Tout ce qui mérite d'être su, rien qui ne le mérite pas.
Base légale du marketing par SMS
L'article 6 exige l'une des six bases légales. Pour les messages commerciaux, les plus pratiques sont le consentement explicite (la plus sûre) ou l'intérêt légitime (applicable, mais nécessitant une analyse d'équilibre et excluant la plupart des activités de démarchage pur et simple). Le règlement PECR (régime ePrivacy du Royaume-Uni et de l'UE) ajoute une exigence d'opt-in spécifique au marketing, en plus de l'article 6 du RGPD ; pour les SMS marketing, les deux sont nécessaires. Les SMS transactionnels (mots de passe à usage unique, confirmations de commande) ne requièrent pas d'opt-in, mais nécessitent tout de même une base légale (généralement l'exécution d'un contrat, article 6, paragraphe 1, point b)).
Transferts transfrontaliers
L'envoi d'un SMS à un destinataire de l'UE via un SMSC non-UE est considéré comme un transfert de données transfrontalier. Depuis l'arrêt Schrems II (2020), la validité des clauses contractuelles types est soumise à une analyse d'impact relative au transfert. Pour les agrégateurs basés aux États-Unis, le cadre de protection des données UE-États-Unis (en vigueur depuis 2023) fournit une base juridique au transfert si l'agrégateur est certifié. Pour les agrégateurs basés au Moyen-Orient et en Afrique du Nord, comme BroadNet, le trafic destiné aux destinataires de l'UE devrait idéalement transiter par un SMSC de la région UE ; nous en exploitons un à Francfort précisément à cet effet.
Droit à l'effacement et à l'arrêt du traitement
L'article 17 confère à la personne concernée le droit à l'effacement sur simple demande. Pour la messagerie, cela signifie : le mot-clé STOP est immédiatement pris en compte, le numéro MSISDN du destinataire est supprimé des listes actives, le choix de désabonnement est conservé (afin de ne pas le réintégrer lors d'une prochaine campagne) et l'historique du contenu des messages est soit supprimé, soit anonymisé selon la base légale de conservation. BroadNet propose une API d'effacement par destinataire pour répondre aux demandes d'accès aux données (DSAR) prévues par le RGPD.
Processeur vs contrôleur
Votre CPaaS est un sous-traitant (article 28). Vous êtes le responsable du traitement. Vous devez disposer d'un accord de protection des données (APD) signé. Tout changement de sous-traitant (par exemple, le réseau de l'opérateur par lequel transite le trafic) doit être signalé et vous devez avoir le droit de vous y opposer. BroadNet tient à jour une liste publique des sous-traitants à l'adresse /trust/subprocessors et notifie les responsables du traitement 30 jours avant toute modification.