Responsables marketing : plan d’action CNIL pour RGPD et email marketing en France

En B2C, l’email commercial exige un consentement préalable libre, spécifique et non équivoque, matérialisé par une case dédiée décochée par défaut. En B2B, vous pouvez vous appuyer sur l’intérêt légitime si le message concerne l’activité professionnelle du destinataire, mais l’information et le droit d’opposition restent obligatoires. Dans les deux cas, chaque message doit afficher l’identité de l’annonceur et un lien de désabonnement qui fonctionne réellement.

---

En bref:

• En B2C, le consentement doit être explicite, avec une case dédiée non cochée par défaut, et une preuve horodatée doit être conservée.
• En B2B, la prospection peut s’appuyer sur l’intérêt légitime si le message concerne l’activité professionnelle, mais le droit d’opposition et l’information restent obligatoires.
• Chaque email doit comporter l’identité de l’annonceur, un objet fidèle au contenu, et un lien de désabonnement fonctionnel pour respecter la conformité.
• La récupération de listes achetées ou anciennes nécessite un nouveau consentement ou une nouvelle information, car leur conformité est souvent douteuse.
• La gestion des désinscriptions doit être centralisée, conservée à jour, et les adresses désinscrites doivent être déplacées dans une liste d’exclusion plutôt que supprimées.

---

Table des matières

• Bases légales et différences pratiques entre B2C et B2B
• Pratiques obligatoires à l’envoi : mentions, consentement, preuve et transparence
• Puis-je continuer à envoyer ma liste existante ou acheter des fichiers ?
• Gestion du désabonnement et listes d’exclusion (procédures opérationnelles)
• Durée de conservation des données et bonnes pratiques d’archivage
• Pixels, tracking, profilage et délivrabilité : limites et alternatives conformes
• Application pratique : comment une plateforme conforme facilite la conformité
• Perspective de l’auteur : priorités opérationnelles pour un responsable marketing
• Auvent, une gestion d’email marketing pensée pour rester conforme sans effort administratif
• Sources
• Questions fréquentes

Bases légales et différences pratiques entre B2C et B2B

L’article 6 du RGPD liste les bases légales qui autorisent un traitement de données, et pour la prospection commerciale, deux d’entre elles dominent : le consentement (article 7 et point 4.11) et l’intérêt légitime. Le choix entre les deux ne relève pas du confort mais de la nature du destinataire.

Pour un particulier, le consentement doit être libre, spécifique, éclairé et univoque, ce qui implique une action positive de sa part, jamais une case pré-cochée ni un consentement noyé dans des conditions générales. Concrètement, cela veut dire :

• une case à cocher dédiée à la prospection, distincte de la création de compte
• un horodatage et une trace de l’origine de la collecte (formulaire, salon, achat).
• une preuve conservée et exploitable en cas de contrôle

En B2B, la marge de manœuvre est plus large mais pas illimitée. Vous pouvez prospecter par opt-out si le message concerne directement l’activité professionnelle du destinataire, à condition de l’informer clairement dès la collecte et de lui offrir un moyen simple de s’opposer. Un email vantant un logiciel comptable à un directeur financier passe ce test. Le même email envoyé à son adresse personnelle, non.

Pratiques obligatoires à l’envoi : mentions, consentement, preuve et transparence

Une checklist claire vous évite bien des mauvaises surprises lors d’un contrôle. Voici les points à verrouiller avant chaque campagne :

1. Case de consentement non pré-cochée au moment de la collecte, avec formulation explicite de la finalité (« recevoir nos offres commerciales par email », pas « accepter nos conditions »).
2. Horodatage et traçabilité : date, canal de collecte, texte exact présenté à la personne au moment du consentement.
3. Information complète dès la collecte : finalités du traitement, durée de conservation, droits d’accès et de rectification.
4. Identité de l’annonceur visible dans chaque email, dans l’en-tête ou le pied de page.
5. Objet non trompeur, cohérent avec le contenu réel du message.
6. Lien de désabonnement fonctionnel, accessible en un clic, sans demander de justification.

