Constituer une base email légalement suppose, en France, de recueillir le consentement préalable du destinataire pour toute prospection adressée à une personne physique, puis de conserver la preuve de ce consentement aussi longtemps que l’adresse figure dans le fichier. C’est l’article L34-5 du Code des postes et des communications électroniques qui fixe cette obligation, complétée depuis 2018 par le règlement général sur la protection des données (RGPD).
Sans cette double exigence (consentement et preuve), une base d’adresses expose l’expéditeur à une amende administrative pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé, d’après l’article 83 du RGPD publié par la CNIL.
Sommaire
- Le RGPD impose le consentement explicite en B2C
- B2B : l’intérêt légitime remplace l’opt-in sous conditions précises
- Trois preuves à conserver pour chaque adresse collectée
- Est-il légal d’utiliser une adresse mail sans autorisation ?
- La règle des 3 emails : ce que recouvre cette pratique
- Quelle valeur juridique pour un email en cas de litige ?
Le RGPD impose le consentement explicite en B2C
Quelles sont les règles du RGPD concernant l’adresse mail ? Le principe est l’opt-in : avant d’envoyer un email commercial à un particulier, l’expéditeur doit avoir obtenu un accord libre, spécifique, éclairé et univoque, selon les termes de l’article 4 du RGPD. Un formulaire pré-coché ne constitue pas un consentement valable. La Cour de justice de l’Union européenne l’a confirmé dans l’arrêt Planet49 (affaire C-673/17, octobre 2019).
Concrètement, la case à cocher doit être vide par défaut, accompagnée d’un texte qui précise l’identité du responsable de traitement et la finalité de la collecte. L’internaute coche, puis valide : c’est le mécanisme dit de « simple opt-in ». Le double opt-in (un email de confirmation avec un lien cliquable) n’est pas imposé par la loi française, mais il fournit une preuve bien plus solide en cas de contrôle.
Il existe une exception : un client qui a déjà acheté un produit ou un service peut recevoir des emails portant sur des produits ou services analogues, à condition qu’il ait été informé au moment de la collecte et qu’un lien de désinscription figure dans chaque message. C’est ce que la CNIL appelle la « prospection pour produits et services analogues ».
Voir aussi Quels réseaux sociaux pour une entreprise : arrêter d’être partout
B2B : l’intérêt légitime remplace l’opt-in sous conditions précises
En prospection entre professionnels, la règle change. L’opt-in préalable n’est pas requis pour les messages envoyés à une adresse professionnelle (type [email protected]), à condition que le contenu soit en rapport avec la fonction du destinataire. Un directeur commercial peut donc recevoir un email présentant un logiciel de CRM sans avoir coché de case au préalable.
Deux obligations subsistent malgré tout :
- informer le destinataire, dès le premier envoi, de l’identité de l’annonceur et de son droit d’opposition ;
- proposer un mécanisme de désinscription fonctionnel dans chaque message.
Acheter un fichier d’adresses B2B auprès d’un prestataire n’exonère pas de ces obligations. Le responsable de traitement (celui qui envoie les emails) reste juridiquement responsable de la conformité du fichier. Si le fournisseur a collecté les adresses sans base légale, c’est l’acheteur qui s’expose à la sanction.
(On voit parfois des fichiers vendus « prêts à l’emploi, 100 % RGPD » pour quelques centaines d’euros, sans qu’aucun contrat de sous-traitance au sens de l’article 28 du RGPD ne soit fourni.)
Trois preuves à conserver pour chaque adresse collectée
Recueillir le consentement ne suffit pas. Encore faut-il pouvoir le démontrer le jour où la CNIL ou un particulier le demande. Voici les éléments à archiver pour chaque adresse :
| Élément de preuve | Ce qu’il contient | Durée de conservation recommandée |
|---|---|---|
| Horodatage de l’inscription | Date, heure, adresse IP, URL du formulaire | Toute la durée de présence dans la base |
| Copie du formulaire tel qu’affiché | Capture ou version archivée du texte de consentement, de la case à cocher et de la mention légale | Toute la durée de présence dans la base |
| Confirmation du double opt-in | Email envoyé, lien cliqué, horodatage du clic | Toute la durée de présence dans la base |
Le double opt-in génère automatiquement cette troisième preuve, ce qui explique pourquoi la plupart des plateformes d’emailing (Mailchimp, Brevo, Sendinblue) le proposent par défaut. L’outil enregistre le parcours complet : soumission du formulaire, envoi du mail de confirmation, clic sur le lien, activation de l’adresse.
