Newsletter et RGPD : double opt-in et bonnes pratiques

Une newsletter commerciale destinée à des particuliers exige en principe un consentement préalable, sauf exception applicable. Le double opt-in est un moyen utile de vérifier l’accès à une adresse et de renforcer la preuve ; le RGPD n’en fait pas l’unique méthode obligatoire. La conformité repose sur le parcours complet : source des contacts, information, choix, preuve, envois et désinscription.

Déterminer le régime de votre newsletter

Commencez par son contenu et son public. Une lettre qui promeut les produits, les services ou l’activité de l’émetteur peut relever de la prospection, même si elle contient aussi des conseils. Le seul titre « information » ne décide pas de sa qualification.

La CNIL sur la prospection électronique, mise à jour le 10 juin 2026, distingue notamment ces situations :

Une adresse professionnelle nominative peut donc être utilisée dans le cadre B2B décrit par la CNIL ; sa forme nominative ne crée pas une obligation universelle de consentement. À l’inverse, l’étiquette B2B ne justifie pas une offre sans rapport avec la profession. Le guide de la prospection commerciale détaille cette qualification.

L’exception client prévue à l’Art. L. 34-5 du CPCE ne doit pas être étendue automatiquement à toute création de compte, demande de devis ou inscription gratuite : examinez la prestation réellement fournie et le contexte.

Une lettre purement informative ou nécessaire au service doit être qualifiée selon son contenu : les règles d’une newsletter commerciale ne se transposent pas automatiquement.

Concevoir un choix compréhensible

Si le traitement repose sur le consentement, celui-ci doit être libre, spécifique, éclairé et univoque. Les Art. 4(11) et 7(1)-(4) du RGPD encadrent sa validité et sa preuve. N’utilisez ni case précochée ni formulation qui mélange sans distinction service demandé, newsletter et offres de partenaires.

Une formulation proposée, à adapter : « Je souhaite recevoir la newsletter de [organisme] sur [sujet]. Je peux me désinscrire à tout moment. » Précisez les offres promotionnelles si elles font partie du contenu annoncé. Une fréquence annoncée peut aider la compréhension ; elle doit rester cohérente avec la pratique réelle.

Pour une boutique de matériel culinaire fictive, le choix pourrait être : « Je souhaite recevoir par email la lettre d’Atelier Cuisine : conseils d’utilisation et offres sur ses ustensiles. Je peux me désinscrire à tout moment. » La case reste facultative et décochée lors de la commande. Refuser cette lettre ne doit pas empêcher d’acheter, de recevoir sa facture ou d’obtenir une réponse du service client.

L’information complète doit couvrir les éléments de l’Art. 13(1)-(2), notamment organisme, finalité, fondement, destinataires, conservation et droits : texte RGPD. Présentez une première information courte avec un lien clair vers les détails.

Utiliser le double opt-in sans lui prêter une valeur absolue

Le parcours consiste à envoyer un message de vérification après la demande, puis à activer l’abonnement après confirmation. Il réduit certains risques d’erreur ou d’inscription par un tiers et ajoute un événement utile à la preuve.

Il ne démontre pas automatiquement l’identité civile de la personne, ni la validité d’un texte initial ambigu. Une adresse partagée ou un lien transféré appellent la même prudence. L’Art. 7(1) du RGPD impose de démontrer le consentement, sans fixer un format technique unique.

Préparez un message de confirmation limité à cette fonction. Fixez une durée raisonnable de validité du lien et de conservation des inscriptions non confirmées, selon votre besoin documenté. Il n’existe pas ici de délai légal universel de 48 ou 72 heures imposé à toutes les newsletters.

Dans l’exemple de la boutique, le lien expire après 72 heures et la demande non confirmée est supprimée après sept jours. Ce sont des paramètres hypothétiques à justifier, pas des normes françaises. Le message ne contient ni réduction ni catalogue : il demande simplement de confirmer la demande initiale. Si le destinataire ne l’a pas faite, il peut l’ignorer sans être inscrit.

Le lien doit être propre à la demande, difficile à deviner et inutilisable après expiration ou révocation. Une confirmation reçue ne doit pas activer une autre adresse ni une autre newsletter. Ne réactivez pas une personne désinscrite au seul motif qu’un ancien lien a été ouvert : traitez cette situation comme une anomalie du parcours.

Exemple : décider quels contacts peuvent recevoir la lettre

Cas hypothétique. Atelier Cuisine rassemble plusieurs sources dans son outil d’envoi : formulaire du site, commandes, demandes de devis et anciens fichiers d’un salon. La responsable marketing veut envoyer sa première lettre mensuelle. L’import technique n’est pas le moment de décider que tous les contacts sont abonnés.

Elle prépare cette grille avec le référent RGPD :

La boutique décide finalement de réserver cette liste particulière aux inscriptions volontaires confirmées. Elle pourrait analyser une campagne distincte fondée sur l’exception client, mais ne mélange pas les fondements dans un champ « consentement = oui ». Cette séparation est un choix de gestion qui facilite la preuve et les désinscriptions.

Chaque contact importé reçoit donc un état précis : en attente, actif avec preuve, opposé ou exclu faute d’éléments. Le chargé de campagne ne peut sélectionner que les actifs correspondant au contenu annoncé. Le responsable conserve le résultat de la sélection, sa date et les règles utilisées ; ce document explique pourquoi un destinataire a reçu l’envoi.

