Acymailing, RGPD et consentement explicite

[pulsarinformatique]

Bonjour

On utilise la version business 5.10.2 d’acymailing mais nous nous heurtons à une difficulté par rapport au consentement explicite exigé par le RGPD.
Le MODULE acymailing propose bien une case à cocher pour le consentement explicite mais pas le LIEN de MENU

• La case à cohcer de consentement explicite est elle donc facultative puisqu’on doit passer par le double opt-in qui est une forme de consentement tres explicite ?
• Pourquoi cette différence entre le lien de menu et le module ?

Merci beaucoup

Cyril Thibout

[jfque]

En fait le module permet juste de faire un lien vers un article contenant les conditions générales. L'utilisateur doit cocher la case mais je ne pense pas qu'il enregistre ce consentement quelle part.

En principe, le double opt-in devrait suffire comme action active et volontaire de la part de l'utilisateur, et une trace du moment de la confirmation est conservée dans son historique.
Néanmoins, si vous voulez être complet, vous pouvez soit ajouter un custom field avec une case à cocher qui, cette fois enregistrera le consentement (quoi qu'il s'agit juste d'un "Oui"), soit utiliser la méthode que je préconise dans mon article sur Acymailing et le RGPD : un email m'est envoyé à chaque fois qu'un utilisateur confirme son abonnement. Il contient la date, le nom, l'email et l'adresse IP de l'utilisateur et je conserve ce mail comme preuve.

Une version 6 d'Acymailing est prévue pour bientôt, peut-être avec de nouvelles fonctions à propos du RGPD.

[pulsarinformatique]

MErci, il y a t il une durée maxi de retention pour le consentement comme pour les données ou le consentement doit il etre conservé sans limite?
merci

cyril

[pmleconte]

Bonjour Cyril,

Un peu de lecture : https://www.cnil.fr/fr/limiter-la-co...on-des-donnees

=> sauf erreur de ma part, durée de conservation maxi : 13 mois, donc, est-il utile de garder trace du consentement plus longtemps ?

Je viens de remarquer, sur mon explorateur, des cookies google.com allant jusqu'à 2020, j'en ai même un (account.google.com) allant jusqu'à 2028....Erreur, j'en ai trouvé un autre allant jusqu'à 2038 (google.com) appelé CONSENT...

Pascal

[pulsarinformatique]

une autre question svp : comment rendre la soumission du formulaire impossible tant qu'on n'a pas coché cette case / champ personnalisé ?

[pmleconte]

En fouillant un peu plus, j'ai trouvé : https://www.cnil.fr/fr/reglement-eur...nees/chapitre3

Il n'y a pas de définition de la durée de vie du consentement, mais, il faut qu'il y ait possibilité de retirer son consentement.

Pascal

[pulsarinformatique]

oui pour le consentement des cookies la duree de retention est de 13 mois mais pour les formulaires et donc pour l'inscription acymailing la duree du consentement est elle aussi de 13 mois ?

[jfque]

Pour la durée de rétention, je dirais que c'est toute la durée de l'abonnement, en n'oubliant pas évidemment d'inclure dans chaque message un lien de modification/désinscription. La durée de 13 mois, cela concerne les cookies.
Pour celles de Google Analytics, il faut changer les préférences dans l'administration de Google Analytics. La durée minimum proposée par Google est de 14 mois, je suppose que ce n'est pas à 1 mois prêt !
Certains argumentent le fait que la conservation de ces données correspondent en fait à un but d'étude et de recherche (ce qui n'est pas entièrement faux), et donc qu'elles échappent aux règles de conservation maximum imposées et qu'on pourrait en fait les conserver indéfiniment. A moins de faire réellement des analyses très poussées en marketing (et avoir un bon service juridique), je pense que fixer la durée sur 14 mois devrait suffire.


Pour la case à cocher, on peut rendre les champs personnalisés obligatoires, donc la personne est obligée de cocher pour s'abonner.

[pmleconte]

une autre question svp : comment rendre la soumission du formulaire impossible tant qu'on n'a pas coché cette case / champ personnalisé ?

On a déjà eu une discussion sur ce type de question avec Daneel et JFQue : https://forum.joomla.fr/forum/joomla...t-et-e-privacy

J'ai testé un peu "tarteaucitron" qui bloque certaines actions tant que les cookies n'ont pas été validés, mais, cela m'a un peu trop bloqué, donc, pour l'instant, j'ai juste mis un message d'alerte cookie avec possibilité de supprimer les cookies.

Pascal

[pmleconte]

.... La durée de 13 mois, cela concerne les cookies.....

Désolé, JF, mais, pas d'accord. Il s'agit de la durée de conservation des données.

Si tu regardes https://www.cnil.fr/fr/reglement-eur...nees/chapitre3, il n'y a pas de durée de vie des cookies définie, il faut juste laisser la possibilité de pouvoir les retirer et annuler son consentement.

Pascal

[jfque]

Je vérifierai, mais de toutes façons la durée de conservation des données est fonction de l'utilisation qu'on en fait ("intérêt légitime") ou d'obligations légales (pour des données de facturation par exemple).
Pour un abonnement, il est légitime de conserver le consentement tant que l'utilisateur est abonné. Du moment qu'il peut se désinscrire quand il le souhaite (= retirer son consentement), tout va bien. Il ne faut pas lui demander tous les 13 mois s'il est d'accord de continuer.

Le but du RGPD c'est de clarifier les relations entres utilisateurs et propriétaires de sites pour éviter les abus, ce n'est pas de rendre la vie impossible à tout le monde pour le plaisir.

[pulsarinformatique]

Je crois que la durée du consentement les 13 mois sont pour les cookies uniquement (donc des données). il n'y a pas, par exemple de limite au consentement à l'utilisation de services comme Google Analytics.

[pmleconte]

....Le but du RGPD..., ce n'est pas de rendre la vie impossible à tout le monde pour le plaisir.

Il y a des moments où je commence à douter......car, suivant les extensions utilisées, on peut tout coincer, tout laisser passer, faire des blocages partiels (google, facebook , ....),ou ne rien mettre du tout.

Le principal est qu'il faut pouvoir permettre à l'utilisateur de revenir sur sa décision ou, s'il refuse les cookies, de lui signaler que le site ne fonctionnera pas complètement.

Pascal

[jfque]

Je pense qu'il y a une confusion : le RGPD ne concerne en fait pas les cookies (ou très indirectement). Les cookies continuent à être régies par la loi de 2012 (?) et seront prochainement recadrées par une nouvelle directive ePrivacy si je ne me trompe. On a beaucoup parlé des cookies ces derniers temps parce qu'avec le RGPD, on "resserrait les boulons" un peu partout et c'était une bonne occasion de rappeler que, depuis des années, il fallait aussi prévenir l'utilisateur.

Mais ici la question porte bien sur le consentement, et donc le RGPD "pur".