Il n'est pas certain que le premier type d'e-mail soit légal. Une association française, la Quadrature du Net , envisage de lancer un recours collectif contre cinq grandes entreprises technologiques (le fameux «GAFAM») le 28 mai à propos de cette pratique. Voici un résumé de leurs arguments:

• L'article 6 §1 du RGPD énumère six cas de traitement légal des données personnelles, l'un d'entre eux étant le consentement de l'utilisateur;
• Article 4 § 11 stipule que le consentement doit être obtenu de manière à montrer qu'il s'agit de la volonté de l'utilisateur d'une manière claire, spécifique, informée et sans équivoque;
• Dans le préambule du RGPD, il est expliqué que le consentement doit être un action positive, et il ne peut y avoir de consentement en cas de silence, de cases pré-cochées ou d'inaction;
• L'article 7 §4 stipule que lors de l'obtention du consentement, il est nécessaire d'examiner si le traitement des données personnelles nécessaire pour fournir un service.

En conséquence, le «G29», le groupe des autorités nationales de protection des données de l'UE, a affirmé que si un utilisateur n'a pas choix réel, se sent contraint ou subira des conséquences négatives en cas de refus de consentement, alors le consentement donné n'est pas valide. Le G29 a donc affirmé que le RGPD garantit que donner son consentement au traitement des données personnelles ne peut pas être la contrepartie de la fourniture de services.

De plus, si une entreprise demande le consentement comme base légale pour le traitement des données personnelles, il lui est alors interdit de en utilisant les autres bases juridiques de l'article 6 pour justifier leur traitement.

(Le raisonnement va plus en détail, si vous pouvez lire le français. Ce que j'ai écrit ci-dessus n'est qu'un résumé.)

Le premier e-mail vous incite donc essentiellement à accepter quelque chose d'illégal. Si les recours collectifs que j'ai mentionnés ci-dessus aboutissent, vous pouvez vous attendre à ce que les petites entreprises emboîtent le pas et cessent d'envoyer des e-mails du premier type (ou encourent de graves conséquences juridiques).

Quelques citations de la loi GDPR:

[...] Le consentement doit être donné par un acte affirmatif clair établissant une indication librement donnée, spécifique, éclairée et sans ambiguïté de l'accord de la personne concernée au traitement des données à caractère personnel le concernant, par exemple par une déclaration écrite, y compris par voie électronique, ou une déclaration orale. Cela peut inclure le fait de cocher une case lors de la visite d'un site Internet, le choix des paramètres techniques des services de la société de l'information ou une autre déclaration ou conduite indiquant clairement dans ce contexte l'acceptation par la personne concernée du traitement proposé de ses données personnelles. Le silence, les cases pré-cochées ou l'inactivité ne doivent donc pas constituer un consentement. Le consentement devrait couvrir toutes les activités de traitement effectuées aux mêmes fins ou aux mêmes fins. Lorsque le traitement a plusieurs finalités, le consentement doit être donné pour tous. Si le consentement de la personne concernée doit être donné à la suite d'une demande par voie électronique, la demande doit être claire, concise et ne pas perturber inutilement l'utilisation du service pour lequel elle est fournie. [...]

[...] Lorsque le traitement est basé sur le consentement conformément à la directive 95/46 / CE, il n'est pas nécessaire que la personne concernée donne à nouveau son consentement si la manière dans lequel le consentement a été donné est conforme aux conditions du présent règlement [...]

[...] «consentement» de la personne concernée désigne tout élément librement donné, spécifique, informé et sans ambiguïté l'indication des souhaits de la personne concernée par laquelle elle ou elle, par une déclaration ou par une action affirmative claire, signifie son accord sur le traitement des données personnelles la concernant; [...]

[...] Pour évaluer si le consentement est librement donné, il est tenu le plus grand compte de savoir si, entre autres, l'exécution d'un contrat, y compris la fourniture d'un service, est conditionnel au consentement au traitement des données personnelles qui n'est pas nécessaire à l'exécution de ce contrat. [...]

Le RGPD nécessite un consentement explicite. Si un service a collecté des données personnelles et que vous n'y avez pas donné son consentement explicite, il doit à nouveau demander votre consentement, explicitement. Je crois qu'en théorie, un service doit également demander à nouveau un consentement explicite chaque fois qu'il modifie sa politique de confidentialité, bien que je ne trouve pas de déclaration à ce sujet. Je pense donc que votre exemple de «désinscription pseudo-implicite» n'est en aucun cas légal, même si vous aviez auparavant donné votre consentement explicitement de manière conforme au RGPD (et j'en doute), car ils sont en train de modifier leur politique de confidentialité et vous demandant de l'accepter implicitement en continuant simplement à utiliser leur service.

La 1ère catégorie sont les grandes entreprises (comme les grands fournisseurs de messagerie) qui feront ce qu'elles veulent de toute façon et puisque vous souhaitez utiliser leur service, vous devrez accepter leurs conditions. Ne pas faire cela vous empêchera d'utiliser leurs services.

La 2ème catégorie est celle qui vous demande si vous souhaitez recevoir des informations ou non. Il s'agit généralement de sociétés commerciales et le fait de refuser de recevoir leurs offres ne vous empêchera pas de faire affaire avec elles.

