Liste de contrôle RGPD pour la vérification d'e-mails

Une adresse e-mail est une donnée personnelle. Dès que vous en passez une par un service de vérification, vous traitez des données personnelles au sens du RGPD — et si ce service est un tiers, vous avez engagé un sous-traitant. Rien de tout cela n'est une raison d'éviter la vérification (elle vous aide même à respecter le principe d'exactitude), mais cela signifie qu'il faut la mettre en place délibérément.

Cette liste passe en revue ce qu'une entreprise européenne doit régler pour vérifier des adresses, et ce qu'il faut demander à tout prestataire avant de lui envoyer la moindre adresse.

Cet article donne des repères généraux, pas un conseil juridique. Pour votre situation précise, consultez votre DPO ou votre service juridique.

1. Confirmez votre base légale

La vérification est une activité de traitement : elle doit donc reposer sur une base légale pour les données personnelles concernées.

• Identifiez la base du traitement de l'adresse — en général l'intérêt légitime (réduire la fraude et les bounces, garder les données exactes) ou le consentement, selon le contexte.
• Documentez-la. Si vous vous appuyez sur l'intérêt légitime, consignez une brève analyse qui nomme la vérification comme faisant partie de la finalité.
• Vérifiez que votre politique de confidentialité mentionne que les données saisies peuvent être validées pour leur exactitude et leur délivrabilité.

2. Mettez en place un accord de sous-traitance

Si un tiers vérifie des adresses pour vous, il est sous-traitant au sens de l'article 28, et vous devez avoir un DPA avec lui.

• Signez un DPA avec le prestataire avant d'envoyer des données réelles.
• Vérifiez qu'il couvre les sous-traitants ultérieurs, les mesures de sécurité, la notification de violation et la suppression ou restitution des données.
• Méfiez-vous du « DPA sur demande ». Certains prestataires le réservent à la vente grands comptes. Mailbeam inclut un DPA sur chaque offre, y compris la gratuite.

3. Évaluez la localisation et les transferts

C'est là que beaucoup d'outils américains créent du travail aux entreprises européennes.

• Sachez où les données sont traitées. Un vérificateur hébergé aux États-Unis implique un transfert vers un pays tiers au titre du chapitre V.
• S'il y a transfert, il vous faut un mécanisme de transfert (clauses contractuelles types) et une analyse d'impact du transfert.
• Préférez un traitement strictement européen pour supprimer entièrement la question. Mailbeam traite toute la vérification à Francfort : il n'y a aucun transfert au titre du chapitre V à évaluer.

4. Appliquez la minimisation et des limites de conservation

• N'envoyez que le nécessaire — l'adresse e-mail, pas la fiche utilisateur entière.
• Contrôlez la conservation. Le prestataire stocke-t-il les adresses après vérification ? Préférez un traitement à la volée sans conservation : il n'y a alors aucune copie supplémentaire de données personnelles à sécuriser, à communiquer ou à effacer.
• Mailbeam ne conserve pas les adresses une fois la réponse de vérification renvoyée.

5. Servez-vous de la vérification pour soutenir le principe d'exactitude

L'article 5(1)(d) du RGPD exige que les données personnelles soient « exactes et, si nécessaire, tenues à jour ». La vérification est l'une des rares activités de traitement qui aide activement à s'y conformer.

• Vérifiez à la collecte pour que des adresses inexactes n'entrent pas dans vos fichiers.
• Revérifiez périodiquement pour attraper les adresses périmées, ce qui soutient le « tenues à jour ».
• Consignez cette finalité dans votre registre des activités de traitement — cela renforce votre position sur l'intérêt légitime.

6. Mettez à jour votre registre et vos procédures de droits

• Ajoutez le prestataire à votre registre de l'article 30 comme sous-traitant, en notant le lieu de traitement.
• Reflétez la vérification dans vos schémas de flux de données.
• Confirmez que les droits des personnes fonctionnent de bout en bout — c'est plus simple quand le sous-traitant ne conserve rien.

Ce qu'il faut demander à tout prestataire de vérification

Utilisez ces questions pour évaluer n'importe quel fournisseur, pas seulement Mailbeam :

1. Où les données sont-elles traitées et stockées ? (Un traitement strictement européen évite les analyses de transfert.)
2. Fournissez-vous un DPA, et sur quelles offres ? (Ce devrait être toutes.)
3. Conservez-vous les adresses que je vérifie ? (Un traitement à la volée, sans conservation, est l'idéal.)
4. Qui sont vos sous-traitants ultérieurs, et où sont-ils ?
5. Quelles mesures de sécurité et quelles certifications avez-vous ?
6. Comment traitez-vous la notification de violation au titre de l'article 33 ?

Comment Mailbeam se situe sur cette liste

En résumé

Vérifier des adresses sous le RGPD se ramène à une base légale, un DPA, une réponse claire sur la localisation des données et de la minimisation. Le moyen le plus simple de réduire la surface de conformité est de choisir un sous-traitant strictement européen qui ne conserve rien et fournit un DPA d'emblée — ce qui transforme les parties les plus difficiles (transferts, conservation, diligence fournisseur) en non-sujets.

À lire aussi

• Vérification d'e-mails conforme au RGPD
• Vérification d'e-mails et RGPD : ce qu'une équipe européenne doit savoir
• Accord de sous-traitance
• Cas d'usage : santé et RGPD