RGPD et emailing : le consentement qui protège
Beaucoup d'e-commerçants abordent le RGPD comme une contrainte à subir : une case à cocher de plus, un bandeau qui ralentit le tunnel d'inscription, une ligne de mentions légales en bas de formulaire. Cette lecture passe à côté de l'essentiel. Le consentement que vous collectez n'est pas qu'une formalité juridique, c'est la matière première de votre liste email. Une adresse obtenue proprement appartient à quelqu'un qui a réellement choisi de vous entendre, et ce choix se retrouve directement dans vos taux d'ouverture, vos ventes et la santé de votre réputation d'expéditeur.
Le vrai sujet, pour un e-commerce qui vit de son email, n'est donc pas de savoir si vous devez vous conformer au RGPD, la question ne se pose pas. Il s'agit de comprendre ce que le règlement exige concrètement pour le consentement, et pourquoi une base construite dans ces règles finit par surperformer une liste plus grosse mais bâtie sur des raccourcis. Cet article pose les bases du consentement email sans prétendre remplacer un avis juridique : pour toute question précise sur votre situation, la CNIL reste la référence à consulter.
Ce que le RGPD exige réellement d'un consentement email
Le règlement ne dit pas comment concevoir votre formulaire d'inscription, il fixe des conditions sur la nature du consentement recueilli. Trois notions reviennent sans cesse dans les textes et les recommandations de la CNIL : le consentement doit être libre, éclairé et spécifique. Ces trois mots ne relèvent pas de la sémantique juridique, ils déterminent directement la validité de chaque adresse dans votre liste.
Un consentement libre, éclairé et spécifique
Libre signifie que la personne doit pouvoir dire non sans en subir de conséquence : vous ne pouvez pas conditionner l'accès à un code de réduction ou la finalisation d'une commande à une inscription obligatoire à la newsletter. Éclairé signifie que la personne sait précisément ce à quoi elle consent au moment où elle coche la case, à savoir qui envoie les emails, à quelle fréquence approximative et dans quel but. Spécifique signifie qu'une case correspond à une seule finalité : mélanger dans une même case l'inscription à la newsletter, le partage de données avec des partenaires commerciaux et la réception de SMS produit un consentement qui ne vaut, en réalité, pour aucune de ces trois finalités prises séparément.
Consentement ou intérêt légitime : la base légale qui change tout
Le consentement n'est pas la seule base légale qui autorise l'emailing, mais c'est la plus sûre pour prospecter de nouveaux contacts. Pour vos clients déjà existants, une exception encadrée permet de leur envoyer des offres sur des produits ou services analogues à ceux déjà achetés, sans nouveau consentement explicite, à condition d'avoir proposé de s'y opposer dès la collecte de l'adresse et de garder ce droit d'opposition simple à chaque envoi. Cette base, l'intérêt légitime, a un périmètre étroit et ne remplace jamais le consentement pour une liste de prospects. Confondre les deux est une erreur fréquente qui mérite d'être vérifiée avec précision pour votre propre situation.
Opt-in simple ou double opt-in : lequel choisir
L'opt-in simple, une case à cocher explicite au moment de l'inscription, suffit dans de nombreux cas si les trois conditions précédentes sont respectées. Le double opt-in ajoute une étape : un email de confirmation envoyé après l'inscription, que la personne doit valider avant d'entrer réellement dans votre liste active. Le règlement n'impose pas cette étape supplémentaire, mais elle change la qualité de ce que vous récoltez.
Le double opt-in prend tout son sens quand la source d'inscription est sujette à des adresses fictives ou mal saisies : formulaires liés à des publicités payantes, jeux concours, contenus promus largement. Il filtre en amont les adresses invalides avant qu'elles ne polluent vos statistiques d'envoi et n'abîment votre réputation d'expéditeur. Sur un formulaire de commande ou une inscription directe sur votre site, où l'intention est plus qualifiée, l'opt-in simple bien conçu reste souvent suffisant. Le choix relève donc davantage d'une décision de qualité de liste que d'une obligation légale au sens strict.