Conserver une preuve proportionnée

Pour retrouver le parcours d’un abonné, reliez l’adresse à la date, au texte présenté, à la version du formulaire et à l’action pertinente. Si vous utilisez une confirmation, conservez l’événement utile et sa portée. L’adresse IP n’est pas une pièce obligatoire universelle ; sa collecte et sa durée doivent être justifiées.

Le guide de la preuve du consentement fournit une méthode de dossier. Lors d’un changement d’outil, vérifiez que la preuve suit les contacts et que les oppositions ne deviennent pas des abonnements actifs.

Un dossier de preuve rempli

Pour une inscription fictive, la fiche pourrait contenir : formulaire « lettre-cuisine », version du texte du 27 septembre 2026, adresse fournie, événement d’inscription à 10 h 15, confirmation à 10 h 18 et finalité « lettre conseils et offres Atelier Cuisine ». Le texte archivé indique ce que la personne a accepté ; les événements relient cette information à son action. Les heures illustrent le fonctionnement, sans imposer une précision réglementaire particulière.

Conservez aussi la version du formulaire montrant que l’option n’était pas précochée et que l’achat restait possible sans inscription. Une colonne « opt-in » isolée du parcours ne permet pas d’expliquer si l’accord était libre et spécifique. L’accès à ces preuves doit être limité : elles ne constituent pas une nouvelle base à exploiter pour le profilage.

Rendre la désinscription effective

Chaque message de prospection doit permettre de faire cesser les envois dans les conditions applicables. Le retrait doit être aussi simple que le consentement selon l’Art. 7(3). Une connexion obligatoire à un espace complexe peut rendre le parcours inadapté.

Ne présentez pas un délai technique de 48 heures comme une franchise légale générale. Traitez le choix et les files d’envoi de manière à respecter effectivement le droit exercé. Examinez aussi les demandes reçues par réponse à l’email et les synchronisations susceptibles de réintroduire le contact.

Pour Atelier Cuisine, un clic de désinscription retire l’adresse des audiences futures et empêche son inclusion dans une file pas encore expédiée. Une confirmation à l’écran indique ce qui a été arrêté. Si plusieurs lettres existent, offrez un moyen compréhensible d’arrêter celle reçue sans obliger la personne à comprendre l’organisation interne de vos listes.

Le support transmet également les réponses « ne m’écrivez plus » au mécanisme d’exclusion. Une demande n’est pas inexistante parce qu’elle n’utilise pas votre lien préféré. Les Art. 21(2) et (3) imposent de cesser la prospection concernée après opposition. Source : RGPD, chapitre III.

En cas de preuve manquante ou de désinscription défaillante

Si une liste héritée n’a aucune provenance fiable, suspendez son usage et demandez les éléments au détenteur du fichier. Une campagne générale « confirmez votre inscription » peut elle-même constituer une prospection : elle n’est pas une méthode universelle pour régulariser une liste sans fondement. Vous pouvez proposer un nouveau parcours d’inscription aux personnes qui viennent volontairement sur le site.

Si le prestataire continue d’envoyer après désinscription, stoppez la campagne concernée, contrôlez la file d’attente et les synchronisations, puis corrigez la règle d’exclusion. Vérifiez le résultat avec une adresse de contrôle. Documentez les envois intervenus et la correction ; ne vous contentez pas d’ajouter une mention au pied de page.

Avant chaque campagne, faites passer une adresse active et une adresse opposée par le processus de sélection. La première doit correspondre à la bonne finalité ; la seconde doit rester absente, y compris après un réimport. Ce contrôle sert à repérer une régression de configuration, pas à garantir toute la conformité du traitement.

Piloter la conservation et les données de suivi

La CNIL sur le référentiel commercial fournit notamment un repère de trois ans pour les données de prospects depuis la collecte ou le dernier contact venant du prospect. Cette recommandation ne justifie pas une durée uniforme pour toutes les preuves, archives et données de suivi.

Deux décisions de maintenance demandent un traitement propre : la réactivation des prospects inactifs et la gestion des adresses en rebond. Une ouverture technique n’est pas toujours la preuve d’un intérêt actuel ; un envoi automatique ne constitue pas un nouveau contact venant de la personne.

Les pixels de suivi des emails demandent une analyse distincte. Le consentement à recevoir la newsletter ne vaut pas automatiquement accord pour suivre sa lecture : vérifiez aussi l’article 82 de la loi Informatique et Libertés. Documentez le rôle du prestataire, ses accès, la sécurité et les éventuels transferts.

Ce qu’il faut retenir

• Qualifiez le contenu, le public et l’exception éventuellement applicable.
• Utilisez le double opt-in comme outil de vérification, sans le présenter comme une obligation universelle.
• Conservez une preuve contextualisée et proportionnée.
• Appliquez désinscriptions, durées et règles de suivi dans tous les outils concernés.

FAQ

Le double opt-in est-il obligatoire en France ?

Le RGPD n’impose pas cette méthode unique. Il impose de démontrer un consentement valable lorsqu’il est requis. La confirmation peut renforcer la preuve sans corriger un parcours mal conçu.

Une newsletter B2B exige-t-elle toujours une case de consentement ?

Non. La CNIL admet une prospection professionnelle pertinente fondée sur l’intérêt légitime, avec information et opposition. Vérifiez le contenu, le destinataire et le contexte réel.

Peut-on conserver un abonné tant qu’il ouvre les messages ?

Une trace d’ouverture ne justifie pas à elle seule une conservation illimitée. Définissez les événements fiables, la finalité et les échéances, en tenant compte des choix et droits exercés.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.