Le respect du RGPD transforme les envois d’e-mails en contraintes opérationnelles et en opportunités de confiance. Les marketeurs doivent conjuguer efficacité commerciale et protection des droits personnels pour préserver leur réputation.
Les règles distinguent nettement les approches selon les cibles professionnelles ou grand public, et imposent des preuves d’autorisation et des droits d’exercice clairs. La suite propose un condensé des règles essentielles pour agir en conformité.
A retenir :
- Collecte documentée des adresses pour les particuliers
- Droit de désinscription immédiat et traçable
- Prospection B2B possible hors consentement explicite
- Durées de conservation justifiées et limitées
Collecte et consentement en emailing RGPD : règles et preuves
Fort de ces points, la première étape consiste à clarifier la collecte et le consentement auprès des destinataires ciblés. Le contrôle des mécanismes d’abonnement garantit la licéité des traitements et protège la relation client.
Selon la CNIL, toute campagne vers des particuliers nécessite un consentement explicite et vérifiable, plus strict que pour des adresses professionnelles. Cette exigence impose des preuves stockées et consultables en cas de contrôle.
Opt-in pour les particuliers et preuve de consentement
Ce point lie directement la collecte au respect des droits individuels et à la traçabilité demandée par la réglementation. L’opt-in doit être granularisé, non précoché, et accompagné d’une politique de confidentialité accessible.
Concrètement, conservez l’horodatage, la source et l’IP si disponible, afin de pouvoir démontrer le consentement en cas de demande. Selon Mathieu Jaulin, ces traces facilitent grandement la réponse aux sollicitations réglementaires.
Vérifications techniques obligatoires :
- Enregistrement horodaté des validations
- Description claire des finalités
- Proof-of-consent exportable en CSV
- Politique de confidentialité liée au formulaire
Situation
Consentement requis
Preuve recommandée
Inscription newsletter particulier
Oui, explicite
Horodatage et formulaire rempli
Contact commercial B2B
Non obligatoire
Source publique et information fournie
Liste achetée B2C
Oui, sauf mention de transfert
Document de transfert et preuve opt-in
Adresse générique d’entreprise
Non applicable
Conserver preuve de publication publique
« J’ai redressé ma base en 2024 après un audit, la preuve d’opt-in a tout résolu »
Paul N.
Opt-out, désinscription et conservation des preuves
Ce volet prolonge l’obligation de consentement par un droit opposable d’arrêt des communications pour tout destinataire. L’opt-out doit être simple, effectif immédiatement et conservé comme preuve de traitement arrêté.
Selon la CNIL, le lien de désinscription doit figurer sur chaque message et mener à une confirmation explicite, sans étapes inutiles. La suppression des données se limite aux éléments opérationnels, en conservant un marqueur d’opposition.
Actions opérationnelles :
- Lien de désabonnement en pied de message
- Page de confirmation d’arrêt unique
- Archivage du motif et de la date de l’opt-out
- Blocage des exportations ultérieures vers campagnes
Spécificités B2B : prospection, sources et bonnes pratiques
Sachant gérer opt-in et opt-out, la logique B2B modifie l’équation en autorisant souvent la prise de contact sans consentement préalable. Cette latitude vient avec des règles d’information et de justification renforcées.
Selon le RGPD et les recommandations pratiques, le point clé en B2B reste l’information du destinataire sur la source et l’objectif du contact. La transparence évite la suspicion et réduit le risque de plaintes.
Prospection B2B sans consentement explicite
Ce volet précise que le contact commercial vers une adresse professionnelle est autorisé sauf opposition explicite du destinataire. Il reste toutefois impératif d’informer sur l’origine des coordonnées et la finalité du message.
Selon la CNIL, il faut indiquer la source des données quand elles n’ont pas été collectées directement, et fournir un moyen simple de retrait à chaque message. Le professionnalisme de l’approche limite les oppositions.
Exemples de sources déclarées :
- Site web professionnel publié
- Salon professionnel ou événement
- Profil LinkedIn public
- Base fournie par un tiers conforme
Outil
Usage courant
Remarque conformité
Sendinblue
Envoi newsletters et marketing
Vérifier DPO et contrats de traitement
Sarbacane
Campagnes email en France
Solution française, documentation CNIL utile
Mailjet
Envois transnationaux
Vérifier localisation des serveurs
ActiveCampaign
Automations marketing
Contrat de sous-traitance à négocier
HubSpot
CRM et emailing
Paramétrage confidentialité à auditer
« J’avais cru pouvoir acheter une base B2C sans souci, l’audit m’a convaincu du contraire »
Sophie N.
Durées de conservation et justificatifs en B2B
Ce aspect prolonge la discussion sur la prospection et fixe les attentes sur la durée de conservation des adresses professionnelles. En B2B, l’absence de consentement explicite implique une appréciation raisonnable et documentée des durées.
Selon les interprétations pratiques, la conservation peut s’appuyer sur la relation commerciale et être prolongée si des motifs légitimes existent, en conservant un marquage d’opposition en cas d’opt-out. Le ciblage pertinent réduit les risques.
Durées et preuves :
- Justification documentaire des durées
- Marquage systématique des opt-out
- Revues périodiques des bases
- Suppression des doublons inactifs
Outils, prestataires et droits des personnes : opérer en confiance
Après avoir défini collecte et périmètre B2B, le choix des outils et la mise en œuvre des droits des personnes deviennent des priorités concrètes. Les prestataires doivent être audités et contractualisés comme sous-traitants.
Selon la CNIL, vous êtes responsable du contrôle des prestataires et de la sécurisation des données partagées, notamment lors de l’utilisation d’outils d’emailing internationaux. Une gouvernance simple évite les incidents majeurs.
Choisir un outil conforme RGPD pour vos campagnes
Ce volet s’inscrit dans la logique de contrôle des sous-traitants et de sécurisation technique des envois. Priorisez des fournisseurs documentant les mesures de sécurité et proposant des contrats types conformes au RGPD.
Parmi les solutions souvent citées, on retrouve MailChimp, Mailgun, Zoho Campaigns, Mailerlite et Splio, mais la conformité dépend du paramétrage et des clauses contractuelles.
Outils recommandés :
- Audit des contrats de sous-traitance
- Vérification de la localisation des données
- Options de chiffrement et suppression définitive
- Présence d’un DPO ou équivalent
« Nous avons choisi Sendinblue pour sa documentation locale, cela a rassuré l’équipe juridique »
Marc N.
Exercer les droits des personnes et procédures internes
Ce point relie la conformité aux opérations de service client et exige des canaux dédiés pour les demandes d’exercice des droits. Une adresse unique pour ces demandes facilite le traitement et la preuve.
Selon le RGPD, les droits incluent accès, rectification, opposition, effacement, limitation, portabilité et directives post-mortem, et doivent être traités gratuitement et dans des délais raisonnables.
Procédures internes :
- Adresse mail dédiée aux demandes RGPD
- Journalisation des réponses et délais
- Formation des équipes marketing et support
- Processus de suppression avec preuve
« Un simple opt-out mal traité a coûté une plainte à notre PME, désormais tout est tracé »
Claire N.
Source : CNIL, « Le RGPD », cnil.fr, 2018.
