Comment les formulaires d’inscription génèrent du spam dans votre boîte de réception

Ce qu’un formulaire d’inscription peut faire de votre adresse

Lorsque vous saisissez une adresse dans un formulaire d’inscription, le site peut l’utiliser, mais elle peut aussi se diffuser : par un partage déclaré, une vente ou un transfert, une fuite de données ou une collecte à partir d’une publication publique. Une demande de désabonnement au titre de la loi CAN-SPAM met fin aux futurs messages marketing concernés de l’expéditeur et limite tout transfert ultérieur de l’adresse désabonnée par celui-ci. Elle ne permet pas de récupérer les copies déjà communiquées, vendues, divulguées ou collectées.

Le formulaire reçoit bien plus qu’une simple chaîne de caractères. Il reçoit une adresse fonctionnelle, ainsi que des éléments de contexte : ce qui vous intéressait, la page depuis laquelle vous êtes arrivé et le moment de votre visite. C’est cette combinaison qui donne à une adresse suffisamment de valeur pour être transmise et qui explique l’existence même des différentes voies décrites ci-dessous.

Si vous cherchez dès le départ quelle adresse fournir à un formulaire donné, vous pouvez Créez une adresse jetable pour ce formulaire et éviter ainsi d’y mêler votre boîte de réception habituelle. L’appellation donnée à une telle adresse ne suffit pas à déterminer son fonctionnement, et c’est précisément ce que La différence entre un email jetable, jetable et jetable permet de clarifier. Tout ce qui suit porte sur ce qui arrive à une adresse après sa saisie.

Une limite s’impose pour l’ensemble de cet article : il décrit des voies possibles à partir des règles applicables et des politiques publiées. Il ne prétend pas savoir ce qu’un site en particulier fait de votre adresse.

Suivi par le site d’origine et diffusion à des tiers

En vertu de la loi américaine CAN-SPAM, une demande de désabonnement s’applique à l’expéditeur d’un message commercial concerné, qu’il s’agisse du site d’origine ou d’une entreprise située en aval. Elle ne constitue pas un ordre global de suppression adressé à tous les détenteurs de l’adresse.

De votre point de vue, deux situations sont observables et il est utile de les nommer, même si cette distinction est descriptive plutôt que juridique. Il y a les messages du site auquel vous avez donné votre adresse : sa newsletter, ses offres et ses annonces de produits. Et il y a ceux d’entreprises auxquelles vous n’avez jamais rien communiqué.

Le point essentiel réside dans ce qui en découle. Si une entreprise en aval est l’expéditeur d’un message commercial concerné par la loi américaine CAN-SPAM, elle est elle-même tenue de proposer un désabonnement. La limite juridique tient à l’identité de l’expéditeur concerné, et non au fait que celui-ci ait obtenu l’adresse par une utilisation directe du site d’origine ou par une diffusion en aval. La loi ne crée pas d’ordre global de suppression pour tous les détenteurs de l’adresse.

Partage, vente de listes, fuites de données et collecte automatisée : des voies différentes

Une fois l’adresse enregistrée dans le système du site, celui-ci peut l’utiliser pour ses propres messages. Par ailleurs, elle peut se diffuser par quatre voies distinctes, qui n’offrent pas toutes les mêmes possibilités d’action.

Partage déclaré. La politique de confidentialité du site indique qu’il partage des données avec des partenaires ou des sociétés affiliées, et il procède effectivement à ce partage. C’est la voie que vous pouvez examiner avant de soumettre le formulaire, puisque cette information est consignée quelque part où vous pouvez la consulter.

Vente ou transfert. L’adresse passe à une autre entreprise en tant qu’actif. Une véritable restriction mérite ici d’être connue : selon les règles de la loi américaine CAN-SPAM, une fois votre désabonnement effectué, cet expéditeur ne peut plus vendre ni transférer votre adresse, y compris au sein d’une liste de diffusion. La seule exception prévue concerne son transfert à une entreprise chargée d’aider cet expéditeur à respecter la loi. Cette restriction encadre les actes ultérieurs de l’expéditeur ; elle ne permet pas de récupérer une copie transférée avant votre désabonnement.

Une fuite de données. L’adresse échappe au contrôle du site sans que celui-ci l’ait voulu.

Collecte à partir d’une publication publique. Si l’adresse se retrouve dans un espace public, elle peut y être collectée. Cette voie suppose que l’adresse ait d’abord été rendue publique, raison pour laquelle elle ne concerne pas toutes les inscriptions.

Ce qu’une demande de désabonnement change réellement

Il s’agit des règles de la loi américaine CAN-SPAM, qui s’appliquent aux emails de prospection commerciale concernés et non à tous les messages qu’une entreprise pourrait vous envoyer.

Dans ce cadre, le désabonnement est une obligation assortie d’un délai, et non un simple geste commercial. L’expéditeur doit donner suite à la demande dans un délai de 10 jours ouvrables. Le mécanisme de désabonnement proposé doit rester en mesure de traiter les demandes pendant au moins 30 jours après l’envoi du message. Cette exigence porte sur la durée de disponibilité du mécanisme, et non sur le délai de traitement de votre demande.

Les règles limitent également ce qu’un expéditeur peut exiger de vous pour donner suite à la demande. Il ne peut facturer aucuns frais. Il ne peut demander aucune donnée permettant de vous identifier personnellement au-delà de votre adresse email. Enfin, il ne peut imposer d’autre démarche que l’envoi d’un email de réponse ou la consultation d’une seule page web.

Après votre désabonnement, la restriction relative à la vente et au transfert décrite ci-dessus s’applique à cet expéditeur. Chaque email qui enfreint ces règles peut entraîner des sanctions, ce qui confère à cette obligation une réelle portée plutôt qu’une simple valeur consultative.

