Utiliser Mailchimp dans le respect de la protection des données

Mailchimp (Intuit Inc., États-Unis) traite des adresses e-mail, le comportement d'ouverture et de clic et intègre dans les e-mails un pixel de comptage. Le service nécessite un consentement propre et un transfert vers les États-Unis documenté.

Le double opt-in n'est pas le réglage par défaut dans Mailchimp mais un paramètre par audience : sous Settings → Audience name and defaults, « Enable double opt-in » doit être actif. Sans ce paramètre, toute adresse saisie via un formulaire arrive immédiatement dans la liste — un opt-in simple difficile à prouver en cas de litige et que les tribunaux allemands considèrent régulièrement comme insuffisant pour les e-mails publicitaires.

Le deuxième élément est le contrat de sous-traitance. Intuit fournit un Data Processing Addendum qui s'applique dès l'acceptation des conditions d'utilisation ; les clauses contractuelles types qu'il contient ou la certification DPF d'Intuit sont la base de transfert pour le traitement aux États-Unis. Les deux doivent être documentés et mentionnés dans la politique de confidentialité.

Le suivi actif par défaut dans les campagnes Mailchimp (ouvertures d'e-mails via un pixel de comptage, clics via des liens réécrits) crée des profils d'utilisation. L'approche propre consiste soit à désactiver ce suivi, soit à l'inclure dans le consentement et à le divulguer dans la politique de confidentialité. Une mention générale « nous utilisons Mailchimp » ne suffit pas.

Est-ce un risque ?

Pour l'envoi de la newsletter, la base juridique est en règle générale le consentement (art. 6, par. 1, a RGPD), attesté par un double opt-in. Sans inscription confirmée, sans contrat de sous-traitance avec Intuit ou sans base de transfert nommée, la base fait défaut. Le suivi des ouvertures et des clics habituel dans les newsletters nécessite un consentement distinct ou doit être rendu transparent.

Ce que vous pouvez faire

• Activez le double opt-in : après l'inscription, un e-mail de confirmation avec un lien d'activation ; ce n'est qu'ensuite que l'adresse est ajoutée à la liste.
• Journalisez l'heure d'inscription, l'IP et l'heure de confirmation (Mailchimp le stocke dans le champ « Opt-in »).
• Concluez un contrat de sous-traitance (Data Processing Addendum) avec Intuit ; documentez les clauses contractuelles types ou la certification DPF comme base de transfert.
• Dans la politique de confidentialité, nommez Mailchimp/Intuit comme destinataire, le transfert vers les États-Unis, le suivi des ouvertures et des clics et le droit de retrait (lien de désabonnement).

Questions fréquentes

Un opt-in simple est-il autorisé pour les newsletters ?

Pour les newsletters publicitaires, la jurisprudence allemande exige pratiquement toujours un double opt-in, car c'est le seul moyen de prouver que l'inscription provient du titulaire de l'adresse. Un opt-in simple est difficilement défendable en cas de litige.

Ai-je besoin d'un contrat de sous-traitance pour Mailchimp ?

Oui. Mailchimp traite les adresses e-mail pour votre compte. Le Data Processing Addendum d'Intuit s'applique dès l'acceptation des conditions ; vous devriez l'archiver.

Puis-je utiliser le suivi des ouvertures dans les newsletters ?

Uniquement de manière transparente et idéalement sur la base du consentement. Le pixel de comptage et le suivi des clics créent des profils comportementaux ; les destinataires doivent être informés et de nombreux experts en protection des données jugent un consentement distinct nécessaire.

Le transfert vers les États-Unis vers Mailchimp est-il sans problème après le DPF ?

Le transfert est en principe couvert par le EU-US Data Privacy Framework tant qu'Intuit reste certifiée. Les obligations de consentement et de preuve pour la newsletter elle-même s'appliquent indépendamment.

Comment consentglass aide

L'analyse gratuite vérifie le HTML livré et montre quels services sont intégrés, si une bannière cookies est détectée et si les liens vers la confidentialité et les mentions légales sont présents — avec un éclairage pour chaque constat. Elle ne remplace pas un conseil juridique.