Newsletter et RGPD : consentement, opposition et conformité

Sommaire

Ce que le RGPD impose à une newsletter d'entreprise

Consentement ou intérêt légitime : quelle base légale

Prospection B2B et B2C : deux régimes distincts

Mentions d'information obligatoires dans le formulaire

Désinscription et droit d'opposition : obligations pratiques

Durée de conservation et preuve du consentement

Sanctions encourues et points de vigilance

FAQ

Pour aller plus loin

Envoyer une newsletter semble anodin. Pourtant, chaque adresse e-mail collectée déclenche les obligations du RGPD dès qu'elle permet d'identifier une personne physique. Pour un DSI, le risque ne se limite pas à l'amende : une base de contacts mal qualifiée compromet la délivrabilité, la réputation du domaine et la confiance des destinataires.

Ce que le RGPD impose à une newsletter d'entreprise

Une newsletter d'entreprise repose sur la collecte et le traitement d'adresses e-mail. Dès lors que ces adresses identifient directement ou indirectement une personne physique (prénom.nom@entreprise.fr, par exemple), le RGPD s'applique. L'entreprise émettrice est responsable de traitement au sens de l'article 4 du règlement.

Trois obligations structurantes en découlent. D'abord, le traitement doit reposer sur une base légale valide parmi celles listées à l'article 6 du RGPD. Ensuite, le responsable de traitement doit informer la personne concernée au moment de la collecte. Enfin, il doit garantir l'exercice effectif des droits — accès, rectification, opposition, effacement.

Le principe de minimisation (article 5.1.c) impose de ne collecter que les données strictement nécessaires. Si la newsletter ne requiert qu'une adresse e-mail, demander le numéro de téléphone, la date de naissance ou l'adresse postale est disproportionné et non conforme.

Consentement ou intérêt légitime : quelle base légale

Le choix de la base légale dépend du profil du destinataire et du contexte de la collecte. Deux fondements sont pertinents pour une newsletter : le consentement (article 6.1.a) et l'intérêt légitime (article 6.1.f).

Le consentement doit être libre, spécifique, éclairé et univoque (article 4.11). Concrètement, cela signifie une case à cocher non pré-cochée, un texte clair décrivant la finalité, et l'absence de toute condition qui forcerait l'acceptation (par exemple, conditionner l'accès à un livre blanc à l'inscription newsletter).

L'intérêt légitime, en revanche, dispense du recueil préalable du consentement. Il suppose toutefois une analyse de proportionnalité documentée : l'intérêt de l'entreprise ne doit pas primer sur les droits de la personne concernée. En pratique, cette base légale est réservée à la prospection B2B dans les conditions décrites ci-dessous.

La conformité RGPD d'une newsletter repose sur des choix techniques et juridiques interdépendants.
Faites le point avec un avocat spécialisé en protection des données

Prospection B2B et B2C : deux régimes distincts

L'article L.34-5 du Code des postes et des communications électroniques pose le principe de l'opt-in pour toute prospection électronique adressée à des personnes physiques. Ce régime s'applique pleinement en B2C : sans consentement préalable, l'envoi est illicite.

En B2B, une exception existe. Le consentement n'est pas exigé lorsque le message est adressé à une personne physique au titre de sa fonction dans un organisme, et que le contenu est en rapport avec son activité professionnelle. Dans ce cas, la base légale est l'intérêt légitime. Deux conditions cumulatives s'imposent : un droit d'opposition offert dès la collecte, et un lien de désinscription dans chaque envoi.

Les adresses génériques (contact@, info@) ne constituent pas des données personnelles au sens strict. Elles échappent donc au régime du consentement et au RGPD, bien que les règles anti-spam restent applicables.

Cas fréquent : la base mixte B2B/B2C

De nombreuses entreprises gèrent une base de contacts mêlant particuliers et professionnels. Le DSI doit s'assurer que le système d'information segmente ces populations et applique la base légale correspondante à chaque catégorie. Un envoi unique sans distinction expose l'entreprise à un défaut de base légale pour l'ensemble du segment B2C.

Mentions d'information obligatoires dans le formulaire

Les articles 12 à 14 du RGPD imposent une information claire et accessible au moment de la collecte. Le formulaire d'inscription à la newsletter doit contenir, au minimum, les éléments suivants :

• Identité du responsable de traitement : raison sociale, adresse du siège.
• Finalité du traitement : envoi d'une newsletter sur tel sujet, à telle fréquence.
• Base légale : consentement ou intérêt légitime selon le cas.
• Destinataires : mention du prestataire d'envoi (Mailchimp, Brevo, etc.) et de tout sous-traitant accédant aux données.
• Durée de conservation : période pendant laquelle l'adresse est conservée.
• Droits des personnes : accès, rectification, effacement, opposition, portabilité, réclamation auprès de la CNIL.
• Coordonnées du DPO (si désigné) ou du contact dédié.

Ces mentions peuvent figurer directement sous le formulaire ou via un lien vers une page dédiée, à condition que l'accès soit immédiat et ne nécessite aucune action supplémentaire.

Un formulaire conforme protège l'entreprise autant qu'il informe le destinataire.
Consultez un avocat en protection des données pour auditer vos formulaires

Désinscription et droit d'opposition : obligations pratiques

L'article 21 du RGPD garantit à toute personne le droit de s'opposer au traitement de ses données à des fins de prospection. Pour une newsletter, cette obligation se traduit par 3 exigences opérationnelles.

