Newsletter RGPD 2026 : checklist et modèle de mentions

L’essentiel. Une newsletter conforme au RGPD repose sur cinq piliers : un consentement valable (l’inscription volontaire via le formulaire suffit, sans case pré-cochée), une information claire au moment de la collecte, la preuve du recueil, un contrat de sous-traitance avec votre outil d’emailing (article 28), et un lien de désinscription en un clic dans chaque envoi. Non-conformité = plaintes, contrôle CNIL et, en cas de manquement au consentement, effacement possible de toute la base — c’est-à-dire la perte sèche de vos efforts marketing.

La newsletter est une ressource marketing centrale : c’est ce qui permet de rester en contact avec ses prospects, de leur apporter de la valeur régulièrement et d’être présent le jour où un besoin commercial émerge. Elle mérite une attention particulière en matière de conformité pour deux raisons.

D’abord, la CNIL a ordonné à plusieurs reprises l’effacement de données collectées sans base légale valable. En cas de manquement au consentement, c’est l’ensemble de la base — et donc des efforts marketing — qui peut se volatiliser, avec des conséquences directes sur le chiffre d’affaires. Ensuite, la newsletter occupe une place centrale dans la relation client : la fragiliser juridiquement, c’est fragiliser un actif commercial.

Bonne nouvelle : rendre une newsletter conforme n’est pas compliqué. Il faut acquérir le consentement des personnes, afficher les mentions d’information, utiliser un outil d’emailing lui-même conforme, et prévoir quelques précautions pour réduire le risque juridique. Pour gagner du temps, appuyez-vous sur nos modèles de consentement RGPD prêts à l’emploi. Voici d’abord un exemple de formulaire d’inscription conforme :

Voyons, étape par étape, les mesures à mettre en place et les problématiques juridiques rencontrées.

Panorama : les 5 obligations en un coup d’œil

#	Obligation	Fondement	Action concrète
1	Consentement valable	Art. 4(11), 6(1)(a)	Formulaire d’inscription volontaire, sans case pré-cochée
2	Information des personnes	Art. 13	Mentions au moment de la collecte + politique de confidentialité
3	Preuve du consentement	Art. 7(1)	Journaliser le processus d’inscription
4	Contrat de sous-traitance	Art. 28	Signer le contrat avec l’outil d’emailing
5	Retrait du consentement	Art. 7(3), 21	Lien de désinscription en un clic dans chaque email

1. S’assurer que le consentement est valablement acquis

Le RGPD impose à tout responsable de traitement de disposer d’une base légale parmi les six énumérées à l’article 6. Pour une newsletter, la base retenue est le consentement :

1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;

1.1 Caractériser un consentement valable

L’article 4(11) définit précisément le consentement :

«consentement» de la personne concernée, toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ;

Il faut donc, en pratique : une manifestation de volonté reposant sur un acte positif clair, l’acceptation d’un traitement, et une information claire sur la manière dont les données seront traitées.

Contrairement à une idée répandue, il n’est pas juridiquement nécessaire d’ajouter une case à cocher sur un formulaire dédié d’inscription à la newsletter. L’utilisateur saisit lui-même son adresse et clique sur le bouton d’inscription : cet acte suffit à caractériser le consentement, dès lors que l’information est claire et que la finalité du formulaire est explicite. La nuance est importante : la case à cocher dédiée redevient nécessaire lorsque le consentement à la newsletter est couplé à autre chose (création de compte, acceptation des CGV, commande) — il faut alors une action séparée et non pré-cochée. C’est la même logique qui gouverne, plus largement, la distinction opt-in / opt-out en email marketing.

1.2 Assurer la transparence du traitement

Second point : la transparence (article 5(1)(a)). Il faut indiquer clairement l’étendue du traitement sur le formulaire de collecte, pour que l’utilisateur sache exactement à quoi il s’engage et que les données ne soient pas exploitées autrement qu’annoncé.

Concrètement, explicitez le contenu de la newsletter. Si le formulaire indique simplement « Inscrivez-vous à notre newsletter », vous ne pourrez pas revendre les données ni les exploiter à d’autres fins : l’utilisateur n’en a pas été informé. La plupart des entreprises effectuant des communications commerciales sur leurs produits et services, il faut l’indiquer sur le formulaire. Ces bonnes pratiques rejoignent les exigences de transparence de l’article 12 : une information concise, accessible et en termes clairs.

1.3 Conserver la preuve du consentement

L’article 7(1) impose de pouvoir démontrer que le consentement a été recueilli :

Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant.

Deux manières de constituer cette preuve : conserver une trace du processus par lequel la personne a consenti, ou conserver une trace du consentement lui-même. Les lignes directrices de l’EDPB sur le consentement rappellent qu’un responsable peut, en ligne, « conserver des informations sur la session lors de laquelle le consentement a été donné, parallèlement à la documentation sur le flux de travail relatif au consentement (…) et à une copie des informations fournies à l’époque à la personne concernée ».

