Si vous envoyez des emails marketing à quiconque dans l'UE ou au Royaume-Uni, les règles de l'email marketing sous le RGPD s'appliquent à presque chaque étape du processus — car une adresse email est une donnée à caractère personnel, et dès l'instant où vous en collectez une, la stockez ou appuyez sur « envoyer », vous traitez cette donnée. Le RGPD ne représente toutefois que la moitié du tableau. Un second corpus de règles, plus spécifique — la directive ePrivacy à l'échelle de l'UE, et les Privacy and Electronic Communications Regulations (PECR) au Royaume-Uni — encadre directement le marketing électronique. Ce guide explique comment les deux s'articulent : la base légale requise pour un envoi, ce qui constitue un consentement valable, l'étroit « soft opt-in » pour les clients existants, et les droits que vos abonnés conservent aussi longtemps que vous détenez leur adresse.
Les deux corpus de règles derrière l'email marketing sous le RGPD#
Il est utile de garder à l'esprit deux cadres distincts, car ils répondent à des questions différentes et doivent tous deux être respectés.
Le RGPD est le régime général de protection des données. Il établit que tout traitement de données à caractère personnel — collecter une adresse, la stocker, la segmenter, lui envoyer un message — nécessite une base légale, et il confère un ensemble de droits aux personnes derrière ces adresses. Une adresse email constitue généralement une donnée à caractère personnel car elle peut identifier une personne ; le guide complémentaire sur le RGPD et la vérification des emails traite plus en détail de cette question de seuil et de l'enjeu de la résidence des données, si bien que cet article le tient pour acquis et se concentre sur le marketing en lui-même.
ePrivacy est le régime spécifique aux communications électroniques. Dans l'UE, il s'agit de la directive ePrivacy, transposée dans le droit national de chaque État membre ; au Royaume-Uni, il s'agit des PECR. Ces règles traitent de front la prospection directe non sollicitée par email, SMS et canaux similaires. C'est là que réside réellement l'attente bien connue selon laquelle « il faut généralement le consentement pour envoyer un email marketing à quelqu'un » — le RGPD pose le décor, ePrivacy fixe la règle propre au canal.
En pratique, vous satisfaites les deux à la fois. ePrivacy vous dit si vous pouvez envoyer un message marketing par ce canal à cette personne ; le RGPD vous dit si le traitement sous-jacent de ses données est licite et comment vous devez honorer ses droits. Une campagne qui ignore l'un ou l'autre présente une faille.
Chaque envoi nécessite une base légale#
Sous le RGPD, le traitement de données à caractère personnel exige l'une des six bases légales. Pour l'email marketing, deux sont réellement envisageables : le consentement et l'intérêt légitime. Les autres (contrat, obligation légale, intérêts vitaux, mission d'intérêt public) conviennent rarement à un envoi promotionnel.
Le consentement est la base la plus simple et celle vers laquelle ePrivacy tend à vous orienter pour le marketing adressé à des particuliers. L'intérêt légitime peut justifier certaines actions marketing — en particulier dans des situations interentreprises restreintes — mais il n'est pas un blanc-seing : vous devez pouvoir démontrer que votre intérêt à faire du marketing n'est pas supplanté par les intérêts et les attentes raisonnables du destinataire, et vous devez documenter cet exercice de mise en balance. Même lorsque l'intérêt légitime justifie le volet RGPD, les règles de canal d'ePrivacy s'appliquent par-dessus, raison pour laquelle le consentement (ou le soft opt-in ci-dessous) fait le plus gros du travail pour l'email.
À quoi ressemble un consentement valable sous le RGPD#
Lorsque le consentement est votre base, le RGPD précise ce qui le rend valable. Le consentement doit être libre, spécifique, éclairé et univoque, et il doit être manifesté par un acte positif clair. Décryptons cela :
- Libre signifie que la personne a un véritable choix et n'est pas pénalisée si elle refuse. Intégrer le consentement marketing dans des conditions que l'on doit accepter pour acheter, ou en faire une condition d'un service sans rapport, le fragilise.
- Spécifique et éclairé signifie qu'elle sait qui collecte les données et à quoi elle consent à recevoir. Consentir à avoir de vos nouvelles n'équivaut pas à consentir à être transmis à une liste de « partenaires » anonymes.
- Univoque, par acte positif signifie un opt-in que la personne réalise activement. Les régulateurs et les tribunaux ont été clairs : les cases pré-cochées, le silence ou l'inaction ne comptent pas — la personne doit accomplir quelque chose de délibéré, comme cocher une case vide ou franchir une étape de confirmation.
