Communication de données des membres d'une association sportive à des fins de marketing

Une fédération sportive suisse a demandé à ses clubs une liste de tous leurs membres. Ces données devaient être vendues à des fins de marketing. Plusieurs clubs nous ont demandé si cette manière de faire était correcte et s'ils avaient le droit de transmettre ces données personnelles. Nous leur avons expliqué qu'ils avaient besoin, pour transmettre ces adresses, du consentement des personnes concernées et nous avons enjoint la fédération d'attirer l'attention des clubs sur la situation juridique et de n'utiliser en aucun cas les données déjà livrées. Le recueil du consentement de chaque membre pourrait cependant être externalisé par les clubs et être confié à la fédération.

Une fois de plus, nous avons dû nous pencher sur le problème de la transmission d'adresses et autres données personnelles de membres d'un club à des tiers (p. ex. à des sponsors) à des fins de marketing (voir notre 16e Rapport d'activités 2008/2009, ch. 1.8.5). Les clubs ne doivent transmettre des données personnelles à des tiers que si cette communication est reconnaissable pour la personne concernée et si celle-ci donne son consentement ou n'a pas manifesté son désaccord. Les clubs peuvent prévoir cette communication dans leurs statuts ou recueillir le consentement dans le cas d'espèce. En outre, les personnes concernées doivent être informées du fait qu'elles peuvent en tout temps s'opposer à ce genre d'utilisation de leurs données personnelles à des fins de marketing.

Au printemps 2009, une fédération sportive suisse a écrit à ses clubs et, se fondant sur ses statuts, leur a demandé une liste de tous leurs membres (y compris les adresses postales et électroniques). Ces données devaient être utilisées à des fins de marketing. En outre, la fédération a mentionné que la transmission des données à des tiers (par la fédération) répondait absolument aux prescriptions de la LPD.

Par la suite, plusieurs clubs régionaux nous ont demandé si cette manière de faire était correcte. Ils voulaient savoir en particulier s'ils pouvaient ou même devaient transmettre les données personnelles souhaitées par la fédération. Nous avons attiré l'attention des clubs sur le fait qu'ils ne devaient transmettre les données de leurs membres que s'ils avaient pour cela le consentement de chaque membre. En cas de données non spécialement sensibles, un consentement implicite suffit avec une possibilité de opt-out. Dans tous les cas, il faut communiquer à la personne concernée le destinataire et le but de la communication des données et lui octroyer un droit d'opposition. Nous avons souligné en outre que l'utilisation des adresses électroniques pour l'envoi de publicité de masse est soumise à la loi fédérale contre la concurrence déloyale (LCD) et présuppose entre autres un consentement explicite (option opt-in).

Nous sommes par ailleurs intervenus auprès de la fédération: nous l'avons priée d'attirer l'attention de ses clubs sur la situation juridique réelle et de n'utiliser en aucun cas les données livrées par les clubs régionaux. En particulier, la fédération ne doit pas communiquer ces données à d'autres tiers tant qu'elle n'est pas sûre que la transmission par les clubs à la fédération a lieu conformément au droit (donc en particulier avec le consentement de chaque membre). Alors seulement la fédération est en effet autorisée à traiter et à transmettre ces données à des tiers.

A l'occasion d'une entrevue avec la fédération, celle-ci nous a informé que la mise en pratique de ces mesures posait souvent des problèmes car les clubs, pour la plupart, n'avaient ni les ressources, ni la volonté de demander un consentement à leurs membres. Nous avons alors proposé un procédé conforme à la LPD: les clubs pourraient demander à la fédération de recueillir le consentement des membres, dans le cadre d'une mesure d'externalisation. Néanmoins, la fédération ne peut dans ce cas utiliser les données d'adresses qu'une seule fois pour demander, au nom du club, le consentement en vue de l'utilisation des données en question par elle-même. Ensuite, la fédération ne doit traiter que les données personnelles pour lesquelles elle a obtenu le consentement des personnes concernées.

https://www.edoeb.admin.ch/content/edoeb/fr/home/documentation/rapports-d-activites/anciens-rapports/17eme-rapport-d-activites-2009-2010/communication-de-donnees-des-membres-d-une-association-sportive-.html