RGPD et e-mail marketing : guide pratique de conformité

Ce que le RGPD exige réellement des équipes e-mail marketing

Disons-le simplement : le Règlement général sur la protection des données (règlement (UE) 2016/679) ne contient aucune règle disant « il vous faut un consentement pour envoyer un e-mail ». Ce qu’il encadre, ce sont les données personnelles qui se trouvent derrière votre programme e-mail. Il vous faut une base légale pour les traiter, de la transparence, de l’exactitude, une limitation de conservation, de la sécurité, et la preuve de tout cela. L’article 5(2) le résume en une ligne : le responsable de traitement « est responsable du respect [des principes] et est en mesure de démontrer que celui-ci est respecté ».

La règle qui décide si vous pouvez appuyer sur envoyer se trouve dans un autre texte, la directive ePrivacy. La plupart des articles sur le sujet confondent les deux et se trompent de réponse. Les tenir séparés est tout l’objet de ce guide.

Cet article est une aide pratique destinée aux équipes marketing, pas un conseil juridique. Il cite des sources primaires pour que vous puissiez les vérifier, mais le droit de la protection des données est appliqué par des autorités et des juridictions nationales, les transpositions nationales diffèrent et votre situation compte. Avant de modifier un parcours de consentement, une règle de conservation ou un transfert international, faites-vous conseiller par un professionnel qualifié dans votre juridiction.

RGPD et ePrivacy : deux textes, un seul envoi

Ce que dit la directive ePrivacy

La directive 2002/58/CE, dite directive ePrivacy, telle que modifiée par la directive 2009/136/CE, fixe la règle d’envoi. L’article 13(1) n’autorise le courrier électronique à des fins de prospection directe qu’à l’égard des abonnés ayant donné leur consentement préalable. Le « courrier électronique » y est défini largement et de façon technologiquement neutre : l’avis 5/2004 du groupe de travail Article 29 a confirmé qu’il couvre les newsletters e-mail comme les SMS et autres messages stockés. L’article 13(2) ménage l’exception clients existants, et l’article 13(4) interdit tout e-mail de prospection qui dissimule l’identité de l’expéditeur ou qui ne comporte pas « une adresse valable à laquelle le destinataire peut transmettre une demande visant à obtenir que ces communications cessent ».

Pourquoi cela compte en pratique

Le consentement n’est pas défini dans la directive ePrivacy. Il tire son sens du droit général de la protection des données : l’article 94(2) du RGPD prévoit que les références à la directive 95/46/CE abrogée s’entendent comme des références au RGPD. Ainsi, ePrivacy décide quand un consentement est nécessaire pour l’acte d’envoyer, et le RGPD décide ce qui compte comme consentement et comment vous le prouvez.

Vous pouvez donc disposer d’une base RGPD valide pour détenir et analyser une fiche contact tout en n’ayant aucun droit d’écrire à cette personne. Et comme ePrivacy est une directive et non un règlement, elle est transposée en droit national : les détails diffèrent donc d’un État membre à l’autre.

Choisir une base légale pour l’e-mail marketing

Le consentement

Le consentement au titre de l’article 6(1)(a) est ce sur quoi s’appuient la plupart des programmes e-mail grand public, et pour une bonne raison : puisque ePrivacy exige de toute façon un consentement préalable pour l’envoi, retenir le consentement comme base RGPD permet de tenir un seul discours plutôt que deux. Le coût, c’est qu’il peut être retiré à tout moment au titre de l’article 7(3).

L’intérêt légitime

L’article 6(1)(f) autorise les traitements nécessaires aux intérêts légitimes du responsable, sauf si prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée. Le considérant 47 dit explicitement que « le traitement de données à caractère personnel à des fins de prospection peut être considéré comme étant réalisé pour répondre à un intérêt légitime ».

Cette phrase est citée en permanence pour soutenir que le consentement serait facultatif. Lisez-la attentivement. Elle porte sur la base RGPD du traitement, elle dit « peut être », vous devez donc toujours conduire et documenter la mise en balance, et elle ne dit rien de la règle ePrivacy applicable à l’envoi. L’intérêt légitime se défend surtout pour les traitements périphériques de votre programme, comme la segmentation, la suppression et l’analyse, ainsi que pour le contact interentreprises, où les règles nationales traitent différemment les abonnés professionnels. C’est un fondement fragile pour l’e-mail grand public à froid dans l’Union européenne.

Le soft opt-in pour les clients existants

L’article 13(2) de la directive ePrivacy est la véritable exception. Lorsqu’une personne obtient les coordonnées électroniques de ses clients « dans le contexte d’une vente d’un produit ou d’un service », cette même personne peut les utiliser pour la prospection de « produits ou services analogues qu’elle-même fournit », à condition que les clients se voient « clairement et expressément donner la possibilité de s’opposer, sans frais et de manière simple », à la fois lors de la collecte et dans chaque message ultérieur.

