Désinscription email : lien et en-têtes techniques

Le lien au bas d’un email et le bouton de désinscription proposé par une messagerie doivent conduire à une exclusion effective des envois concernés. Ajouter deux en-têtes au message ne suffit pas : la demande doit atteindre le système qui prépare les destinataires, y compris lorsqu’une campagne est déjà programmée ou qu’un import alimente une autre plateforme.

Pour une PME, la bonne commande au prestataire est donc double : mettre en œuvre le mécanisme technique applicable et démontrer son raccordement aux règles d’opposition. Voici une spécification de réception utilisable par le marketing, la personne chargée du RGPD et l’équipe technique. Elle ne constitue ni du code prêt à déployer ni le compte rendu d’un essai réalisé.

Trois obligations à ne pas confondre

Le droit français impose d’abord un résultat pour la personne. L’article L. 34-5 du CPCE interdit notamment les communications de prospection électronique sans coordonnées valables permettant de demander gratuitement leur cessation. Le régime applicable à l’envoi initial reste à déterminer : un dispositif parfait de désinscription ne rend pas licite une campagne envoyée sans consentement lorsque celui-ci est requis.

Ensuite, lorsqu’une personne s’oppose au traitement de ses données à des fins de prospection, ce traitement doit cesser : l’Art. 21(2) et (3) du RGPD ne prévoit pas une mise en balance supplémentaire avec l’intérêt commercial de l’entreprise. Lorsque le traitement repose sur le consentement, l’Art. 7(3) exige que son retrait soit aussi simple que son octroi. Le droit d’opposition et le retrait peuvent donc aboutir au même arrêt opérationnel, sans être des mécanismes juridiquement identiques. Voir les articles 7 et 21 du RGPD.

Enfin, les fournisseurs de messagerie posent leurs conditions techniques. Les consignes Gmail prévoient notamment, pour les expéditeurs concernés, le désabonnement en un clic des messages marketing et d’abonnement, ainsi qu’un lien clairement visible dans le corps. Ces exigences concernent les destinataires utilisant un compte Gmail personnel ; elles ne deviennent pas une règle générale du RGPD pour toutes les messageries.

Déterminer le périmètre Gmail sans compter la mauvaise population

La FAQ officielle Gmail qualifie d’expéditeur en masse celui qui atteint environ 5 000 messages sur vingt-quatre heures vers des comptes Gmail personnels. Elle agrège les envois du même domaine principal, sous-domaines compris. Une fois obtenu, ce statut ne disparaît pas simplement en réduisant les volumes. Le désabonnement en un clic vise les messages marketing et promotionnels, pas les messages purement transactionnels décrits dans cette FAQ.

Dans un exemple hypothétique, une entreprise ne peut donc examiner uniquement sa newsletter en oubliant les envois de son agence depuis un sous-domaine. Le marketing établit la liste des circuits, le prestataire fournit leurs volumes et la DSI rapproche les domaines. Un total inconnu doit rester signalé comme inconnu : il ne justifie pas une déclaration d’exemption.

Ne déduisez pas la nature juridique d’un message du nom de son modèle. Une confirmation de commande contenant une offre commerciale demande une analyse du contenu et de sa finalité. Notre guide de l’email marketing explique les décisions préalables à cette qualification.

Ce que les en-têtes annoncent réellement

Le RFC 8058, sections 3 et 4, organise une demande HTTPS POST annoncée par deux en-têtes. Exemple fictif :

List-Unsubscribe: <https://courrier.exemple.test/retrait/jeton-opaque>
List-Unsubscribe-Post: List-Unsubscribe=One-Click

Le corps de la requête porte la paire List-Unsubscribe=One-Click. L’URL doit suffire à identifier le destinataire et la liste, sans étape supplémentaire demandée à l’utilisateur. Une signature DKIM valide doit couvrir les deux en-têtes. Le standard exclut les redirections HTTP pour cette requête et prévoit son traitement sans cookies ni autre contexte d’authentification. Il recommande un identifiant opaque difficile à forger, validé par le serveur.

Cela permet de distinguer la demande explicite d’un simple chargement de lien, notamment par un outil d’analyse des messages. La section 3.2 interdit au récepteur d’effectuer le POST sans accord de l’utilisateur pour cette action. Cette condition technique ne prouve aucun consentement antérieur à recevoir de la publicité.

Le prestataire doit expliquer les éléments qu’il fournit et ceux qui restent à votre charge. « Notre outil gère les en-têtes » laisse entière la question du CRM et des campagnes préparées ailleurs. Faites préciser le propriétaire du service de réception, celui de la synchronisation et celui qui peut suspendre les envois en cas d’incident.

Relier une demande technique à une décision compréhensible

Définissez d’abord ce que l’abonnement représente pour la personne. Une liste technique créée pour diviser une campagne ne doit pas réduire artificiellement la portée du refus. À l’inverse, le retrait clairement limité à une lettre thématique ne signifie pas nécessairement l’arrêt de toutes les communications d’une autre nature.

Voici un dossier de conception fictif, U-18, pour une entreprise proposant une lettre « Conseils » et des offres commerciales séparées. Il décrit une politique proposée, à adapter aux libellés et aux choix réellement présentés.

La fiche conservée dans ce dossier contient la source de la demande, son horodatage, le périmètre retenu et les systèmes concernés. Un simple statut « inactif » est insuffisant pour distinguer une opposition, une adresse invalide et une pause commerciale : leurs conséquences lors d’un futur import diffèrent.