Un point souvent négligé : quand le formulaire change (nouveau texte, nouvelle finalité, ajout d’un partenaire), les consentements déjà recueillis ne couvrent pas la nouvelle version. Il faut alors recueillir un nouveau consentement pour les contacts existants, ou segmenter la base pour n’envoyer la nouvelle finalité qu’aux nouveaux inscrits.
Plusieurs outils de suivi analytique comme GA4 permettent de vérifier le parcours d’inscription et d’identifier les formulaires qui génèrent le plus de contacts qualifiés.
Est-il légal d’utiliser une adresse mail sans autorisation ?
Non, sauf dans le cadre B2B décrit plus haut ou dans le cas de la prospection pour produits analogues après un achat. En dehors de ces deux exceptions, envoyer un email commercial à une personne physique qui n’a pas donné son accord constitue une infraction aux dispositions de l’article L34-5 du Code des postes et des communications électroniques.
La CNIL peut prononcer une mise en demeure, puis une amende. Les plaintes de particuliers représentent d’ailleurs l’un des principaux déclencheurs de contrôle : un simple signalement via le formulaire en ligne de la CNIL peut suffire à ouvrir une procédure.
Le scraping d’adresses email sur des sites web ou des réseaux sociaux pose un problème supplémentaire. Au-delà du RGPD, cette pratique peut violer les conditions générales d’utilisation des plateformes concernées et, dans certains cas, tomber sous le coup de l’article 323-1 du Code pénal (accès frauduleux à un système automatisé de données). La frontière entre collecte d’adresses publiquement accessibles et extraction automatisée non autorisée reste fine, et la jurisprudence tend à se durcir.
Voir aussi SEO ou Google Ads : le calcul de rentabilité sur 12 mois
La règle des 3 emails : ce que recouvre cette pratique
Quelle est la règle des 3 emails ? Cette expression ne désigne pas un texte de loi. Elle circule dans les milieux commerciaux B2B pour décrire une séquence de prospection à froid : un premier email de prise de contact, une relance quelques jours plus tard, puis un dernier message de « rupture » qui annonce la fin de la séquence si le destinataire ne répond pas.
Rien dans le RGPD ni dans la directive ePrivacy ne fixe un nombre maximal d’emails autorisés. La limite est celle du droit d’opposition : dès que le destinataire demande à ne plus être contacté (ou clique sur le lien de désinscription), tout envoi supplémentaire devient illicite. Trois emails, dix ou un seul, le curseur n’est pas quantitatif.
En pratique, limiter la séquence à deux ou trois messages relève du bon sens commercial plus que d’une obligation juridique. Au-delà, le taux de plainte pour spam augmente, ce qui dégrade la réputation de l’adresse d’expédition et réduit la délivrabilité. Pour maintenir un bon taux d’ouverture, mieux vaut cesser d’écrire à quelqu’un qui ne répond pas.
Quelle valeur juridique pour un email en cas de litige ?
Un email constitue un écrit électronique au sens de l’article 1366 du Code civil, qui dispose que « l’écrit électronique a la même force probante que l’écrit sur support papier » à condition que son auteur puisse être identifié et que le document ait été établi et conservé dans des conditions de nature à en garantir l’intégrité.
Dans le contexte de la constitution d’une base email, cette valeur juridique joue dans les deux sens. L’email de confirmation du double opt-in prouve le consentement du contact. Inversement, un email de désinscription envoyé par un contact prouve l’exercice de son droit d’opposition, et tout envoi postérieur pourra être retenu contre l’expéditeur.
Pour qu’un email ait une force probante maximale, il est recommandé de conserver les en-têtes techniques (headers) du message, qui contiennent l’adresse IP d’envoi, les serveurs traversés et l’horodatage. Ces métadonnées permettent à un expert ou à un juge de vérifier l’authenticité du message.