Le groupe de travail Article 29 a précisé que cette exception « is limited in several ways and must be interpreted restrictively ». Trois limites méritent d’être retenues par cœur.

• Elle ne s’applique qu’aux clients réels. Une personne qui a abandonné son panier n’est pas couverte.
• Seule la personne morale qui a collecté l’adresse peut envoyer. Filiales et sociétés mères ne sont pas la même entreprise.
• Seuls des produits ou services similaires sont éligibles, appréciés à l’aune des attentes raisonnables du destinataire plutôt que des ambitions de l’expéditeur.

Comment le soft opt-in varie d’un État membre à l’autre

Parce que la directive a été transposée nationalement, c’est ici que le même conseil diverge réellement selon le marché.

En Irlande, la règle 13(11) du S.I. No. 336/2011 reprend l’exception et y ajoute une limite de temps stricte : la vente doit avoir eu lieu « not more than 12 months prior to the sending of the direct marketing communication », ou les coordonnées doivent avoir été utilisées pour de la prospection par e-mail pendant cette période.

Au Royaume-Uni, la règle équivalente est la regulation 22 de PECR, et l’ICO n’énonce aucune limite de temps de ce type. Il décrit le soft opt-in comme couvrant un client existant « who bought (or negotiated to buy) a similar product or service from you in the past », et note qu’il ne s’applique pas aux prospects, aux fichiers achetés, ni aux sollicitations non commerciales comme la collecte de fonds caritative et la campagne politique.

Deux marchés voisins, deux règles matériellement différentes. Ne présumez jamais que votre version nationale voyage.

Ce que signifie réellement un consentement valide

L’article 4(11) définit le consentement comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ». Le CEPD a détaillé chacun de ces éléments dans ses lignes directrices 05/2020 sur le consentement, adoptées le 4 mai 2020.

Les quatre éléments

• Libre. L’article 7(4) prévoit qu’il est tenu « le plus grand compte » du fait que l’exécution d’un contrat soit subordonnée au consentement à un traitement qui n’est pas nécessaire à ce contrat. Ne conditionnez pas le paiement au consentement marketing.
• Spécifique. Lorsque le traitement poursuit plusieurs finalités, le consentement devrait être donné pour chacune d’elles (considérant 32). Des finalités distinctes appellent des choix distincts : une inscription à la newsletter n’est pas un consentement au SMS, ni au partage de données avec des partenaires.
• Éclairé. L’article 7(2) exige qu’une demande de consentement insérée dans une déclaration plus large soit « présentée sous une forme qui la distingue clairement de ces autres questions, sous une forme compréhensible et aisément accessible, et formulée en des termes clairs et simples ».
• Univoque. Il faut une déclaration ou un acte positif clair.

Ce qui ne compte pas

Le considérant 32 est sans détour : « Il ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d’inactivité. » Pas davantage une case enfouie dans des conditions générales, ni une coche unique couvrant e-mail, SMS, profilage et partage avec des partenaires.

Le retrait

L’article 7(3) accorde le droit de retirer son consentement à tout moment, exige que la personne en soit informée au préalable, et énonce qu’« il est aussi simple de retirer que de donner son consentement ». Si quelqu’un peut s’abonner en un clic, un parcours de retrait qui impose une connexion et une page de paramètres enfouie ne satisfait pas ce niveau d’exigence. Le retrait n’est pas rétroactif : les traitements réalisés avant restent licites.

La preuve : ce que vous devez pouvoir démontrer

L’article 7(1) est court et porteur : « Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement. » Une colonne « opté : oui » ne démontre rien. Une trace qui reconstitue le moment du consentement, si.

Ce qu’il faut journaliser à l’inscription

Capturez et stockez, par contact et par finalité :

• L’horodatage de l’acte de consentement, dans un fuseau horaire stable.
• La source et la méthode : quel formulaire, quelle URL de page, quel canal ou quel événement hors ligne.
• Le libellé exact du consentement et la version de la politique de confidentialité affichés. Un identifiant de version renvoyant à un libellé archivé est plus pratique que de stocker le texte intégral sur chaque ligne.
• Les finalités précises acceptées, sous forme d’indicateurs distincts plutôt que d’un booléen unique.
• La preuve de confirmation et son horodatage lorsque vous utilisez le double opt-in.
• L’adresse IP lorsque c’est proportionné au risque. C’est une pratique courante et une preuve utile, mais ce n’est pas une obligation légale, et c’est elle-même une donnée personnelle.

