para enviar mensagens comerciais, e por quem.
O consentimento não viaja por uma cadeia. Se os endereços são coletados para serem repassados a parceiros, a pessoa precisa saber quem são esses parceiros no momento em que consente; uma referência genérica a "nossos parceiros" não funciona. A CNIL já multou pesadamente corretores de dados exatamente nesse ponto.
Os dois níveis de prospecção
A CNIL distingue entre prospectar um consumidor e prospectar um profissional.
Para consumidores, o consentimento prévio é exigido, com a exceção estreita de escrever a um cliente atual sobre produtos ou serviços semelhantes aos que ele já comprou de você.
Para profissionais, as regras são mais leves. Uma mensagem pode ser enviada sem consentimento prévio quando o assunto dela se relaciona à profissão da pessoa contatada, desde que ela seja informada e possa se opor de forma simples a qualquer momento. O remetente ainda precisa se identificar claramente. Essa é a posição declarada da CNIL, e não uma isenção legal, então documente por que você considera que uma dada campanha se enquadra nela.
Por quanto tempo você pode guardar dados de prospects
O referencial da CNIL recomenda guardar dados sobre um prospect que não virou cliente por até três anos a partir do último contato partido dessa pessoa. Um clique em um link ou um pedido de material conta como contato; apenas abrir um e-mail não conta. Para clientes, o período equivalente corre a partir do fim da relação comercial.
São recomendações que criam uma presunção de conformidade, e não prazos legais fixos — você pode guardar os dados por mais tempo se conseguir justificar e documentar o motivo. A obrigação vinculante é o princípio da limitação da conservação do RGPD: não guarde dados pessoais por mais tempo do que a finalidade exige.
A fiscalização é real
A prospecção é uma prioridade permanente da CNIL e produz sanções todos os anos. Decisões recentes penalizaram envios sem consentimento válido, formulários desenhados de modo que o consentimento não era livre nem inequívoco, mecanismos de cancelamento que exigiam escrever a um encarregado de proteção de dados em vez de um clique, e o repasse de dados de prospects a terceiros sem base adequada. As penalidades foram de dezenas de milhares de euros até oito dígitos nos maiores casos.
A lição prática é a mesma em todos eles: colete o consentimento de forma limpa, guarde a prova, facilite a saída e não trate um arquivo de prospects como um ativo que você pode passar adiante.
Veja também: a lei e o envio de e-mails na França.