Dans le cas d’une newsletter, collecter massivement des données de session est peu utile, pour deux raisons : cela impose un volume de données important — voire intrusif — et ces données restant maîtrisées par le responsable, qui pourrait les modifier, elles offrent peu de garanties probatoires réelles. Si la newsletter ne concerne aucune donnée sensible (articles 9 et 10) et que les données sont bien minimisées — seul l’email est collecté —, conserver une trace du processus d’acquisition du consentement devrait amplement suffire. L’EDPB souligne d’ailleurs que cette obligation « ne devrait pas en elle-même entraîner des volumes de traitement supplémentaires excessifs ».

2. Afficher les mentions d’information (article 13)

L’article 13 impose de fournir un ensemble d’informations au moment de la collecte. Elles incluent notamment :

• l’identité et les coordonnées du responsable du traitement (et, le cas échéant, de son représentant) ;
• le cas échéant, les coordonnées du délégué à la protection des données ;
• les finalités du traitement et sa base juridique ;
• lorsque le traitement est fondé sur l’intérêt légitime, les intérêts poursuivis ;
• les destinataires ou catégories de destinataires ;
• le cas échéant, l’intention de transférer les données hors UE et les garanties applicables.

Puis les informations complémentaires :

• la durée de conservation (ou les critères pour la déterminer) ;
• l’existence des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité ;
• le droit de retirer son consentement à tout moment ;
• le droit d’introduire une réclamation auprès de la CNIL ;
• l’existence éventuelle d’une décision automatisée ou d’un profilage.

Ces informations doivent être fournies de façon concise, transparente, compréhensible et aisément accessible, en termes clairs. D’où l’intérêt d’une information à plusieurs niveaux : l’essentiel sur le formulaire (finalités, identité du responsable, droits), et un renvoi vers une politique de confidentialité complète.

Voici un exemple de mention pour un blog d’apprentissage du japonais :

En vous inscrivant à notre newsletter, vous acceptez que vos données soient utilisées pour vous envoyer des astuces pour apprendre le japonais, des ressources gratuites et des offres spéciales sur nos cours de langue. Vos données seront conservées jusqu’à ce que vous vous désabonniez. La newsletter est éditée par ApprendreLeJaponais SARL. Vous pouvez retirer votre consentement à tout moment en cliquant sur le lien de désinscription présent dans chaque email. Pour plus d’informations sur vos droits, consultez notre politique de confidentialité.

Modèle indicatif fourni à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 2026-07.

3. Conclure un contrat de sous-traitance (article 28)

L’organisation qui gère une newsletter utilise un outil d’emailing : celui-ci traite des données personnelles pour votre compte, il est donc votre sous-traitant. L’article 28 impose alors un cadre précis.

Le responsable doit s’assurer que le sous-traitant présente des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Le traitement doit être régi par un contrat (ou un autre acte juridique) définissant notamment : l’objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées, ainsi que les obligations et droits du responsable.

En pratique, pensez à : vérifier que l’éditeur propose un contrat de sous-traitance conforme, contrôler la localisation des serveurs (UE/EEE de préférence ; à défaut, garanties d’encadrement des transferts), et évaluer ses mesures de sécurité — au besoin via un questionnaire d’évaluation des sous-traitants. Un logiciel RGPD permet d’industrialiser la tenue du registre de ces sous-traitants et le suivi des contrats et de leurs échéances.

4. Garantir le retrait du consentement (lien de désinscription)

Le RGPD impose que le retrait soit aussi simple que le recueil :

3. La personne concernée a le droit de retirer son consentement à tout moment (…). Il est aussi simple de retirer que de donner son consentement.

Les lignes directrices sur le consentement précisent : « lorsque le consentement est obtenu par voie électronique uniquement par un clic (…), les personnes concernées doivent, en pratique, pouvoir retirer ce consentement par le même biais ». Concrètement : un lien de désinscription dans chaque email. Lorsqu’une personne se désinscrit, le traitement cesse et les données collectées sur la base du consentement doivent être supprimées.

Vérifiez le bon fonctionnement de cette procédure : une désinscription qui échoue génère des plaintes à la CNIL, lesquelles peuvent déclencher un contrôle. Ce mécanisme rejoint le droit d’opposition de l’article 21 et les exigences applicables plus largement à la prospection commerciale.

5. Rappeler les mentions dans chaque email

Dernier conseil : ajoutez un rappel des mentions au bas de chaque email. Ce n’est pas, à strictement parler, une obligation — le RGPD impose d’informer les personnes une fois, à la collecte. Mais une fois les mentions rédigées, il n’y a aucun coût à les intégrer au modèle d’envoi.

L’intérêt est probatoire : en cas de conflit, montrer que les mentions figuraient à chaque envoi rend très difficile la contestation de la licéité du traitement. Des différends émergent en effet de personnes qui se sont inscrites elles-mêmes puis, quelques mois plus tard, ne s’en souviennent plus. Pouvoir démontrer que l’information était présente à chaque email permet de clore rapidement la discussion.