L’article 30 impose par ailleurs à la plupart des organisations de tenir un registre des activités de traitement : finalités, catégories de personnes concernées et de données, destinataires, transferts, durées de conservation et mesures de sécurité. La dispense pour les organisations de moins de 250 personnes est étroite : elle tombe dès lors que le traitement est susceptible de comporter un risque pour les droits et libertés, qu’il n’est pas occasionnel, ou qu’il porte sur des catégories particulières de données. La prospection régulière d’une base clients n’est pas occasionnelle.

Combien de temps conserver la preuve de consentement

Le RGPD ne fixe aucune durée. Le principe opérationnel est que la preuve du consentement doit survivre à la prospection qu’elle justifie, plus la période pendant laquelle une réclamation pourrait raisonnablement être introduite. Supprimer la fiche d’une personne abonnée tout en conservant une entrée de journal minimisée prouvant l’autorisation est une pratique normale.

Les droits des personnes qui touchent les programmes e-mail

Cinq droits reviennent en permanence dans les opérations e-mail.

• Accès (article 15). Confirmation que vous traitez ou non leurs données, copie de celles-ci, et informations dont les finalités, les catégories de données, les destinataires, les durées de conservation, la source, ainsi que toute décision automatisée ou tout profilage. Pour un programme e-mail, cela recouvre souvent l’historique d’engagement et l’appartenance aux segments, pas seulement l’adresse.
• Rectification (article 16). Correction des données inexactes dans les meilleurs délais, et complément des données incomplètes.
• Effacement (article 17). Y compris au 17(1)(b), lorsque le consentement est retiré et qu’aucune autre base ne s’applique, et au 17(1)(c), lorsque la personne s’oppose au titre de l’article 21(2).
• Opposition à la prospection (article 21). Le droit absolu. Au titre du 21(2), la personne concernée « a le droit de s’opposer à tout moment » au traitement à des fins de prospection, y compris au profilage associé. Au titre du 21(3), « les données à caractère personnel ne sont plus traitées à ces fins ». Il n’y a aucune mise en balance à appliquer.
• Portabilité (article 20). S’applique lorsque le traitement repose sur le consentement ou sur un contrat et qu’il est automatisé, et couvre les données fournies par la personne. Les scores et segments dérivés en sont généralement exclus.

Délais de réponse

L’article 12(3) impose d’agir dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception. Ce délai peut être prolongé de deux mois compte tenu de la complexité ou du nombre de demandes, et vous devez en informer la personne, en motivant, dans le premier mois. Une opposition à la prospection mérite mieux que le maximum : traitez-la comme une suppression immédiate, puis réglez la formalité dans la fenêtre légale.

Mise en œuvre pratique

Formulaires d’inscription

Une case non cochée et clairement libellée par finalité. Nommez l’expéditeur, dites ce que vous allez envoyer et à quelle fréquence approximative, et faites un lien vers la politique de confidentialité plutôt que de la reproduire. Ne regroupez pas le consentement marketing avec l’acceptation des conditions générales et ne conditionnez pas l’achat à ce consentement. Stockez la version du formulaire pour pouvoir prouver plus tard ce qui était affiché.

Le double opt-in et son statut juridique réel

Le double opt-in n’est pas exigé par le RGPD ni par la directive ePrivacy. Aucun article ne l’impose. Ce qu’il produit, c’est de la preuve : un clic de confirmation, depuis la boîte concernée, à un horodatage enregistré, se rapproche de la meilleure preuve disponible qu’une personne réelle contrôlant cette adresse a accepté. Le groupe de travail Article 29 a noté que les méthodes où une personne s’inscrit puis se voit demander de confirmer « seem to be compatible with the Directive ».

Il est donc recommandé, parfois fortement, et il constitue la norme sur certains marchés. Ce n’est pas la loi. Les détails de mise en œuvre figurent dans notre guide du double opt-in.

Centres de préférences et gestion des désabonnements

Chaque message de prospection a besoin d’une adresse valable pour les demandes d’opposition, et sous l’exception clients existants, une voie d’opposition simple et gratuite dans chaque message est une condition, pas une politesse. Un centre de préférences offrant des choix de fréquence et de sujets est une bonne pratique, mais un désabonnement global simple et en une étape doit rester disponible. Traitez les oppositions automatiquement : les files d’attente manuelles sont la façon dont les organisations finissent par envoyer après une opposition.

Des listes de suppression qui survivent aux migrations

Un désabonnement est une instruction permanente, pas un réglage propre à une liste. L’état de suppression doit être global entre les marques, entre les canaux couverts par l’opposition, et entre les plateformes. Le moment dangereux est une migration ou un réimport : les personnes abonnées arrivent dans le nouveau système et les indicateurs d’opposition ne suivent pas. C’est la façon la plus fréquente dont un programme conforme devient discrètement non conforme.

