Signature email et RGPD : données des collaborateurs, mesure des clics et sous-traitants
Photo, téléphone, statistiques de bannières, prestataire : ce que le RGPD implique pour les signatures email, côté collaborateurs, destinataires et prestataire.
L’équipe Soniako Publié le 4 min de lecture
Une signature email semble anodine du point de vue de la protection des données. Pourtant, elle touche trois catégories de personnes : les collaborateurs dont les données y figurent, les destinataires dont on mesure éventuellement les interactions, et le prestataire qui gère le tout. Voici les points d’attention pour chacune.
Cet article est une information générale, pas un conseil juridique. Associez votre DPO ou votre conseil à vos choix.
1. Les données des collaborateurs
Une signature contient des données personnelles : nom, poste, téléphone, parfois photo et profil LinkedIn.
Coordonnées professionnelles
Le nom, le poste, l’adresse email et le téléphone professionnels sont nécessaires à l’activité de l’entreprise. Leur affichage dans la signature repose généralement sur l’intérêt légitime de l’employeur ou l’exécution du contrat de travail. Informez simplement les collaborateurs, par exemple dans la notice d’information RH.
Numéro de mobile
Un mobile professionnel fourni par l’entreprise relève de la même logique. Un numéro personnel ne devrait jamais être publié sans l’accord explicite de la personne.
Photo de profil
La photo est plus sensible. La recommandation prudente : laisser le choix. Un collaborateur doit pouvoir refuser que sa photo figure dans sa signature, sans conséquence. Si la photo vient de l’annuaire (Google Workspace, Microsoft 365), vérifiez que son usage dans la signature est connu et accepté.
Minimisation
N’affichez que ce qui est utile. Chaque champ supplémentaire (adresse personnelle, date de naissance, etc.) doit avoir une justification — ce qui n’est presque jamais le cas.
2. Les données des destinataires
Si vos signatures comportent des bannières mesurées (impressions, clics), vous traitez des données relatives aux destinataires de vos emails.
Les clics
Mesurer les clics passe généralement par un lien de redirection. Au niveau agrégé (« 240 clics sur la campagne »), l’impact est limité. Un suivi individuel (« tel destinataire a cliqué ») est plus intrusif et demande davantage de justification.
Les impressions
Compter les affichages d’une image s’apparente au fonctionnement des pixels de suivi. Les autorités de protection des données, dont la CNIL, s’intéressent de près au suivi dans les emails et à la question du consentement. Pour limiter le risque :
- privilégiez des statistiques agrégées par campagne ;
- évitez le profilage individuel des destinataires ;
- documentez le traitement dans votre registre ;
- informez de manière transparente, par exemple via un lien vers votre politique de confidentialité dans la signature.
Voir aussi mesurer le ROI de la signature.
3. Le prestataire de gestion des signatures
Une solution de gestion des signatures accède à votre annuaire et traite les données de vos collaborateurs : c’est un sous-traitant au sens du RGPD. Vérifiez :
| Point de contrôle | Pourquoi |
|---|---|
| Accord de sous-traitance (DPA) | Obligatoire (article 28 du RGPD) |
| Localisation de l’hébergement | Un hébergement dans l’Union européenne simplifie la conformité |
| Sous-traitants ultérieurs | Savoir qui d’autre accède aux données |
| Périmètre des accès à l’annuaire | Limiter aux attributs nécessaires |
| Chiffrement et sauvegardes | Sécurité des données (article 32) |
| Durées de conservation | Suppression des données des collaborateurs partis |
Ces points font partie des critères de sélection d’un outil : voir comment choisir un logiciel de signature email.
4. Les départs
Quand un collaborateur quitte l’entreprise, ses données de signature doivent être supprimées ou désactivées dans un délai raisonnable. Une synchronisation avec l’annuaire le fait automatiquement : un compte désactivé ne reçoit plus de signature. Voir les arrivées et départs.
Check-list RGPD pour vos signatures
- Collaborateurs informés des données affichées dans leur signature
- Aucun numéro personnel sans accord explicite
- Photo facultative, avec possibilité de refus
- Statistiques de bannières agrégées, sans profilage individuel
- Traitement inscrit au registre
- DPA signé avec le prestataire
- Hébergement et sous-traitants connus
- Suppression des données à la sortie des collaborateurs
Pour les obligations d’affichage d’informations sur l’entreprise, voir les mentions légales dans la signature.