Deux autres exigences comptent au quotidien. Le consentement doit être aussi facile à retirer qu'à donner, ce qui explique en partie pourquoi une désinscription fonctionnelle importe dans chaque message. Et vous devez pouvoir démontrer que vous le détenez — le RGPD attend de vous que vous conserviez des traces indiquant qui a consenti, quand et à quoi. Un flux de double opt-in, où l'abonné confirme via un email de suivi, est un moyen courant à la fois d'améliorer la qualité de la liste et de constituer cette preuve ; les compromis sont traités dans le guide du single opt-in vs double opt-in. Le consentement n'est pas non plus éternel — une autorisation ancienne, vieille de plusieurs années et sans aucune interaction est plus fragile qu'une autorisation récente, et de nombreux expéditeurs rafraîchissent ou renouvellent le consentement périodiquement.
Le soft opt-in : une voie étroite pour les clients existants#
ePrivacy et les PECR prévoient une exception limitée souvent appelée soft opt-in. Elle permet à une entreprise d'adresser des emails marketing à un client existant sans recueillir un consentement distinct et nouveau — mais uniquement lorsqu'un ensemble précis de conditions est réuni, et elle est plus étroite que ne le supposent beaucoup d'expéditeurs. En gros, le soft opt-in s'applique lorsque :
- Vous avez obtenu les coordonnées au cours d'une vente (ou de la négociation d'une vente) d'un produit ou service à cette personne ;
- Vous faites la promotion de vos propres produits ou services similaires — non des gammes sans rapport, ni les offres d'une autre entreprise ;
- Vous avez donné à la personne un moyen simple et gratuit de se désinscrire au moment où vous avez collecté les coordonnées, et vous incluez une désinscription facile dans chaque message que vous envoyez.
C'est sur les limites que les gens trébuchent. « Produits similaires » s'interprète avec prudence, « au cours d'une vente » désigne généralement une transaction réelle ou une négociation active plutôt qu'une simple demande de renseignements, et la portée exacte peut différer d'une juridiction à l'autre car ePrivacy est mise en œuvre au niveau national. Considérez le soft opt-in comme une voie réelle mais strictement encadrée, et vérifiez comment il est formulé dans le pays précis dont vous démarchez les résidents — le panorama des lois sur l'email marketing par pays est une carte de départ, pas un substitut à un conseil local.
| Voie | Ce qu'elle requiert généralement | Usage typique |
|---|---|---|
| Consentement (opt-in) | Opt-in libre, spécifique, éclairé et univoque par acte positif clair ; consigné | Listes de newsletter et de prospects ; l'option par défaut pour le marketing aux particuliers |
| Soft opt-in | Coordonnées obtenues lors d'une vente, vos propres produits similaires, désinscription facile à la collecte et dans chaque message | Marketing auprès de vos clients existants |
| Intérêt légitime | Test de mise en balance documenté ; droits du destinataire non supplantés ; les règles de canal d'ePrivacy s'appliquent tout de même | Certains scénarios B2B / professionnels restreints |
Intérêt légitime et email B2B#
L'email interentreprises est le terrain où le tableau se nuance, et où il est le
plus facile de dépasser les bornes. Les règles ePrivacy distinguent, dans
certaines juridictions, le marketing adressé aux particuliers de celui adressé aux
abonnés professionnels, et les règles pour les destinataires professionnels
peuvent être plus souples. Cela a nourri une croyance répandue selon laquelle
« l'email B2B est exempté du RGPD ». Ce n'est pas le cas. Même lorsque vous
envoyez un email à une personne nommée au sein d'une entreprise,
prenom@entreprise.com reste une donnée à caractère personnel de cet individu :
le RGPD — base légale, transparence et les droits ci-dessous — continue donc de
s'appliquer à la façon dont vous la traitez.
L'intérêt légitime peut constituer une base RGPD viable pour certaines actions de prospection B2B, à condition d'avoir réalisé et documenté le test de mise en balance et que le destinataire s'attende raisonnablement au contact. Mais il ne désactive pas ePrivacy, et la distinction entre professionnel et particulier est propre à chaque juridiction et facile à mal interpréter — précisément le genre de question à soumettre à un conseil juridique pour vos marchés cibles.
Les droits que vos abonnés conservent#
Parce que les adresses de votre liste sont des données à caractère personnel, les personnes qui se trouvent derrière détiennent des droits au titre du RGPD aussi longtemps que vous traitez ces données — et deux d'entre eux touchent directement à l'email marketing.
Le droit d'opposition à la prospection directe est de fait absolu. Lorsqu'une personne s'oppose à être démarchée, vous devez cesser de traiter ses données à cette fin — point final, sans test de mise en balance. En pratique, une désinscription est l'exercice de ce droit, raison pour laquelle les mécanismes d'une désinscription conforme et sans friction comptent tant ; le guide de la désinscription en un clic explique comment les fournisseurs de messagerie s'attendent désormais à ce que cela fonctionne.