Les désinscriptions reçues par réponse à l’email doivent rejoindre cette même décision. Imposer à leur auteur de recommencer par le bouton technique créerait un obstacle inutile à l’exercice de ses droits, contrairement à l’obligation de facilitation de l’Art. 12(2) du RGPD.

Une réception en quatre étapes, avec des preuves définies

Cette procédure est une proposition d’organisation. Elle ne décrit pas une fonction garantie d’un logiciel particulier.

1. Préparer deux destinataires contrôlés. L’un sert à exercer le retrait ; l’autre reste abonné et permet de vérifier que le contrôle n’a pas simplement bloqué toute la campagne. Utilisez des comptes de démonstration autorisés, sans adresses de clients réels. Conservez le message effectivement reçu et sa configuration d’envoi, plutôt qu’une capture du modèle avant expédition.

2. Suivre séparément les deux parcours. Exercez le choix depuis la messagerie lorsqu’il est disponible, puis depuis le lien du corps avec un autre abonnement de démonstration. Le compte rendu distingue l’action, l’événement reçu et la décision enregistrée. Un écran « désinscription réussie » ne prouve pas à lui seul le changement dans les systèmes qui expédient les messages.

3. Examiner le prochain envoi. Préparez une campagne de démonstration et un import comparable au flux habituel. Le destinataire opposé doit rester exclu du périmètre concerné, tandis que le témoin conserve son abonnement. Examinez aussi les destinataires déjà extraits avant la demande : actualiser le CRM sans invalider cette ancienne sélection laisse subsister le risque d’envoi.

4. Consigner les limites. La responsable marketing indique les circuits couverts ; la personne technique joint les traces nécessaires ; le responsable du traitement décide de l’ouverture. Si l’agence ou un connecteur n’a pas été examiné, écrivez « non contrôlé » et réservez ce circuit. La réussite d’un parcours sur la plateforme principale ne démontre pas celle de toute l’organisation.

Quand la synchronisation échoue

Dans U-18, imaginons une demande enregistrée à 10 heures par la plateforme principale alors que le CRM est indisponible. Le résultat acceptable n’est pas d’attendre une nouvelle demande : la plateforme maintient l’exclusion locale, la transmission reste en attente de reprise et le marketing suspend les campagnes provenant d’une base dont l’exclusion n’est pas assurée.

Le compte rendu peut alors distinguer trois états : demande reçue, arrêt appliqué dans le premier outil, propagation non confirmée. Après rétablissement, la personne technique reprend l’événement et examine la sélection des destinataires chez l’agence. La clôture intervient lorsque l’arrêt est établi sur les circuits concernés, avec les réserves éventuelles clairement identifiées.

La FAQ Gmail évoque un traitement sous quarante-huit heures. Ce repère fournisseur ne constitue pas un droit d’envoyer de nouvelles publicités pendant deux jours après une opposition. De même, le délai de réponse de l’Art. 12(3), sans retard excessif et en principe sous un mois, n’autorise pas à différer librement l’arrêt prévu par l’Art. 21(3).

Si des envois ont continué, documentez leur périmètre et corrigez la cause. Une défaillance de synchronisation n’est pas automatiquement une violation de données ; examinez séparément les faits au regard de l’Art. 4(12), notamment si une atteinte à la sécurité a entraîné une divulgation ou une altération non autorisée.

Conserver une preuve utile, sans conserver tout le profil

L’exclusion doit survivre aux imports ultérieurs. Une suppression totale, sans moyen proportionné de reconnaître l’opposition, peut aboutir à réintégrer la même adresse. Conservez les éléments nécessaires pour respecter le refus, avec une finalité distincte, des accès limités et une durée justifiée. Ils ne doivent plus alimenter la prospection.

Il n’est généralement pas nécessaire de conserver pour cela l’historique complet des achats, tous les messages ou le profil publicitaire. Les principes de minimisation et de limitation de conservation de l’Art. 5(1)(c) et (e) restent applicables. Distinguez aussi la preuve du retrait des traces techniques détaillées : elles n’ont pas nécessairement la même utilité ni la même durée.

Lors d’un changement de solution ou de configuration de newsletter, transmettez les exclusions avec leur portée et leur provenance. La réception du nouveau dispositif doit inclure les anciens refus ; la migration n’est pas une nouvelle permission d’envoyer.

Ce qu’il faut retenir

Les en-têtes organisent un mécanisme technique ; le respect de la personne exige un arrêt effectif. Faites correspondre les abonnements visibles aux listes réellement utilisées, contrôlez les sélections déjà préparées et conservez une preuve limitée de l’opposition. Une synchronisation inconnue reste une réserve à résoudre avant de reprendre le circuit concerné.

FAQ

Pourquoi le bouton Gmail manque-t-il malgré les en-têtes ?

La FAQ Google indique que son affichage dépend aussi de contrôles automatiques d’éligibilité. Son absence ne suffit donc pas à diagnostiquer la configuration. Demandez les éléments techniques au prestataire et gardez un lien visible réellement utilisable dans le message.

Peut-on exiger le mot de passe du compte client ?

Évitez de conditionner l’arrêt des publicités à une connexion. Le traitement d’une demande doit rester simple ; des vérifications supplémentaires doivent répondre à un doute raisonnable et être proportionnées, conformément à l’Art. 12(6), sans transformer la désinscription en parcours de récupération de compte.

Faut-il effacer une commande après désinscription ?

Non, pas automatiquement. L’opposition à la prospection concerne cette finalité. Les informations nécessaires à l’exécution ou à la conservation légale d’une commande relèvent d’une analyse distincte, avec leurs propres accès et durées ; elles ne peuvent servir de prétexte à poursuivre la publicité.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.