Une page, et elle ne bouge plus
Qui doit en tenir un, ce qu'on y écrit, et à quoi ressemble la ligne d'une lettre d'information.
7 minutes de lecture
C'est le document que personne n'a envie d'écrire et que tout le monde doit pouvoir montrer. Bonne nouvelle : pour une lettre d'information, il tient en une page — et l'essentiel de ce qu'il faut y mettre, votre outil d'envoi peut vous le donner.
Qui doit en tenir un
La CNIL est nette : l'obligation concerne tous les organismes, publics comme privés, quelle que soit leur taille, dès lors qu'ils traitent des données personnelles.
Une exception existe pour les organismes de moins de 250 salariés — mais elle ne dispense que des traitements occasionnels, sans donnée sensible et sans risque pour les personnes. Une gestion de clients, une paie, une lettre d'information envoyée régulièrement ne sont pas occasionnelles.
Autrement dit : l'exception vise des cas très particuliers, et si vous hésitez, la CNIL recommande d'inscrire le traitement plutôt que de l'omettre.
Ce qu'on y écrit
Pour chaque traitement, huit informations : la finalité — pourquoi ces données sont collectées ; les catégories de personnes concernées ; les catégories de données ; les destinataires à qui elles sont communiquées ; les transferts hors de l'Union européenne, le cas échéant, et les garanties qui les encadrent ; les durées de conservation prévues pour chaque catégorie ; et une description des mesures de sécurité.
Rien de plus. Ce n'est ni un rapport ni une politique : c'est un inventaire.
La ligne d'une lettre d'information, en clair
Finalité : envoyer une lettre d'information aux personnes qui s'y sont inscrites. Personnes concernées : les abonnés. Données : l'adresse e-mail, le prénom s'il est demandé, la date et l'origine de l'inscription, l'historique des ouvertures et des clics.
Destinataires : votre outil d'emailing et, derrière lui, son hébergeur et son service d'envoi — ce sont des sous-traitants, et ils se nomment. Transferts : aucun, si l'outil et l'envoi restent dans l'Union européenne.
Durée : le temps de l'abonnement, plus un délai raisonnable après la désinscription — une adresse désinscrite se conserve, précisément pour ne plus lui écrire. Sécurité : accès par mot de passe, membres limités, chiffrement des échanges.
Ce que le registre n'est pas
Ce que le registre n'est pas
Ce n'est pas une déclaration à la CNIL. Les déclarations préalables ont disparu en 2018 : le registre reste chez vous, et on vous le demande en cas de contrôle ou de réclamation.
Ce n'est pas un document public. Il n'a pas à figurer sur votre site — contrairement à votre politique de confidentialité, qui, elle, s'adresse aux personnes concernées.
Ce que Plumail peut vous donner pour le remplir
Les sous-traitants, nommés : les données sont hébergées en Allemagne, chez Hetzner, et les envois partent d'Irlande. Une seule chose sort de l'Union européenne, et seulement si vous le demandez : le texte confié à l'assistant de rédaction, traité par Anthropic.
Les données conservées, listées : adresse e-mail, champs personnalisés que vous avez créés, date et origine de l'inscription, statut, ouvertures et clics. Vos abonnés s'exportent en CSV depuis les réglages, et une adresse supprimée l'est vraiment.
Ces éléments remplissent les lignes « destinataires », « transferts » et « catégories de données » de votre registre. Le reste — la finalité, les durées que vous choisissez — n'appartient qu'à vous.
Le registre n'est pas une punition administrative : c'est la seule façon de savoir, un an plus tard, quelles données vous détenez et pourquoi. Pour une lettre d'information, il s'écrit en une heure et ne bouge plus.
Les mots de cette page
Les informations que votre registre réclame
Hébergement en Allemagne, envoi depuis l'Irlande, et vos abonnés exportables en CSV. 3 000 envois par mois offerts, sans carte bancaire.