En bref
- En B2C, pas de prospection sans consentement préalable. Case décochée, finalité écrite, identité du responsable de traitement visible au moment où la personne valide.
- En B2B, le consentement préalable n’est pas exigé, l’information et le droit d’opposition le restent. À condition que le message ait un rapport direct avec la fonction du destinataire.
- Ce qui compte lors d’un contrôle, c’est la preuve, pas la déclaration. Date, source, et surtout le libellé exact affiché le jour de la collecte.
- Une collecte propre est aussi un sujet de délivrabilité. Depuis février 2024, Gmail et Yahoo imposent la désinscription en un clic et un taux de plainte bas : sous 0,10 % chez Gmail, sans jamais atteindre 0,30 %, seuil unique retenu par Yahoo.
Une PME nous transmet un export de 38 000 adresses en demandant pourquoi ses campagnes finissent en spam. La réponse tient dans un comptage : environ 11 000 contacts viennent d’un formulaire identifiable, les autres n’ont aucune trace d’origine.
Personne ne sait dire sur quel texte ces gens ont cliqué. Le fichier n’est pas seulement risqué, il est inexploitable : impossible de savoir à qui l’on a le droit d’écrire. Le problème vient rarement de l’envoi, il vient de la collecte.
Précisons le périmètre : la mesure d’audience de votre site relève d’autres règles, avec des cas d’exemption que nous traitons dans notre article sur les solutions validées par la CNIL. Ici, on ne parle que d’emails.
B2C et B2B : deux régimes pour un même canal
En France, la prospection par email ne relève pas du RGPD seul : elle est encadrée par l’article L34-5 du code des postes et des communications électroniques, lu avec la doctrine de la CNIL. Ce texte distingue selon la qualité du destinataire, pas selon la taille de votre entreprise.
Pour un particulier, le consentement se recueille avant l’envoi, sauf s’il est déjà votre client et que vous lui écrivez sur des produits analogues à ceux qu’il a achetés.
Pour un professionnel joint sur son adresse professionnelle, la CNIL admet la prospection sans consentement préalable si l’objet du message se rattache à sa fonction. Écrire à un directeur des achats au sujet d’un logiciel d’achat entre dans ce cadre. Lui proposer une mutuelle personnelle n’y entre pas.
Dans les deux cas, l’information à la collecte et le droit d’opposition restent obligatoires. Ceci n’est pas un conseil juridique : si votre croissance repose sur la prospection froide, faites valider votre dispositif par un avocat ou un DPO.
| Situation | Consentement préalable | Ce qui reste obligatoire |
|---|---|---|
| Particulier, prospect | Oui, actif et spécifique | Information, identité du responsable, retrait à tout moment |
| Particulier déjà client, produit analogue | Non | Refus proposé à la collecte et dans chaque email |
| Professionnel, adresse nominative pro | Non si le message concerne sa fonction | Information à la collecte, opposition, finalité claire |
| Adresse générique (contact@, info@) | Non | Objet en rapport avec l’activité de l’organisation |
Ce qu’un formulaire conforme contient réellement
Les formulaires que nous auditons échouent presque toujours sur les mêmes points : finalité non écrite, case pré-cochée ou absente, responsable non nommé, aucune indication sur le retrait.
Une case pré-cochée ne vaut pas consentement : la Cour de justice de l’Union européenne l’a jugé le 1er octobre 2019 dans l’affaire Planet49. La personne coche, elle ne décoche pas.
Le mot « newsletter » seul ne suffit pas davantage. Dites ce que la personne va recevoir et à quelle fréquence, et prévoyez une case distincte si l’adresse doit être transmise à un partenaire.
| Élément | Ce que l’on voit souvent | Ce qui tient |
|---|---|---|
| Finalité | « Inscrivez-vous à la newsletter » | « Recevoir nos conseils et nos offres, environ deux emails par mois » |
| Case | Pré-cochée, ou absente avec la mention « en validant, vous acceptez » | Décochée, séparée de l’acceptation des CGV |
| Responsable | Rien | « Vos données sont traitées par [raison sociale] », avec lien vers la politique de confidentialité |
| Retrait | Rien | « Désinscription en un clic dans chaque email, ou à [adresse de contact] » |
| Champs demandés | Nom, prénom, téléphone, société, secteur | L’email seul s’il suffit à la finalité annoncée |
Reste la minimisation, la ligne qu’on oublie : chaque champ doit être justifié par la finalité annoncée, et chacun fait baisser votre taux de complétion. Nous consacrons un article entier à la rédaction du consentement.
