En bref
Pour envoyer des newsletters en règle en France, il vous faut cinq choses : le consentement préalable des particuliers (ou, pour vos clients, l’exception des produits et services analogues), la preuve de ce consentement, une information claire, un lien de désinscription dans chaque e-mail et un prestataire qui traite les données pour votre compte avec un contrat de sous-traitance (DPA), de préférence avec les données dans l’Union européenne. Voici chaque point, concrètement.
Quand faut-il le consentement
En France, la prospection par e-mail relève de deux textes : le RGPD, pour les données personnelles en général, et l’article L34-5 du Code des postes et des communications électroniques (CPCE), qui transpose la directive européenne ePrivacy. La règle de base, rappelée par la CNIL : pas de message commercial sans accord préalable du destinataire quand il s’agit d’un particulier.
Ce consentement n’est valable que s’il remplit quelques conditions :
- Il est libre : pas de case précochée, et pas de consentement imposé pour accéder à un service ou télécharger un cadeau.
- Il est spécifique : accepter la newsletter est distinct d’accepter les conditions générales de vente.
- Il est éclairé : vous dites qui vous êtes et ce que vous enverrez.
- C’est un acte positif : le silence ou l’inaction ne valent pas consentement.
- Une adresse trouvée sur Internet, sur un site, un annuaire ou un forum, ne vous autorise pas à écrire : la CNIL l’interdit expressément.
L’exception des produits analogues : écrire à vos clients
Il existe une exception utile pour les commerçants. Si une personne vous a donné son adresse à l’occasion d’un achat, vous pouvez lui envoyer sans consentement des offres pour des produits ou services analogues fournis par votre entreprise, à deux conditions :
- lors de la collecte, elle a pu s’y opposer simplement et gratuitement ;
- chaque message lui offre à nouveau un moyen simple de se désinscrire.
Cette exception ne couvre ni les adresses issues d’un jeu-concours, ni celles d’une carte de visite ou d’un fichier acheté, ni les offres de partenaires.
Écrire aux professionnels
En B2B, la règle est plus souple en France. Selon la CNIL, le consentement n’est pas nécessaire si le message concerne la profession du destinataire et si celui-ci a été informé et peut s’opposer gratuitement ; les adresses génériques (contact@, info@) n’en ont pas besoin non plus. Attention cependant : ailleurs en Europe, notamment en Allemagne et en Italie, le consentement reste généralement exigé même pour les adresses professionnelles. Si vous écrivez à plusieurs pays, le consentement est le choix le plus sûr.
Recueillir le consentement correctement
- Utilisez un formulaire clair : dites ce que vous enverrez et à quel rythme (« offres et nouveautés, une ou deux fois par mois »).
- Si le formulaire sert aussi à autre chose (une commande, une réservation), ajoutez une case non cochée réservée à la newsletter.
- Mettez un lien vers votre politique de confidentialité : qui traite les données, pourquoi et combien de temps.
- Activez le double opt-in : l’inscrit confirme d’un clic depuis sa boîte mail. La loi ne l’impose pas, mais c’est la preuve la plus solide.
- Ne demandez que l’essentiel : l’e-mail et le prénom suffisent presque toujours.
Prouver le consentement
Le RGPD (article 7) vous demande d’être en mesure de démontrer le consentement. Pas besoin de signature, mais vous devez pouvoir montrer qui a accepté, quand, comment et à quoi. Pour chaque contact, conservez :
- sa provenance (formulaire du site, boutique, import de fichier, caisse) ;
- la date et l’heure de l’inscription et de la confirmation ;
- le texte que la personne a vu en s’inscrivant ;
- pour les imports, l’origine de la liste et la façon dont le consentement a été recueilli.
Sur Spedito, ces données s’enregistrent toutes seules pour chaque contact : vous les trouvez en ouvrant sa fiche, à la rubrique consentement. Nous l’expliquons dans Consentement et RGPD.
Ce que doit contenir chaque e-mail
- Qui vous êtes : l’identité de l’annonceur, clairement indiquée comme expéditeur.
