RGPD et marketing par e-mail : consentement bien fait

RGPD et marketing par e-mail : ce que la loi exige

Selon le RGPD, vous pouvez envoyer des e-mails marketing aux résidents de l'UE si vous avez une base légale — le plus souvent un consentement explicite. Le consentement doit être donné librement, spécifique, informé et sans ambiguïté, et vous devez documenter qu'il a eu lieu. Voici les pratiques : bases, double opt-in, enregistrements, désinscription et conservation.

Bases légales

Pour le marketing par e-mail, deux bases de l'Article 6 sont courantes :

• Consentement. Le chemin par défaut pour les listes froides et B2C. Cela nécessite une action active de l'utilisateur.
• Intérêt légitime. Parfois valide pour les clients existants (un "soft opt-in"), mais cela nécessite un test d'équilibre et toujours une désinscription facile.

Les cases pré-cochées et le "consentement par défaut" ne sont pas autorisés : le consentement est une action affirmative.

Double opt-in : comment ça fonctionne

Le double opt-in confirme un abonnement via un lien dans un e-mail. C'est le meilleur moyen de prouver le consentement et, en même temps, de nettoyer votre liste des adresses mal saisies ou de tiers.

1. L'utilisateur soumet un e-mail dans un formulaire (première étape, opt-in).
2. Vous envoyez un e-mail avec un lien de confirmation.
3. Cliquer sur le lien enregistre le consentement : heure, IP, texte du formulaire.

Vous pouvez gérer le flux de confirmation via l'API et les webhooks de YourTrend afin que le statut de l'abonné se mette à jour automatiquement.

Ce qu'il faut conserver comme preuve de consentement

Vous devriez être en mesure de récupérer cet enregistrement pour n'importe quelle adresse — au cas où un utilisateur ou un régulateur le demanderait.

Désinscription

La désinscription doit être simple et fonctionner en un clic, sans connexion. Techniquement, ajoutez l'en-tête pour les fournisseurs de boîtes aux lettres :

Liste de désinscription : <https://example.com/u/abc123>, <mailto:unsub@example.com>
Liste de désinscription par poste : Liste-Désinscription=Un-Clic

Depuis 2024, Gmail et Yahoo exigent une désinscription en un clic pour les expéditeurs en masse et s'attendent à ce que la demande soit honorée dans les deux jours. Traitez les désinscriptions dans ce délai et n'envoyez jamais un e-mail "s'il vous plaît, revenez" sans nouveau consentement.

Traitement et conservation des données

• Minimisation. Ne collectez que les champs dont vous avez besoin. Des données supplémentaires représentent un risque supplémentaire.
• Accord de traitement des données (DPA). Votre ESP agit en tant que processeur — vous avez besoin d'un accord de traitement des données.
• Conservation. Ne conservez pas les adresses indéfiniment : retirez les contacts inactifs et désinscrits selon la politique (par exemple, déplacez les désinscriptions directement vers une liste de suppression, pas vers la base principale).
• Droits des personnes concernées. Fournissez l'accès, la correction et l'effacement sur demande.

Pour des scénarios sensibles, le mail sécurisé à accès zéro aide : l'opérateur ne peut pas lire le contenu du message.

Profilage et segmentation

La segmentation comportementale (ouvertures, clics, achats) est légale, mais le profilage automatisé avec des effets significatifs sur une personne nécessite une attention et une transparence supplémentaires. Indiquez clairement dans votre politique de confidentialité quelles données vous collectez et comment vous les utilisez pour la personnalisation. Plus le libellé est clair, moins le risque de plaintes et de réclamations est élevé.

Transferts de données transfrontaliers

Si les données des résidents de l'UE sont traitées en dehors de l'EEE, vous avez besoin d'un mécanisme de transfert légal — par exemple, des Clauses Contractuelles Types (CCT) ou une décision d'adéquation. Demandez à votre ESP où les données sont physiquement stockées et quelles garanties elle fournit. Cela fait partie de la diligence raisonnable lors du choix d'un service de messagerie.

Violations courantes

• listes achetées et envois à froid sans base ;
• cases de consentement pré-cochées ;
• un désabonnement manquant ou obstrué ;
• conserver les données "pour toujours" sans limite de conservation ;
• regroupement des finalités : le consentement à un service n'est pas un consentement au marketing.

Les amendes du RGPD peuvent atteindre jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel, mais en pratique, l'hygiène des données systématique est plus importante — et elle améliore également la délivrabilité, car une liste propre génère moins de plaintes et de désabonnements.

FAQ rapide

La loi exige-t-elle un double opt-in ? Le RGPD ne l'impose pas directement, mais c'est le moyen le plus fiable de prouver le consentement, donc il est recommandé.

Puis-je envoyer des e-mails à des clients existants ? Parfois — sur la base d'un intérêt légitime (soft opt-in) pour des produits similaires, toujours avec un désabonnement facile et un test d'équilibre.

Combien de temps dois-je conserver le consentement ? Tant que l'abonnement est actif plus une période raisonnable après le désabonnement comme preuve — mais pas indéfiniment.

Comment commencer la mise en œuvre

Commencez par un audit des formulaires et des points de collecte actuels : où exactement une personne donne son consentement et ce qu'elle voit à ce moment-là. Ensuite, documentez les finalités de traitement et les périodes de conservation pour chaque type de données. Mettez à jour la politique de confidentialité en langage clair et mettez en place un double opt-in avec journalisation des preuves. Enfin, testez le désabonnement de bout en bout — du clic à la suppression effective de la liste. Cet ordre couvre les exigences essentielles avant d'envoyer le premier e-mail.

Liste de contrôle

1. Consentement actif et spécifique sans cases pré-cochées.
2. Double opt-in et preuves stockées.
3. Désabonnement en un clic et en-tête List-Unsubscribe.
4. Un DPA avec votre ESP et des périodes de conservation raisonnables.
5. Préparation à gérer les demandes des personnes concernées.

Ce n'est pas un avis juridique — impliquez un avocat pour vos spécificités. Mais répondre à ces points couvre la plupart des risques courants du RGPD. Commencez par le formulaire et la configuration de confirmation sur la page caractéristiques.