La preuve du consentement : ce que vous devez pouvoir montrer
La charge de la preuve du consentement vous revient, pas à la personne qui s'est inscrite. En cas de réclamation ou de contrôle, vous devez pouvoir démontrer que l'inscription a bien eu lieu et dans quelles conditions. Cela suppose de conserver la date et l'heure de l'inscription, la source exacte du formulaire, une fenêtre pop-up, le pied de page du site ou le tunnel de commande, et surtout le texte affiché à ce moment précis, car un formulaire évolue avec le temps et le texte d'aujourd'hui ne prouve rien sur un consentement recueilli deux ans plus tôt.
La plupart des plateformes d'emailing horodatent automatiquement chaque inscription et associent la source du formulaire au profil, ce qui couvre une bonne partie du besoin. Ce que ces outils ne conservent pas toujours, c'est une version archivée du texte exact présenté au moment de l'inscription. Gardez donc une trace de vos formulaires à chaque modification importante, car c'est la pièce qui manque le plus souvent le jour où elle devient nécessaire.
Pourquoi une liste propre délivre mieux et vend plus
C'est ici que le RGPD cesse d'être une contrainte pour devenir un allié. Une liste achetée, louée ou construite avec des cases pré-cochées gonfle un chiffre en apparence, le nombre d'abonnés, mais n'ajoute aucune intention réelle. Les personnes qui la composent n'ont jamais demandé à vous entendre : elles ouvrent peu, achètent rarement, et une partie non négligeable signale vos emails comme indésirables dès le premier envoi. Les messageries lisent ce signal et l'appliquent à l'ensemble de votre trafic, y compris vers les abonnés qui, eux, tiennent réellement à vos emails.
Une liste construite sur un vrai opt-in fonctionne à l'inverse. Chaque adresse appartient à quelqu'un qui a fait un geste actif pour vous rejoindre, souvent en connaissance de ce qu'il allait recevoir. Cette intention initiale se retrouve mécaniquement dans le comportement : taux d'ouverture plus élevés, moins de plaintes et, surtout, davantage de ventes rapportées à chaque email envoyé. Vous n'avez pas besoin d'une liste deux fois plus grande si la moitié n'a jamais voulu y être : une base plus petite mais réellement consentie délivre mieux, protège votre réputation d'expéditeur et convertit davantage. La conformité et la performance ne sont pas deux sujets séparés, la seconde découle directement de la première.
Le droit de retrait facile : un désabonnement simple protège votre liste
Le RGPD exige que le retrait du consentement soit aussi simple que son obtention. Concrètement, cela veut dire un lien de désabonnement visible dans chaque email, qui fonctionne en un clic, sans obliger la personne à se connecter à un compte, à répondre à un email ou à remplir un formulaire à rallonge. Cette exigence légale sert en réalité votre intérêt.
Une personne qui ne trouve pas comment se désabonner facilement ne renonce pas à agir, elle change simplement de méthode : elle marque votre email comme indésirable. Ce signal pèse beaucoup plus lourd sur votre délivrabilité qu'un désabonnement propre, car les messageries l'interprètent comme un rejet actif de votre expéditeur et non comme un simple départ. En facilitant le retrait, vous perdez un abonné qui ne comptait de toute façon plus, et vous évitez un signal négatif qui aurait pu affecter la délivrabilité de tous les autres.
Un exemple concret : deux listes, deux résultats
Prenez deux boutiques en ligne de taille comparable, autour de 4 millions d'euros de chiffre d'affaires annuel. La première a longtemps acheté des accès à des bases externes et utilisé une case pré-cochée sur son formulaire d'inscription pour gonfler rapidement ses effectifs. Sa liste affiche 60 000 contacts, mais son taux d'ouverture moyen plafonne sous les 15 % et une part croissante de ses envois atterrit directement dans les spams.
La seconde a construit sa liste uniquement par opt-in explicite, avec un double opt-in sur les inscriptions issues de ses publicités. Sa liste ne compte que 22 000 contacts, presque trois fois moins. Pourtant, son taux d'ouverture dépasse 40 % et le chiffre d'affaires généré par email, rapporté au nombre d'abonnés, est nettement supérieur à celui de la première boutique. La différence ne vient pas d'un meilleur objet ou d'un design plus soigné, elle vient d'une liste composée de personnes qui ont réellement choisi d'y être.
Ce qu'il faut retenir
- Le consentement doit être libre, éclairé et spécifique : une case qui mélange plusieurs finalités ne vaut, en réalité, pour aucune d'entre elles.
- Une case pré-cochée n'est jamais un consentement valable : elle expose juridiquement et abîme la qualité de votre liste.