Durées de conservation et hygiène de base

Le RGPD impose de limiter la conservation au strict nécessaire (article 5(1)(e)). Pour une newsletter, la référence usuelle : suppression des inactifs après 3 ans sans interaction (ouverture, clic, demande), et conservation de la preuve du consentement le temps de sa validité puis pendant la prescription. Pour les autres catégories de données personnelles, voyez notre tableau des durées de conservation. Purger les inactifs n’est pas seulement une obligation : c’est aussi une hygiène marketing qui protège votre délivrabilité.

Cas particuliers à connaître

Le lead magnet (contenu contre email). Proposer un livre blanc ou une ressource gratuite en échange d’une adresse est une pratique répandue. Elle est licite, mais attention à la condition de liberté du consentement : si vous en profitez pour inscrire d’office la personne à une newsletter commerciale, le consentement à la prospection doit rester distinct de l’accès à la ressource. Informez clairement, et ne conditionnez pas le téléchargement à l’acceptation d’emails commerciaux non liés.

La newsletter B2B. Lorsque votre newsletter s’adresse à des professionnels sur leur adresse nominative, la logique du consentement s’assouplit : l’exception professionnelle de l’article L.34-5 CPCE et l’intérêt légitime peuvent fonder le traitement, sous réserve d’information et de droit d’opposition. Le régime complet est détaillé dans notre guide email marketing et RGPD.

Les mineurs. Si votre newsletter est susceptible de s’adresser à des mineurs, la validité du consentement suppose des précautions renforcées : en France, le consentement d’un mineur de moins de 15 ans au titre des services de la société de l’information requiert l’autorisation du titulaire de l’autorité parentale. Adaptez le formulaire et l’information en conséquence.

Le changement de finalité. Une base collectée pour « recevoir la newsletter » ne peut pas être réutilisée pour une finalité incompatible (revente, prospection pour un tiers) sans nouvelle information et, le plus souvent, nouveau consentement. Le périmètre annoncé au moment de la collecte fixe la limite de ce que vous pouvez faire des données.

FAQ

Faut-il une case à cocher pour s’inscrire à une newsletter ?

Non, pas sur un formulaire dédié à la seule inscription : saisir volontairement son email et cliquer sur « s’inscrire » constitue l’acte positif clair exigé par l’article 4(11), à condition que l’information soit claire. La case dédiée (non pré-cochée) redevient nécessaire lorsque le consentement newsletter est couplé à une autre action (compte, commande, CGV).

Le double opt-in est-il obligatoire pour une newsletter ?

Non. Le simple opt-in suffit juridiquement. Le double opt-in (email de confirmation à valider) reste fortement recommandé : il renforce la preuve du consentement et améliore la qualité de la base et la délivrabilité.

Quelles mentions afficher sur le formulaire d’inscription ?

Au minimum, sur le formulaire : l’identité du responsable, les finalités (contenu de la newsletter et communications commerciales le cas échéant), et les droits des personnes avec un renvoi vers la politique de confidentialité pour les mentions complètes de l’article 13.

Dois-je signer un contrat avec mon outil d’emailing ?

Oui. Votre outil est un sous-traitant au sens de l’article 28 : un contrat de sous-traitance est obligatoire. Vérifiez également la localisation des serveurs et les garanties de sécurité, au besoin via un questionnaire d’évaluation.

Combien de temps conserver les contacts inactifs ?

En principe 3 ans sans interaction (ouverture, clic, demande). Au-delà, supprimez ou anonymisez, sauf base légale distincte. Conservez séparément la preuve du consentement le temps utile.

Que risque une newsletter non conforme ?

Des plaintes et un contrôle de la CNIL, une injonction, voire l’effacement des données collectées sans base légale valable — c’est-à-dire la perte de votre base. S’y ajoutent le risque d’amende et le préjudice réputationnel lié à la publication des décisions. Panorama complet dans notre guide sanctions RGPD.

Une adresse email est-elle une donnée personnelle ?

Oui. Une adresse email qui identifie, directement ou indirectement, une personne physique est une donnée personnelle au sens du RGPD. C’est le cas de la quasi-totalité des adresses nominatives. Sa collecte via un formulaire de newsletter constitue donc un traitement, soumis à l’ensemble des obligations décrites ici : base légale, information, preuve, sécurité et durée de conservation limitée.

Puis-je importer une base d’emails existante dans ma newsletter ?

Uniquement si vous pouvez documenter, pour chaque contact, une base légale valable (consentement ou, en B2B, exception professionnelle et intérêt légitime) et l’information délivrée à la collecte. Importer une base dont l’origine n’est pas traçable vous expose : en cas de plainte, c’est à vous de démontrer la licéité du recueil au titre de l’article 7.