- Un lien de désinscription qui fonctionne en un clic. Gmail et Yahoo l’exigent aussi sous forme d’en-tête technique pour les gros expéditeurs, et veulent que la désinscription soit prise en compte sous deux jours.
- Des coordonnées de votre entreprise.
- Un contenu conforme à ce pour quoi la personne s’est inscrite.
Spedito ajoute automatiquement le lien de désinscription, y compris la désinscription en un clic depuis la boîte de réception, ainsi que votre adresse postale, dans la langue du destinataire. Une personne désinscrite ne reçoit plus rien, même si vous la réimportez par erreur.
Le prestataire : contrat de sous-traitance et lieu des données
La plateforme qui envoie vos newsletters traite les données de vos inscrits pour votre compte : au sens du RGPD, c’est un sous-traitant, et il vous faut un contrat écrit, le DPA (article 28). Vérifiez aussi où sont stockées les données : un transfert hors de l’Union européenne exige des garanties supplémentaires.
Avec Spedito, le DPA s’applique à chaque client et figure dans nos pages légales. Les données restent dans l’Union européenne : base de données à Francfort, envoi des e-mails depuis des serveurs en Irlande. La liste complète des prestataires est dans la politique de confidentialité.
Fichiers achetés, droits et sanctions
N’achetez pas de fichiers d’adresses. Le vendeur ne peut pas vous transmettre un consentement donné à lui, et ces fichiers sont pleins d’adresses abandonnées et de pièges à spam qui nuisent aussi à votre délivrabilité.
Les personnes ont le droit de savoir quelles données vous détenez, de les faire rectifier et de les faire effacer. Sur Spedito, depuis la fiche du contact, vous exportez ses données ou le supprimez définitivement en un clic.
Les amendes du RGPD (article 83) vont jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial, et la CNIL sanctionne régulièrement la prospection sans consentement. Pour une petite entreprise, le risque le plus immédiat reste les signalements de spam, qui envoient dans le mauvais dossier même les e-mails attendus par vos clients.
La checklist finale
- Formulaire à l’objectif clair et case non cochée (si nécessaire).
- Politique de confidentialité liée au formulaire.
- Double opt-in activé.
- Pour les clients : possibilité de s’opposer proposée lors de l’achat.
- Provenance et date du consentement enregistrées pour chaque contact.
- Lien de désinscription et adresse dans chaque e-mail.
- DPA signé avec le prestataire, données dans l’UE.
- Aucun fichier acheté ni adresse copiée sur Internet.
Questions fréquentes
Puis-je envoyer la newsletter à mes clients sans consentement ?
Oui, pour des produits ou services analogues à ceux qu’ils ont achetés, si vous leur avez permis de s’opposer lors de la collecte de l’adresse et si chaque e-mail leur offre un moyen simple de se désinscrire.
Le double opt-in est-il obligatoire en France ?
Non, aucun texte ne l’impose. Mais vous devez pouvoir prouver le consentement, et le double opt-in est la manière la plus sûre de le faire.
Puis-je écrire à des professionnels sans consentement ?
En France, oui si le message concerne leur activité professionnelle et qu’ils ont été informés et peuvent s’opposer. Dans d’autres pays européens, comme l’Allemagne, le consentement reste nécessaire.
Combien de temps puis-je garder mes contacts ?
Tant que la personne reste inscrite et qu’il est pertinent de lui écrire. Mieux vaut retirer ceux qui n’ouvrent plus depuis longtemps : cela améliore aussi la délivrabilité. Conservez les preuves du consentement tant que vous utilisez les données, et le temps où vous pourriez devoir les produire.
Spedito est-il conforme au RGPD ?
Spedito garde les données dans l’Union européenne, fournit le DPA à chaque client, enregistre la preuve du consentement, ajoute la désinscription à chaque e-mail et vous permet d’exporter ou de supprimer les données d’un contact. Le choix des personnes à contacter reste de votre responsabilité.