Pourquoi un désabonnement ne permet pas de récupérer une adresse

La loi CAN-SPAM impose des obligations précises aux expéditeurs de messages commerciaux concernés. Par ailleurs, lorsque le RGPD de l’UE ou le RGPD britannique s’applique et qu’un droit à l’effacement valable existe, le responsable du traitement doit effacer les données concernées ; les obligations en aval prévues aux articles 17(2) et 19 sont toutefois assorties de limites tenant aux mesures raisonnables et à l’impossibilité pratique. Aucun de ces deux cadres ne prévoit de mécanisme technique permettant de rappeler les données.

Avant d’aller plus loin, une distinction est importante : une demande de désabonnement visant à mettre fin à la prospection n’est pas automatiquement une demande d’effacement au titre de l’article 17. Il s’agit de demandes différentes, relevant de règles et de champs d’application distincts. Selon l’article 17(1) du RGPD de l’UE, l’effacement peut être exigé lorsqu’un des motifs énumérés s’applique, notamment si les données ne sont plus nécessaires, si le consentement est retiré sans qu’il existe un autre fondement juridique, si la personne s’oppose à la prospection directe, si le traitement était illicite ou si la loi impose l’effacement. L’article 17(3) autorise le maintien des traitements nécessaires à l’exercice de la liberté d’expression et d’information, au respect d’obligations légales ou à l’exécution de missions d’intérêt public, à la santé publique, à certaines fins d’archivage, de recherche ou de statistiques, ainsi qu’à la constatation, à l’exercice ou à la défense de droits en justice. L’ICO précise que le droit comparable prévu par le RGPD britannique est conditionnel et non absolu.

Lorsqu’une obligation d’effacement valable existe, ses limites apparaissent dans les obligations en aval. L’article 19 exige du responsable du traitement qu’il informe de l’effacement chaque destinataire auquel les données ont été communiquées, sauf si cela se révèle impossible ou exige des efforts disproportionnés. Il doit également, à votre demande, vous indiquer l’identité de ces destinataires. L’article 17(2) s’applique lorsque ce responsable du traitement a rendu les données publiques et qu’il est tenu de les effacer : il doit alors prendre des mesures raisonnables, compte tenu des technologies disponibles et des coûts de mise en œuvre, pour informer les autres responsables du traitement de votre demande concernant les liens vers ces données, leurs copies ou leurs reproductions.

Les lignes directrices de l’autorité de contrôle britannique ajoutent que ce droit s’applique aux données détenues au moment de la réception de la demande, et non aux données créées par la suite.

Pris ensemble, ces éléments répondent à la question posée dans le titre. Les deux cadres peuvent contraindre une entreprise à agir. Mais aucun ne donne à qui que ce soit un bouton permettant d’accéder aux systèmes d’une autre entreprise pour y supprimer une copie. C’est pourquoi il vaut mieux agir avant de soumettre le formulaire qu’après.

Comment vérifier une inscription avant de soumettre le formulaire

Vous pouvez examiner quatre éléments avant d’appuyer sur le bouton, chacun vous apportant une information précise.

Le texte relatif au consentement. Vérifiez si une case est déjà cochée et lisez à quoi vous consentez réellement. Accepter de recevoir des emails d’une entreprise n’est pas la même chose qu’accepter qu’elle partage vos informations avec des partenaires.

La section de la politique de confidentialité consacrée au partage. C’est là que le partage déclaré est décrit, s’il l’est. Une politique qui précise les catégories de destinataires est plus informative qu’une politique indiquant simplement que les données peuvent être partagées avec des tiers.

L’identité de l’expéditeur. Vérifiez qui enverra réellement les messages. S’ils proviennent d’un partenaire ou d’une plateforme plutôt que de l’entreprise dont vous remplissez le formulaire, mieux vaut le savoir tant que vous avez encore le choix.

La fréquence annoncée. Un formulaire qui précise ce qu’il enverra et à quelle fréquence prend un engagement auquel vous pourrez comparer les messages reçus par la suite. Un formulaire qui ne dit rien ne prend aucun engagement de ce type.

Questions fréquentes

Se désabonner peut-il confirmer qu’une adresse est active ?

Pour un expéditeur que vous reconnaissez, utilisez son mécanisme de désabonnement. Si le message est inattendu ou suspect, ne cliquez pas sur ses liens ; marquez-le comme spam ou indésirable et signalez-le comme tentative de phishing, le cas échéant. Pour répondre littéralement à la question, un lien unique peut révéler que quelqu’un a interagi avec le message, tandis que le simple fait que celui-ci soit arrivé indiquait déjà à l’expéditeur que l’adresse fonctionnait.

Comment savoir si un expéditeur a obtenu mon adresse auprès d’une autre entreprise ?

Le message à lui seul ne permet pas nécessairement de déterminer comment l’entreprise a obtenu l’adresse. Recevoir un email d’une entreprise à laquelle vous n’avez jamais communiqué cette adresse prouve qu’elle l’a acquise en aval, mais ne permet pas de savoir s’il s’agissait d’un partage déclaré, d’un transfert, d’une fuite de données ou d’une collecte à partir d’une publication publique.

Changer de boîte de réception supprime-t-il les données qu’un site détient déjà ?

Non. Passer à une autre boîte de réception change l’endroit où arrivent les nouveaux messages. Cela ne modifie pas les données qu’une entreprise a déjà enregistrées et ne retire pas le consentement que vous lui avez précédemment donné. Pour faire supprimer les données détenues par une entreprise donnée, vous devez exercer votre droit auprès de celle-ci, lorsque les règles applicables vous accordent ce droit. Le choix du type de boîte de réception vers lequel migrer constitue une décision distincte, et Le choix entre un alias et une boîte de réception séparée détermine où arriveront les futurs messages.