Conseil de pro : Gardez une copie horodatée de chaque version de votre formulaire de collecte. Si vous le modifiez dans six mois, vous devrez pouvoir prouver ce que la personne a réellement accepté au moment de son inscription, pas ce que le formulaire affiche aujourd’hui.

Ces éléments ne sont pas de simples bonnes pratiques : ils constituent le socle minimal que la CNIL vérifie en priorité en cas de plainte ou de contrôle.

Puis-je continuer à envoyer ma liste existante ou acheter des fichiers ?

Tout dépend de la façon dont cette liste a été constituée. Si les contacts ont donné un consentement clair pour la prospection commerciale au moment de leur inscription, vous pouvez continuer à les solliciter. En revanche, une liste récupérée lors d’un ancien salon, sans mention claire à l’époque, ou une liste importée depuis un autre usage (facturation, support client) nécessite souvent une nouvelle information, voire un nouveau consentement.

L’achat de fichiers, quant à lui, pose un problème structurel : vous n’avez aucune preuve de la manière dont ces adresses ont été collectées, ni de leur consentement réel. La CNIL rappelle que la qualité d’une base dépend directement de la licéité de sa collecte, et une base achetée génère généralement plus de plaintes et une moins bonne délivrabilité.

Les alternatives conformes existent et fonctionnent mieux à long terme :

• des formulaires d’inscription clairs sur votre site ou votre boutique en ligne
• des campagnes de collecte lors d’événements avec case de consentement explicite
• des offres d’échange (guide, remise) contre inscription volontaire à la newsletter

Gestion du désabonnement et listes d’exclusion (procédures opérationnelles)

Un lien de désabonnement présent sur chaque envoi ne suffit pas : il faut aussi que la demande soit traitée rapidement, sans étape superflue. Les règles d’or de la prospection par email imposent un moyen simple de se désinscrire, et un délai de traitement long expose à des réclamations.

La meilleure protection reste une liste d’exclusion technique, séparée de votre base active :

• centraliser toutes les demandes de désinscription dans une liste unique et permanente
• vérifier cette liste avant chaque nouvel import de contacts pour éviter les ré-envois accidentels
• journaliser la date et le canal de chaque demande de désinscription

Conseil de pro : Ne supprimez jamais une adresse désinscrite de votre système : déplacez-la vers votre liste d’exclusion. Une suppression totale vous empêche de prouver que vous avez respecté sa demande si elle reçoit un email par erreur six mois plus tard.

La CNIL recommande explicitement cette approche pour garantir le respect des oppositions dans le temps, au-delà d’un simple clic de désinscription.

Durée de conservation des données et bonnes pratiques d’archivage

Le principe de minimisation impose de ne pas garder une donnée plus longtemps que nécessaire. Pour une base marketing, une règle pratique largement admise consiste à considérer qu’un contact inactif depuis trois ans doit être purgé ou réactivé par une nouvelle demande de consentement.

Quelques repères à appliquer sans exception :

• séparez toujours les données comptables, soumises à des obligations légales de conservation, des bases marketing
• documentez la durée retenue pour chaque finalité (prospection, gestion client, statistiques)
• planifiez une purge régulière plutôt qu’un nettoyage ponctuel sous la pression d’un contrôle

Cette séparation évite une confusion fréquente : garder indéfiniment une adresse email « parce qu’elle est aussi dans la facturation » n’a aucune base légale du côté marketing.

Pixels, tracking, profilage et délivrabilité : limites et alternatives conformes

Un pixel de suivi d’ouverture strictement technique, utilisé pour mesurer la délivrabilité globale d’une campagne, se distingue juridiquement d’un profilage comportemental qui alimente un scoring individuel ou un ciblage publicitaire. Le second nécessite une base légale claire, généralement le consentement, car il traite la personne de façon individualisée.

Un risque souvent sous-estimé : un email transactionnel qui glisse du contenu commercial devient une prospection soumise aux mêmes obligations de consentement. Une confirmation de commande qui inclut « découvrez aussi notre nouvelle collection » bascule dans cette zone grise.