- Le double opt-in n'est pas obligatoire mais protège votre délivrabilité : utile surtout sur les sources d'inscription les plus exposées aux adresses invalides.
- La preuve du consentement vous appartient : conservez la date, la source et le texte exact affiché au moment de l'inscription.
- Une liste consentie délivre mieux et vend plus : la conformité n'est pas un frein à la performance, elle en est la condition.
- Le désabonnement doit rester simple : un retrait facile évite les signalements en spam, bien plus coûteux pour votre réputation d'expéditeur.
- Vérifiez votre situation précise auprès de la CNIL : cet article pose des principes généraux, pas un avis juridique personnalisé.
Pour aller plus loin
Une liste propre ne suffit pas si l'infrastructure d'envoi n'est pas configurée correctement : voyez comment sécuriser votre délivrabilité avec SPF, DKIM et DMARC pour que vos emails consentis arrivent réellement en boîte de réception. Si vous voulez un diagnostic complet de votre dispositif, notre méthode d'audit emailing pour e-commerce passe en revue la qualité de votre liste au même titre que vos flux et vos campagnes. Pour toute question précise sur votre situation, la CNIL publie des recommandations détaillées sur le consentement et reste l'autorité de référence en France.
Questions fréquentes
Le RGPD n'impose pas un format écrit particulier, mais il exige que vous puissiez prouver que le consentement a été donné. Concrètement, une case à cocher explicite lors de l'inscription, horodatée et associée au texte exact affiché à ce moment, remplit cette exigence. Un consentement oral, recueilli par téléphone par exemple, pose un problème pratique : rien ne permet ensuite d'en apporter la preuve en cas de contrôle ou de réclamation. Pour l'emailing e-commerce, le formulaire en ligne reste donc la solution la plus sûre, à condition d'en conserver une trace exploitable.
Non, une case pré-cochée ne constitue pas un consentement valable au sens du RGPD, car le consentement doit résulter d'un acte positif et clair de la personne. Une case cochée par défaut ne prouve rien sur la volonté réelle du visiteur, elle capture simplement les personnes qui n'ont pas pris le temps de la décocher. Cette pratique expose votre entreprise à un risque de non-conformité et produit, en plus, une liste de mauvaise qualité : les adresses collectées ainsi ouvrent peu et se désabonnent ou signalent vos emails comme indésirables dès les premiers envois.
Non, le RGPD n'impose pas le double opt-in comme condition légale, un opt-in simple correctement formulé peut suffire selon la situation. Le double opt-in reste toutefois recommandé dans certains contextes, par exemple quand les inscriptions viennent de publicités payantes ou d'un formulaire où des adresses erronées ou fictives sont fréquentes. Il filtre les adresses invalides avant qu'elles n'entrent dans vos statistiques d'envoi, ce qui protège votre délivrabilité dès le départ. C'est donc davantage une décision de qualité de liste qu'une obligation légale au sens strict.
Il n'existe pas de durée unique fixée pour tous les cas, la bonne pratique est de conserver la preuve tant que vous continuez à utiliser l'adresse pour vos envois, puis un temps raisonnable après la fin de la relation. Cette preuve doit inclure la date de l'inscription, la source du formulaire et le texte exact présenté à ce moment-là, car un formulaire évolue avec le temps. En cas de doute sur votre situation précise, notamment sur les durées applicables à votre secteur, la CNIL publie des recommandations détaillées qu'il est utile de consulter directement.
Pour prospecter de nouveaux contacts, le consentement explicite reste la base légale attendue en emailing. Une exception existe pour vos clients déjà existants : vous pouvez leur adresser des offres sur des produits ou services analogues à ceux déjà achetés, sans nouveau consentement, à condition de leur avoir proposé de refuser dès la collecte initiale de leur adresse et de leur offrir un moyen simple de s'opposer à chaque envoi. Cette exception a un périmètre précis et ne s'applique pas à une liste de prospects. Avant de vous appuyer dessus, vérifiez votre situation auprès de la CNIL ou d'un conseil juridique, car les conditions exactes dépendent de votre cas.
Votre liste email respecte-t-elle vraiment le RGPD ?
On regarde avec vous comment vos adresses ont été collectées, ce que votre consentement peut prouver, et si la qualité de votre liste freine vos ventes plus qu'elle ne les sert.
Auditer votre liste emailing →