1. Un lien de désinscription dans chaque e-mail. Le lien doit être visible, fonctionnel et gratuit. Un clic suffit : exiger une connexion, un formulaire ou un e-mail de confirmation est contraire au principe de facilité d'exercice des droits.

2. Un traitement effectif sous un délai raisonnable. La CNIL recommande un traitement immédiat ou, au plus tard, sous quelques jours. Techniquement, la suppression de la liste d'envoi doit être automatisée dans l'outil de routage.

3. Une liste repoussoir permanente. L'adresse désabonnée ne doit pas être purement supprimée, car elle risquerait d'être réimportée lors d'un prochain chargement de base. L'entreprise doit maintenir une liste d'opposition (dite liste repoussoir) qui bloque tout envoi futur à ces adresses. Cette liste constitue elle-même un traitement de données, conservé aussi longtemps que l'activité de prospection perdure.

Durée de conservation et preuve du consentement

Le RGPD ne fixe pas de durée de conservation unique pour les données de prospection. La CNIL recommande toutefois de considérer qu'un contact inactif depuis 3 ans (aucune ouverture, aucun clic) ne justifie plus la conservation de ses données. Ce délai court à compter du dernier contact actif.

L'article 7.1 du RGPD impose au responsable de traitement de prouver le consentement lorsqu'il constitue la base légale. Cette preuve doit être conservée pendant toute la durée du traitement et au-delà, en cas de contrôle. Les éléments à journaliser sont :

• La date et l'heure de l'inscription.
• L'adresse IP ou l'identifiant de session.
• La version du formulaire présenté (texte des mentions, emplacement de la case).
• Le contenu exact du consentement donné (finalités acceptées).

Un mécanisme de double opt-in (e-mail de confirmation après inscription) renforce la valeur probante du consentement sans être juridiquement obligatoire. Il constitue néanmoins une bonne pratique technique que le DSI peut implémenter dans la plupart des outils de routage.

La preuve du consentement est un enjeu technique autant que juridique : journalisation, horodatage et archivage doivent être intégrés dès la conception.
Structurez votre conformité avec un avocat en protection des données

Sanctions encourues et points de vigilance

Le RGPD prévoit des sanctions administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Ces plafonds s'appliquent aux manquements les plus graves, notamment l'absence de base légale ou le non-respect des droits des personnes.

En parallèle, l'article L.34-5 du Code des postes et des communications électroniques relève du pouvoir de sanction de la CNIL et peut donner lieu à des amendes distinctes.

Points de vigilance pour le DSI

• Audit de la base existante : vérifier que chaque contact dispose d'une base légale documentée. Les contacts importés sans traçabilité doivent être requalifiés ou supprimés.
• Sous-traitants : le prestataire de routage (ESP) est sous-traitant au sens de l'article 28 du RGPD. Un contrat de sous-traitance conforme doit être signé, incluant les clauses relatives aux transferts hors UE le cas échéant.
• Transferts internationaux : si l'outil de routage héberge les données hors de l'Espace économique européen, des garanties appropriées (clauses contractuelles types, décision d'adéquation) sont requises.
• Documentation interne : inscrire le traitement « newsletter » dans le registre des activités de traitement (article 30 du RGPD) avec la base légale, les catégories de données, les destinataires et la durée de conservation.

FAQ

Une case pré-cochée vaut-elle consentement au sens du RGPD ?

Non. Le consentement doit résulter d'un acte positif et univoque. Une case pré-cochée ne satisfait pas cette exigence. La Cour de justice de l'Union européenne l'a confirmé : seule une action volontaire du destinataire (cocher lui-même la case) constitue un consentement valide.

Faut-il un consentement pour envoyer une newsletter à des adresses professionnelles ?

Pas systématiquement. Si le message est adressé à une personne physique au titre de sa fonction et porte sur un sujet lié à son activité professionnelle, l'intérêt légitime peut servir de base légale. Un droit d'opposition doit toutefois être proposé dès la collecte et dans chaque envoi.

Combien de temps peut-on conserver une adresse e-mail collectée pour une newsletter ?

Le RGPD ne fixe pas de durée précise. La CNIL recommande de supprimer ou anonymiser les données d'un contact inactif depuis 3 ans. L'entreprise doit définir et documenter sa propre politique de conservation, proportionnée à la finalité du traitement.

Le double opt-in est-il obligatoire ?

Non, le double opt-in n'est pas une obligation légale. Il constitue cependant une bonne pratique car il renforce la preuve du consentement et améliore la qualité de la base de contacts en éliminant les adresses erronées ou frauduleuses.

Que risque une entreprise qui envoie des newsletters sans base légale valable ?

Elle s'expose à une sanction administrative pouvant atteindre 20 millions d'euros ou 4 % de son chiffre d'affaires annuel mondial. Au-delà de l'amende, la CNIL peut ordonner la suppression de la base de contacts, ce qui neutralise l'ensemble de la stratégie de prospection.

Pour aller plus loin

La prospection commerciale par courrier électronique, SMS-MMS et automate d'appel - CNIL

Communications par voie électronique aux prospects et clients : quelles règles respecter ? - CNIL

Les règles d'or de la prospection par courrier électronique - CNIL

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin — qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire — de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.