Le droit à l'effacement (« droit à l'oubli ») permet aux personnes de vous demander de supprimer leurs données à caractère personnel dans certaines circonstances, et une liste marketing est un endroit fréquent où atterrit une telle demande. À leurs côtés figurent les droits d'accès (une copie de ce que vous détenez), de rectification (le corriger) et de limitation. La leçon opérationnelle, c'est qu'une liste d'abonnés n'est pas un actif statique que vous possédez — ce sont des données à caractère personnel dont vous êtes responsable, assorties d'obligations vivantes. Notez aussi que supprimer une adresse pour ne plus jamais lui écrire diffère de l'effacer entièrement ; de nombreux expéditeurs conservent une trace de suppression minimale précisément pour honorer une désinscription, une nuance qu'il vaut la peine de faire confirmer par vos propres conseils.
Où s'insèrent les registres et l'hygiène de liste#
Rien de ce qui précède n'incombe à un outil d'hygiène de garantir, et il vaut la peine d'être précis sur la frontière. La vérification et le nettoyage de liste ne créent pas de base légale, ne recueillent pas de consentement et ne rendent pas un envoi conforme. Ce que l'hygiène ordinaire fait, c'est maintenir exacte et saine la liste que vous démarchez licitement : retirer les boîtes aux lettres mortes et les fautes de frappe, et honorer promptement les désinscriptions et les demandes de suppression pour cesser d'écrire aux personnes qui se sont désinscrites. Cette discipline s'accorde avec la routine plus large du nettoyage d'une liste d'emails — collecter avec autorisation, tenir les registres de consentement et de désinscription qu'attend le RGPD, et ne pas conserver les adresses plus longtemps que nécessaire.
Garder ces deux fils distincts vous maintient les idées claires. Les questions de base légale et de droits sont ici des questions juridiques pour vous et votre conseil. La question « cette adresse est-elle toujours valable et devrions-nous encore lui écrire » relève de l'hygiène — et c'est là qu'une étape de vérification gagne sa place, en gardant propre la liste fondée sur l'autorisation à laquelle vous envoyez effectivement.
Foire aux questions#
Le consentement est-il toujours nécessaire pour envoyer des emails marketing sous le RGPD ?#
Pas toujours, mais c'est la base la plus courante. Le RGPD exige une base légale pour tout traitement et, pour le marketing adressé à des particuliers, il s'agit généralement du consentement, orienté en ce sens par la directive ePrivacy/PECR. L'intérêt légitime peut justifier certains envois — souvent dans des cas B2B restreints — et le soft opt-in prévu par ePrivacy autorise le marketing auprès de clients existants pour vos propres produits similaires, sous conditions précises. Ce qui s'applique dépend de votre situation : faites donc confirmer votre base par un conseiller qualifié avant de vous appuyer sur autre chose que le consentement.
Qu'est-ce qui rend valable le consentement à l'email marketing sous le RGPD ?#
Sous le RGPD, le consentement doit être libre, spécifique, éclairé et univoque, manifesté par un acte positif clair comme le fait de cocher une case vide. Les cases pré-cochées, le silence et l'inaction ne comptent pas. Le consentement doit aussi être aussi facile à retirer qu'à donner, et vous devez pouvoir démontrer que vous l'avez obtenu — conserver la trace de qui s'est inscrit, quand et à quoi fait donc partie de l'obligation, ce n'est pas une option.
L'email B2B est-il exempté du RGPD ?#
Non. Certaines règles ePrivacy traitent le marketing adressé aux abonnés professionnels plus souplement que celui adressé aux particuliers, d'où l'idée que « le B2B est exempté ». Mais une adresse email professionnelle rattachée à une personne nommée reste une donnée à caractère personnel de cette personne : les obligations du RGPD en matière de base légale, de transparence et de droits continuent donc de s'appliquer. La distinction entre abonné professionnel et particulier varie selon les pays : c'est une bonne question à poser à un conseil juridique pour chaque marché que vous démarchez.
Qu'est-ce que le soft opt-in ?#
Le soft opt-in est une exception limitée prévue par ePrivacy/PECR qui permet à une entreprise d'adresser des emails marketing à un client existant sans recueillir un nouveau consentement distinct. Il ne s'applique en général que lorsque vous avez obtenu les coordonnées au cours d'une vente (ou de sa négociation), que vous faites la promotion de vos propres produits ou services similaires, et que vous avez proposé une désinscription facile lors de la collecte et en incluez une dans chaque message. Il ne couvre ni les listes achetées, ni les prospects froids, ni les produits sans lien, et sa portée exacte varie d'un pays à l'autre.
Des listes propres et des désinscriptions honorées constituent le volet opérationnel de tout programme fondé sur l'autorisation. Qualisend vérifie les adresses de la liste que vous démarchez licitement et vous aide à garder les désinscriptions supprimées — commencez avec le vérificateur d'emails gratuit pour tester un échantillon, ou consultez les formules tarifaires pour une hygiène de liste régulière.