À retenir
- En B2C, chaque adresse nécessite un consentement préalable (opt-in), sauf pour la prospection de produits analogues après achat.
- En B2B, l’opt-in n’est pas requis si le message est en rapport avec la fonction du destinataire, mais le droit d’opposition reste obligatoire.
- Conserver trois preuves par adresse : horodatage, copie du formulaire, confirmation du double opt-in.
- Ne jamais acheter un fichier sans vérifier la base légale de collecte et sans contrat de sous-traitance au sens de l’article 28 du RGPD.
- Un email de consentement ou de désinscription a la même valeur juridique qu’un écrit papier, à condition d’en préserver l’intégrité technique.
Questions fréquentes
Quelles sont les règles du RGPD concernant l’adresse mail ?
Le RGPD impose que toute collecte d’adresse email repose sur une base légale (consentement, intérêt légitime ou exécution d’un contrat). Pour la prospection B2C, le consentement explicite est requis. Le responsable de traitement doit informer la personne de la finalité, de la durée de conservation et de ses droits (accès, rectification, suppression, opposition). Chaque email commercial doit contenir un lien de désinscription fonctionnel.
Est-il légal d’utiliser une adresse mail sans autorisation ?
Non, en prospection B2C. L’envoi d’un email commercial à un particulier sans son accord préalable enfreint l’article L34-5 du Code des postes et des communications électroniques. En B2B, l’opt-in n’est pas exigé si le message concerne la fonction professionnelle du destinataire, mais le droit d’opposition doit toujours être respecté.
Quelle est la valeur juridique d’un email ?
L’article 1366 du Code civil accorde à l’écrit électronique la même force probante que l’écrit papier, sous réserve que l’auteur soit identifiable et que l’intégrité du document soit garantie. Un email de consentement ou de désinscription peut donc servir de preuve dans un litige lié à une base de données.
Quelle est la règle des 3 emails ?
Cette expression désigne une pratique commerciale, pas une règle juridique. Elle consiste à envoyer trois messages de prospection (contact, relance, message de clôture) avant de cesser les envois. Le RGPD ne fixe aucun plafond quantitatif : c’est le respect du droit d’opposition qui fait foi, pas le nombre de messages envoyés.
La qualité d’une base email se construit dans la durée. Les contacts obtenus par un formulaire conforme et un double opt-in présentent des taux d’engagement supérieurs à ceux d’un fichier acheté, ce qui se répercute directement sur la conversion en bout de chaîne. Avant de lancer une première campagne, vérifier la conformité du fichier évite des mois de procédure avec la CNIL. Et pour s’assurer que les données structurées du formulaire d’inscription sont correctement balisées, un audit technique reste la démarche la plus fiable. Une base propre, documentée et consentie reste le seul actif marketing que personne ne peut contester.
Thomas Lefèvre est développeur freelance full-stack à Paris depuis 2015, spécialisé WordPress sur mesure, no-code et SEO technique. Sur Synergie.Web il documente les outils testés sur de vrais projets, sans partenariat commercial.
Sources
À lire aussi
Google Ads : à partir de quel budget ça devient exploitable pour une PME
Un budget Google Ads devient exploitable pour une PME à partir de 300 à 500 euros par mois en dépense média,…
Taux d’ouverture d’une newsletter : objet, expéditeur et heure d’envoi
Le taux d'ouverture d'une newsletter se calcule en divisant le nombre d'emails ouverts par le nombre d'emails…
Frais de port : offerts, forfaitaires ou au poids, ce qui convertit le mieux
La livraison gratuite fait acheter, mais elle ne fait pas forcément gagner de l'argent. Selon une étude…
Moyens de paiement en ligne : commissions et impact sur la conversion
Le choix des moyens de paiement sur un site e-commerce détermine à la fois le coût de chaque transaction et…
Abandon de panier : les cinq causes principales et leurs correctifs
L'abandon de panier désigne le moment où un visiteur ajoute un produit à son panier sans finaliser la…
Fiche produit : la structure qui répond aux objections dans l’ordre
Une fiche produit qui convertit ne se contente pas de décrire un article : elle anticipe chaque doute du…
