RGPD et emailing, en pratique
Ce que la loi demande vraiment quand on envoie des newsletters — sans jargon juridique.
8 minutes de lecture
Le RGPD fait peur parce qu'on le découvre par des articles alarmistes. En pratique, pour quelqu'un qui envoie des newsletters, il tient en cinq obligations concrètes. Les voici, avec ce qu'il faut faire pour chacune.
- 1
Obtenir un consentement, et le prouver
En B2C, il faut le consentement explicite de la personne avant tout envoi commercial. Une case pré-cochée ne vaut rien ; une adresse récupérée sur un site public non plus.
En B2B, le régime est plus souple : on peut écrire à une adresse professionnelle nominative si le message est en rapport avec la fonction de la personne. Le droit d'opposition reste entier.
Ce qui compte le jour d'un contrôle, c'est la preuve : date, heure et origine de chaque inscription. Un outil qui ne les conserve pas vous laisse sans défense.
- 2
Permettre la désinscription en un clic
Un lien visible dans chaque message, qui fonctionne immédiatement et sans demander de se connecter.
Gmail et Yahoo vont plus loin depuis 2024 : ils exigent un en-tête technique permettant de se désinscrire depuis leur propre interface, sans ouvrir le message.
- 3
Dire qui vous êtes
Votre identité et une adresse postale en pied de message. Ce n'est pas une exigence du RGPD à proprement parler mais des lois anti-spam — l'effet est le même, et son absence dégrade aussi la délivrabilité.
- 4
Répondre aux demandes d'accès et d'effacement
Toute personne peut demander ce que vous détenez sur elle, et son effacement. Vous avez un mois pour répondre.
Concrètement : savoir exporter les données d'un contact, et savoir le supprimer réellement — pas seulement le marquer désinscrit.
Attention : une personne effacée peut réapparaître par un réimport de fichier. C'est le rôle de la liste de suppression, qui doit survivre à l'effacement du contact.
- 5
Savoir où vivent les données
Le transfert vers les États-Unis reste juridiquement fragile malgré les accords successifs. Un hébergement européen évite entièrement la question.
Vous devez aussi tenir un registre des traitements et pouvoir nommer vos sous-traitants — dont votre outil d'emailing.
Ce que le RGPD ne demande PAS
La double confirmation d'inscription n'est pas obligatoire. Elle est fortement recommandée parce qu'elle constitue une excellente preuve, mais aucun texte ne l'impose.
Un délégué à la protection des données n'est pas obligatoire pour une petite structure qui envoie des newsletters.
Le consentement n'a pas de durée de validité légale. La CNIL recommande de réinterroger les contacts inactifs depuis trois ans — c'est une recommandation, pas une règle.
Ce guide donne des repères, pas un avis juridique : pour une situation particulière, consultez un professionnel.
Les mots de cette page