Pour préserver votre délivrabilité sans franchir cette ligne :

• séparez strictement les flux transactionnels des flux commerciaux dans votre outil d’envoi
• segmentez uniquement les contacts ayant donné leur accord pour recevoir des communications ciblées
• testez vos campagnes sur des échantillons opt-in plutôt que sur toute la base

Une base engagée et collectée légalement réduit les plaintes et améliore la réputation d’envoi auprès des fournisseurs de messagerie, un point que la CNIL relie directement à la conformité.

Application pratique : comment une plateforme conforme facilite la conformité

Un outil d’email marketing ne fait pas le travail juridique à votre place, mais il peut automatiser les preuves et réduire le risque d’erreur humaine. Avant de choisir une solution, vérifiez qu’elle couvre ces points :

• traçabilité automatique du consentement, avec horodatage et origine de la collecte
• gestion des finalités séparées (transactionnel, commercial, newsletter)
• liste d’exclusion technique intégrée, appliquée automatiquement aux nouveaux imports
• export des données de consentement et de désinscription, exploitable en cas de demande de la CNIL

Certaines plateformes dédiées aux créateurs européens intègrent ces mécanismes directement dans leur module d’email marketing, avec hébergement en Europe, plutôt que de vous laisser bricoler ces garde-fous avec des outils disparates.

Perspective de l’auteur : priorités opérationnelles pour un responsable marketing

Commencez par auditer vos formulaires existants et vérifier que chaque lien de désabonnement fonctionne réellement, aujourd’hui, sans détour. Dans les trois mois, mettez en place une segmentation opt-in stricte et une procédure documentée de désinscription. En cas de contrôle CNIL, ce sera votre journal de preuves, pas vos bonnes intentions, qui vous protégera.

— Delaire

Auvent, une gestion d’email marketing pensée pour rester conforme sans effort administratif

Gérer le consentement, séparer les finalités et tenir une liste d’exclusion à jour demande du temps quand ces briques sont éparpillées entre plusieurs outils. Certaines solutions réunissent boutique, email marketing et facturation conforme dans une seule plateforme hébergée en Europe, pensées pour les créateurs qui veulent vendre depuis leur bio sans gérer un empilement d’outils disparates.

Des fonctionnalités telles que la segmentation opt-in, les automations de désinscription et l’export des données clients peuvent être intégrées nativement, ce qui évite de reconstruire ces garde-fous à la main à chaque campagne. Pour un créateur qui vend des formations, des ebooks ou du coaching, une telle intégration facilite la gestion administrative et permet de se concentrer davantage sur la création. Vous pouvez créer votre boutique sur Auvent et tester la gestion d’email marketing intégrée directement depuis votre compte.

Sources

Pour approfondir, consultez les fiches pratiques de la CNIL sur la prospection électronique, la fiche relation client du programme RGPD de la CNIL et le texte consolidé du RGPD sur EUR-Lex.

• La prospection commerciale par courrier électronique, SMS‑MMS et automate d’appel | CNIL

Questions fréquentes

Quelles sont les règles RGPD concernant l’adresse email ?

Une adresse email est une donnée personnelle dès qu’elle identifie une personne physique, même via un pseudonyme professionnel. Son traitement en prospection exige une base légale claire : consentement en B2C, intérêt légitime encadré en B2B.

Quelle est la loi sur les emails professionnels en France ?

La prospection vers une adresse professionnelle peut reposer sur l’opt-out si le message concerne l’activité du destinataire, mais celui-ci doit être informé dès la collecte et pouvoir s’opposer facilement à toute nouvelle sollicitation.

Peut-on utiliser une adresse email sans autorisation ?

Non, sauf cas très encadrés comme l’intérêt légitime en B2B avec information préalable. En B2C, l’envoi commercial sans consentement explicite constitue une infraction aux règles de prospection fixées par la CNIL.

Que dit l’article 34 du RGPD ?

Le RGPD impose la communication d’une violation de données à la personne concernée lorsqu’elle présente un risque élevé pour ses droits, un sujet distinct de la prospection mais qui rappelle l’obligation générale de sécuriser les données collectées.