RGPD et newsletter : réussir un emailing conforme

Newsletter et RGPD : deux réglementations se combinent

Envoyer une newsletter, c'est traiter des adresses email. Le RGPD s'applique donc. Mais un second texte entre en jeu : la directive ePrivacy, transposée en France dans le Code des postes et des communications électroniques. C'est elle qui impose le consentement pour la prospection électronique.

En clair, deux questions se posent pour chaque envoi. Ai-je le droit d'écrire à cette personne, au regard des règles de prospection ? Est-ce que je traite ses données correctement, au regard du RGPD ? Les deux doivent recevoir une réponse positive.

La CNIL contrôle activement ce sujet. En mai 2025, elle a sanctionné deux courtiers en données, SOLOCAL MARKETING SERVICES (900 000 €) et CALOGA (80 000 €), pour avoir démarché des prospects sans consentement valable. La prospection a représenté dix décisions de sanction sur l'année. La newsletter n'est qu'une brique de la conformité RGPD de votre site web.

Prospection B2C : l'opt-in est la règle

Pour écrire à un particulier (relation B2C), la règle est simple : pas d'accord préalable, pas d'envoi. C'est le principe de l'opt-in. La personne doit avoir dit « oui » avant de recevoir le moindre message commercial.

Ce consentement doit être libre, spécifique, éclairé et univoque. Concrètement, il passe par une action positive : une case à cocher dédiée, jamais pré-cochée. L'acceptation des conditions générales ne suffit pas. Et l'inscription à la newsletter ne doit pas être imposée comme condition d'accès à un service.

Pour un site marchand, ces exigences se retrouvent dans les parcours de commande et de création de compte. Notre guide dédié au RGPD pour l'e-commerce explique comment recueillir ce consentement sans casser la conversion.

L'exception des clients existants

Une exception permet d'écrire à vos clients sans consentement préalable. Elle repose sur trois conditions cumulatives. La personne est déjà cliente. La prospection porte sur des produits ou services analogues à ceux déjà achetés chez vous. Et elle a pu s'opposer facilement, au moment de la collecte puis dans chaque message.

Cette exception est utile mais étroite. Elle ne couvre pas les prospects qui n'ont jamais rien acheté. Elle ne permet pas de promouvoir une gamme sans rapport avec l'achat initial. Et elle ne vaut que pour votre propre entreprise, jamais pour vos partenaires.

Emailing B2B : quand l'opt-out suffit

Les règles s'assouplissent entre professionnels. Vous pouvez écrire à une adresse professionnelle sans consentement préalable lorsque l'objet du message est en lien avec la fonction de la personne. Présenter un logiciel de paie à un directeur administratif et financier, par exemple. La base légale mobilisée est alors l'intérêt légitime.

La personne doit toutefois être informée de l'utilisation de son adresse et pouvoir s'y opposer simplement : c'est le principe de l'opt-out. Une adresse générique (contact@, info@) facilite ce régime. Mais une adresse nominative (prenom.nom@entreprise.fr) reste une donnée personnelle et mérite la même rigueur.

Attention à la frontière. Une adresse personnelle, même utilisée pour le travail, relève du B2C. Un email en @gmail.com impose donc l'opt-in, pas l'opt-out.

Formulaire d'inscription et lien de désinscription

Au moment de l'inscription, vous devez informer clairement. Qui collecte les données ? Pour quelle finalité ? Combien de temps sont-elles conservées ? Quels sont les droits de la personne (accès, rectification, effacement) ? Un lien vers votre politique de confidentialité complète cette mention.

Notre générateur de politique de confidentialité produit ce texte gratuitement, adapté à la collecte d'emails. Pensez aussi au double opt-in : un email de confirmation qui valide l'inscription et documente le consentement en cas de contrôle.

Enfin, chaque envoi doit contenir un lien de désinscription visible et fonctionnel. Le désabonnement doit être aussi simple que l'inscription, gratuit, et traité sans délai. On ne peut pas exiger de justification pour se désabonner.

Combien de temps conserver vos contacts ?

La CNIL fixe un repère clair. Les données d'un prospect non client se conservent trois ans à compter de son dernier contact : un clic, une ouverture, une demande de documentation. Pour un client, le délai de trois ans court à partir de la fin de la relation commerciale.

Passé ce délai, deux options. Supprimer les données, ou recontacter la personne pour savoir si elle souhaite rester abonnée. Sans réponse positive et explicite, les données doivent être effacées ou archivées. Notre article sur la durée de conservation des données détaille les autres délais utiles à connaître.

Choisir son outil d'emailing et sécuriser les transferts

Votre logiciel d'emailing (routeur) traite les données à votre place. C'est un sous-traitant au sens du RGPD. Vous devez signer avec lui un accord de traitement qui encadre ses obligations : sécurité, confidentialité, restitution ou suppression des données en fin de contrat.

Vérifiez aussi où sont hébergées les données. Un outil qui stocke ou transfère vos contacts hors de l'Union européenne doit offrir des garanties appropriées, par exemple des clauses contractuelles types encadrant le transfert. Privilégier un hébergement européen simplifie souvent la conformité.

Vous voulez contrôler d'un coup vos formulaires, votre bandeau cookies et votre newsletter ? Notre audit RGPD gratuit analyse votre site en quelques minutes et pointe les corrections prioritaires. Cet article a une visée informative et ne constitue pas un conseil juridique.