Le même risque existe dans chaque intégration entre une boutique, un CRM et une plateforme e-mail, là où l’état de consentement et de suppression se perd en chemin. Si vous transférez des données Shopify vers Brevo, Tajo est la couche de synchronisation qui porte ces champs entre les systèmes. Quel que soit l’outillage retenu, le test est le même : après toute migration, vérifiez qu’une adresse connue comme supprimée l’est toujours.

Conservation et re-consentement des listes dormantes

La limitation de conservation s’applique aux listes marketing : fixez donc une règle de conservation documentée pour les contacts inactifs et appliquez-la. Si une liste est restée inutilisée pendant des années, une campagne de re-consentement est souvent proposée. Prudence : un e-mail « confirmez que vous souhaitez toujours recevoir nos messages » est lui-même une communication de prospection dans la plupart des lectures, il ne peut donc partir qu’aux personnes auxquelles vous avez aujourd’hui le droit d’écrire. Si vous ne pouvez pas démontrer une base maintenant, la réponse honnête est la suppression. Notre guide du nettoyage de liste e-mail traite le volet hygiène.

Votre plateforme e-mail est un sous-traitant

Votre prestataire d’envoi traite des données personnelles sur vos instructions : l’article 28 s’applique donc. Il faut un contrat ou un autre acte juridique contraignant précisant l’objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes concernées. L’article 28(3) impose ensuite des clauses sur les instructions documentées, la confidentialité, la sécurité au sens de l’article 32, les sous-traitants ultérieurs, l’assistance aux demandes des personnes concernées et aux obligations en cas de violation, la suppression ou la restitution des données à la fin du service, et les droits d’audit. La plupart des prestataires publient un accord de sous-traitance standard. Lisez sa liste de sous-traitants ultérieurs.

Transferts internationaux

Si des données personnelles sortent de l’Espace économique européen, il vous faut un mécanisme de transfert. L’article 45 autorise les transferts vers les pays ou cadres que la Commission européenne a jugés adéquats. À défaut, l’article 46 exige des garanties appropriées, le plus souvent les clauses contractuelles types de la Commission, ou des règles d’entreprise contraignantes au sein d’un groupe. Les décisions d’adéquation couvrent un certain nombre de juridictions, dont le cadre de protection des données Union européenne, États-Unis adopté le 10 juillet 2023. Vérifiez où votre prestataire stocke les données, pas seulement où se trouve son siège.

Comment le règlement s’appelle sur votre marché

Le texte est le même dans toute l’Union européenne. Le nom, non.

Hors de l’Union européenne, le vocabulaire change encore. Le Royaume-Uni a le UK GDPR aux côtés de PECR. La Turquie a la Kisisel Verilerin Korunmasi Kanunu, loi n° 6698, connue sous le nom de KVKK. Le Brésil a la Lei Geral de Protecao de Dados Pessoais, loi n° 13.709 du 14 août 2018, la LGPD. L’Indonésie a l’Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi. Ce sont des régimes distincts, dotés de leurs propres règles, et non des traductions : satisfaire au RGPD ne suffit pas automatiquement à les satisfaire.

Sanctions, et ce que font réellement les autorités

L’article 83 fixe deux niveaux : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total au titre du 83(4), et jusqu’à 20 millions d’euros ou 4 % au titre du 83(5), le montant le plus élevé étant retenu dans chaque cas. Le niveau supérieur couvre les principes de base et les conditions du consentement aux articles 5, 6, 7 et 9, les droits des personnes aux articles 12 à 22, et les règles de transfert aux articles 44 à 49 : les manquements au consentement et les oppositions ignorées relèvent donc de ce niveau. Les règles ePrivacy nationales ajoutent leurs propres sanctions : en Irlande, enfreindre la règle 13 est une infraction pénale et chaque message compte séparément.

Pour un expéditeur de taille moyenne, le risque quotidien n’est pas une amende retentissante. C’est une réclamation unique qui déclenche la question d’une autorité : montrez-nous le consentement pour cette adresse.

Là où conformité et performance se rejoignent

Bien menée, cette démarche améliore aussi la performance. Les listes bâties sur une autorisation authentique et spécifique engagent mieux et se plaignent moins, ce que les systèmes de délivrabilité récompensent. Notre guide de la délivrabilité e-mail explique ce mécanisme, et notre guide de la construction de liste e-mail traite l’acquisition qui résiste à l’examen.

Articles liés

• Double opt-in : guide complet des inscriptions confirmées
• La délivrabilité e-mail : le guide complet
• Construire une liste e-mail : guide complet
• Nettoyer une liste e-mail : guide complet
• Pages de désabonnement et désabonnement en un clic : bonnes pratiques