La preuve : la première chose qu’on vous demandera
En cas de plainte ou de contrôle, la question n’est pas « avez-vous un consentement », c’est « montrez-le ». L’article 7.1 du RGPD met la charge de la preuve sur vous.
Une capture du formulaire actuel ne prouve rien : elle montre ce qui est affiché aujourd’hui, pas ce que la personne a lu il y a dix-huit mois. D’où l’intérêt d’horodater et de versionner le libellé. À conserver, contact par contact :
- La date et l’heure de l’inscription, et de la confirmation en double opt-in.
- La source : URL de la page, identifiant du formulaire, ou nom de l’événement hors ligne.
- Le libellé exact affiché ce jour-là, ou la référence de version du texte.
- Une trace technique : identifiant de soumission ou adresse IP.
- L’historique des retraits : date de désinscription et canal utilisé.
La plupart des outils d’emailing stockent la date et la source. Presque aucun ne stocke le libellé : tenez un journal des versions de vos mentions. Côté durée, la CNIL retient trois ans à compter du dernier contact. Cette discipline fait de votre base une donnée first party réellement exploitable.
Double opt-in : ce qu’il coûte, ce qu’il rapporte
Le double opt-in ajoute une étape : la personne s’inscrit, reçoit un email de confirmation, et n’entre en base qu’après avoir cliqué. Le RGPD ne l’impose pas, c’est simplement la façon la plus simple de produire une preuve solide et d’éliminer les adresses fausses. Son coût se mesure en volume, son gain en délivrabilité.
| Indicateur | Simple opt-in | Double opt-in |
|---|---|---|
| Contacts en base pour 100 inscriptions | 100 | 60 à 80 |
| Rebonds durs au premier envoi | 2 à 6 % | moins de 1 % |
| Taux d’ouverture sur les trois premiers mois | base 100 | base 130 à 160 |
| Plaintes pour spam | peut approcher le plafond de rupture de 0,30 % | généralement sous 0,1 % |
| Nature de la preuve | déclarative | horodatée, confirmée par un clic |
L’arbitrage se pose quand le volume est faible : en dessous de quelques centaines d’inscrits par mois, perdre un tiers des contacts se ressent. Gardez alors le simple opt-in, soignez la journalisation, et déclenchez un email de bienvenue qui sert de trace et de test de validité. C’est aussi le premier scénario d’automation à mettre en place.
Trois pratiques qui détruisent une base
Un fichier acheté n’est pas transférable : le consentement est donné à un responsable de traitement identifié, pour une finalité annoncée. Il ne se revend pas, sauf case distincte mentionnant la cession à des tiers, ce qui est rare.
L’aspiration d’adresses sur des sites, des réseaux professionnels ou des annuaires pose le même problème, aggravé par l’absence totale d’information des personnes. La CNIL a sanctionné plusieurs courtiers en données et éditeurs de jeux concours pour des formulaires qui ne permettaient pas un consentement spécifique.
La réutilisation d’une base pour une autre finalité est plus insidieuse, car elle se fait de bonne foi : les adresses collectées pour le suivi d’une commande ne servent pas à une campagne promotionnelle sans base légale distincte. Nous élargissons le sujet dans notre article sur la gestion des données personnelles.
L’erreur à ne pas commettre Injecter un fichier externe dans l’outil qui envoie déjà vos campagnes légitimes. Les plaintes s’imputent à votre domaine d’expéditeur, pas au fichier importé : vous dégradez vos listes propres, et la réputation d’un domaine met plusieurs mois à se reconstruire.
