RGPD et email marketing : ce que vos campagnes doivent respecter
Ce guide résume les règles applicables en France à la prospection par email, SMS et push. Il vulgarise le cadre CNIL et RGPD pour un usage opérationnel, et ne constitue pas un conseil juridique.
En B2C, l'envoi d'un email ou d'un SMS marketing exige un consentement préalable libre, spécifique, éclairé, univoque et prouvable. Deux exceptions encadrées : le client existant sollicité sur des produits analogues, et la prospection B2B sur l'adresse professionnelle en lien avec la fonction.
Chaque message doit porter l'identité de l'expéditeur, un lien de désinscription effectif et un en-tête List-Unsubscribe. Les données de prospects se conservent 3 ans après le dernier contact émanant de la personne.
Ce que le consentement doit réunir
Le RGPD définit quatre qualités cumulatives. Si l'une manque, le consentement est invalide et la base entière devient fragile en cas de contrôle.
- Libre : l'accès au service ne peut pas être conditionné à l'acceptation de la prospection.
- Spécifique : un consentement par finalité. Newsletter, partenaires et profilage se recueillent séparément.
- Éclairé : l'identité du responsable de traitement et la finalité doivent être visibles au moment du recueil.
- Univoque : une action positive claire, jamais une case pré-cochée ni un consentement déduit du silence.
- Prouvable : conservez la date, l'heure, la source et le libellé exact affiché lors du recueil.
B2C, B2B, client existant : quel régime s'applique
| Situation | Consentement préalable | Conditions |
|---|---|---|
| Prospect particulier (B2C) | Oui | Opt-in explicite, finalité affichée, désinscription en un clic dans chaque message. |
| Client existant (B2C) | Non, sous conditions | Produits ou services analogues, adresse collectée lors d'une vente, opposition possible à tout moment. |
| Professionnel sur adresse générique | Non, sous conditions | Objet du message en rapport avec la fonction de la personne, information et droit d'opposition. |
| SMS marketing | Oui | Même régime que l'email, avec mention STOP obligatoire. |
| Push mobile marketing | Oui | L'autorisation système ne suffit pas : préférence marketing distincte dans l'app. |
Ce que chaque campagne doit contenir
- Un lien de désinscription fonctionnel, visible et effectif sous 72 heures maximum en pratique.
- L'identité de l'expéditeur et une adresse de contact valide.
- Un lien vers la politique de confidentialité décrivant les finalités et durées de conservation.
- Un en-tête List-Unsubscribe (et List-Unsubscribe-Post pour la désinscription en un clic), désormais attendu par Gmail et Yahoo sur les envois de masse.
- Une traçabilité de l'envoi : segment ciblé, base légale invoquée, date.
Durées de conservation et hygiène de base
La conformité rejoint ici la performance : une base purgée des inactifs envoie de meilleurs signaux aux fournisseurs de messagerie et coûte moins cher.
- Prospects : 3 ans après le dernier contact émanant de la personne.
- Clients : durée de la relation commerciale, puis archivage selon les obligations comptables applicables.
- Liste de suppression et désabonnés : à conserver, précisément pour ne plus les solliciter.
- Données de navigation et cookies : durée annoncée dans le bandeau, 13 mois maximum en pratique pour les traceurs.
Sources officielles
- CNIL — Prospection commerciale : cnil.fr/fr/la-prospection-commerciale-par-courrier-electronique
- CNIL — Durées de conservation : cnil.fr/fr/les-durees-de-conservation-des-donnees
- Règlement (UE) 2016/679 (RGPD), articles 4-11, 6 et 7 : eur-lex.europa.eu
Questions fréquentes
L'opt-in est-il obligatoire pour envoyer un email marketing ?
En B2C, oui : la prospection par email vers un particulier exige un consentement préalable, libre, spécifique, éclairé et univoque. Deux exceptions encadrées : le client existant démarché sur des produits ou services analogues, et la prospection B2B sur l'adresse professionnelle liée à la fonction.
Une case pré-cochée vaut-elle consentement ?
Non. La CNIL et la jurisprudence européenne considèrent qu'une case pré-cochée ne constitue pas un acte positif clair. Le consentement doit être recueilli par une action volontaire de la personne.
Combien de temps peut-on conserver une adresse email inactive ?
La CNIL retient une référence de 3 ans à compter du dernier contact émanant de la personne (clic, achat, connexion). Au-delà, il faut supprimer, anonymiser ou solliciter à nouveau le consentement.
Faut-il un consentement séparé pour le SMS et le push ?
Oui pour le SMS marketing, qui suit le même régime que l'email. Pour le push mobile, l'autorisation système accordée à l'application ne vaut pas consentement marketing : prévoyez une préférence dédiée dans l'application.
Pour aller plus loin
Un doute sur la conformité de votre dispositif CRM ?
Je passe en revue vos parcours de collecte, vos bases légales et vos durées de conservation, côté outil comme côté campagne.
Me contacter →