Premièrement, il n'y a pas encore de jurisprudence, et différents avocats interprètent les règles de différentes manières: certains jouent très prudemment, d'autres naviguent plus près du vent. Certains estiment probablement qu'ils ne figureront probablement pas en bonne place sur la liste des personnes qui méritent d'être poursuivies. (Avouons-le, personne ne va poursuivre un club sportif pour avoir noté qui a réparé la tondeuse en dernier lieu).

Deuxièmement, le consentement n'est que l'un des moyens par lesquels la conservation des données peut être autorisée. D'autres incluent l'existence d'un contrat, la nécessité de se conformer aux lois et réglementations, et les «intérêts légitimes» (qui sont très ouverts à interprétation: mais par exemple, une compagnie d'assurance peut conserver l'historique de vos réclamations afin de détecter un schéma de réclamations frauduleuses).

Troisièmement, contrairement aux apparences, les consentements existants n'ont pas besoin d'être renouvelés pour le RGPD; si vous avez consenti l'année dernière, c'est (probablement!) assez bien.

IANAL - J'ai cependant lu le règlement.

Comme d'autres réponses l'ont indiqué, le RGPD nécessite un consentement explicite, éclairé et sans ambiguïté. De plus, conformément au principe de responsabilité, les responsables du traitement doivent être en mesure de démontrer que.En théorie:

1. Les organisations qui envoient des e-mails de désinscription ont déjà enregistré correctement votre consentement explicite (par exemple lorsque vous vous êtes abonné à une newsletter ou signé un contrat), et peut-être qu'ils mettent à jour leurs politiques de confidentialité pour mieux s'aligner sur le RGPD, et donc ils vous envoient un e-mail, et ils en profitent pour vous rappeler que vous pouvez toujours vous désinscrire .
2. Les organisations qui envoient des e-mails d'acceptation n'ont pas enregistré le consentement approprié et elles se précipitent pour que votre consentement soit enregistré et stocké dans leurs tout nouveaux outils de gestion GDPR.
ol>

En pratique:

1. Certaines organisations qui envoient des e-mails de désinscription marchent peut-être sur de la glace mince, et elles sont convaincues que leurs consentements démodés seront reconnus par les autorités, lorsque
2. Certaines organisations qui envoient des e-mails opt-in étaient déjà en dehors de la loi (en ce qui concerne le directive précédente et les lois des États membres), mais ils le regrettent maintenant car ils ont peur des amendes.

Ou cela dépend de l'avocat que chacun d'eux a engagé.

En plus des domaines déjà mentionnés ici, il y a une section du RGPD relative à la conservation des données. Un grand nombre d'e-mails qui demandent aux gens (ou du moins à ceux que je reçois) de s'inscrire indiquent également qu'ils n'ont eu aucune interaction avec (ou plutôt avec moi) depuis quelques années, et donc si je souhaite continuer à recevoir leurs e-mails, il est nécessaire de les réinscrire. Cela leur permet de savoir que leurs données sont à jour et que tout autre élément peut être supprimé.

Alors que la loi britannique sur la protection des données stipule déjà que les données ne peuvent pas être conservées plus longtemps que nécessaire, elles ont été largement ignorées et les listes de diffusion ont continué de croître. Le RGPD, cependant, exige que les données soient supprimées après un laps de temps raisonnable. Si vous vous inscrivez, vous réinitialisez l'horloge en fonction de la pertinence de leurs données.

Il y a 2 choses en jeu ici:

• chaque fois que l'ancien consentement est encore valide, car il a été demandé d'une manière qui était déjà conforme à cette loi entrante (ce qui donne une impression opt-out, mais c'est simplement la continuation de votre ancien opt-in) par rapport à l'ancien consentement a été jugé insuffisant ou nul, vous devez donc le renouveler, par exemple. parce que la case à cocher était cochée par défaut (il s'agissait en fait d'une désactivation à l'époque, elle doit donc être remplacée par une toute nouvelle option).
• chaque fois que l'entreprise souhaite que les choses continuent comme elles étaient ( encore une fois, ancien opt-in qui ressemble à se désinscrire maintenant) ou utilisent-ils l'opportunité de vous demander plus d'autorisations qu'ils n'en avaient déjà (optez pour quelque chose d'entièrement nouveau, comme les e-mails).

Il semble que vous ayez affaire au premier cas ici. La première entreprise a simplement mis à jour ses politiques et jugé les anciens consentements assez bons tandis que la seconde a jugé votre ancien consentement nul en vertu de la nouvelle loi et vous demande de consentir à nouveau.

Le RGPD n'est pas nouveau, ici où je vis, il l'avait 2 ans vacatio legis, donc en théorie les sites pourraient être préparés depuis 2 ans au moins. Il est parfaitement imaginable que certains consentements soient déjà conformes (en réalité, personne ne s'en souciait jusqu'à l'entrée en vigueur du projet de loi).

Concernant le cas numéro 2, il y a un exemple sur https://gdprhallofshame.com/ où le zoom essaie de faire exactement cela.