L’hygiène après la collecte
Depuis février 2024, Gmail et Yahoo appliquent des règles d’accès à la boîte de réception, de façon progressive et non d’un bloc. Le socle vaut pour tout le monde : authentification SPF ou DKIM. Chez Gmail, au-delà de 5 000 messages par jour s’ajoutent DMARC, la désinscription en un clic honorée sous deux jours, et un taux de plainte à maintenir sous 0,10 % sans jamais atteindre 0,30 %. Yahoo impose les mêmes principes mais ne publie aucun seuil de volume et retient un seuil de plainte unique de 0,3 %. Microsoft a introduit en mai 2025 un seuil de 5 000 messages par jour pour l’authentification seule. Depuis novembre 2025, Gmail durcit l’application : rejets temporaires, puis définitifs.
Ces exigences ne sont pas juridiques, mais elles convergent avec le RGPD : écrire à des gens qui ne l’ont pas demandé se paie. La sanction n’est pas une amende, c’est le dossier spam. Trois routines suffisent à tenir la base : traiter les rebonds durs dès le premier échec définitif, sortir des envois les inactifs à douze mois après une relance, et tester soi-même chaque trimestre le lien de désinscription.
Ce qu’il faut retenir Conformité et délivrabilité se réparent avec les mêmes gestes : un formulaire clair réduit les plaintes, un désabonnement facile évite le clic « spam », et une base nettoyée fait remonter le taux d’ouverture, donc le placement en boîte de réception.
Votre check-list de conformité de la collecte
À passer sur chaque point d’entrée : newsletter, pop-in, tunnel de commande, formulaire de contact, salon.
- Inventoriez les points d’entrée, imports manuels de fichiers tableur compris.
- Vérifiez la case et la finalité : case décochée, contenu et fréquence annoncés, une case par finalité.
- Nommez le responsable de traitement et liez la politique de confidentialité.
- Ouvrez un journal des libellés : une ligne par version, avec date de mise en ligne et capture.
- Contrôlez ce que votre outil stocke par contact : date, source, statut, historique de désinscription.
- Isolez les contacts sans origine identifiable : envois suspendus, puis reconsentement ou suppression.
Questions fréquentes
Peut-on envoyer un email de prospection à une adresse professionnelle sans consentement ?
En France, oui dans la plupart des cas, si le message a un rapport direct avec la fonction de la personne. Elle doit être informée à la collecte et pouvoir s’y opposer dans chaque message. Cette tolérance ne couvre ni les adresses personnelles, ni les offres sans lien avec son métier.
Le double opt-in est-il obligatoire avec le RGPD ?
Non. Le RGPD exige un consentement libre, spécifique, éclairé et univoque, et la capacité de le démontrer. Le double opt-in n’est qu’un moyen de produire cette preuve, le plus fiable. Un simple opt-in bien journalisé reste acceptable.
Combien de temps garder un contact qui n’ouvre jamais nos emails ?
La CNIL retient comme repère trois ans à compter du dernier contact. En pratique, un contact inactif depuis douze mois ne rapporte plus rien et pèse sur votre délivrabilité : sortez-le des envois après une relance de réengagement.
Que faire d’une base héritée dont on ignore l’origine ?
Ne l’utilisez pas telle quelle. Deux options : la supprimer, ou tenter une campagne unique de reconsentement. Celle-ci reste une sollicitation : envoyez-la depuis un sous-domaine distinct de vos campagnes habituelles, puis supprimez les non-répondants.
Une seule case peut-elle couvrir la newsletter et le partage avec des partenaires ?
Non. Le consentement doit être spécifique à chaque finalité : deux finalités appellent deux cases distinctes, chacune décochée par défaut. Les regrouper fragilise l’ensemble, y compris la newsletter que vous auriez pu sécuriser facilement.
Par où commencer cette semaine
Ouvrez votre formulaire d’inscription principal et lisez-le comme un visiteur : que va-t-il recevoir, qui traite ses données, comment se retire-t-il. Si l’une des trois réponses manque à l’écran, vous tenez votre premier chantier.
Exportez ensuite votre base et comptez les contacts dont vous ne savez pas dire d’où ils viennent. Ce chiffre mesure l’état réel de votre collecte et conditionne le reste de votre stratégie d’email marketing.
Un doute sur la conformité de votre collecte d’emails ? Nous commençons toujours par le même exercice : inventaire des points d’entrée, lecture du libellé réellement affiché aujourd’hui, et comptage des contacts sans origine traçable dans votre outil d’envoi. Parlons-en.