Opt-in ou opt-out RGPD : tableau, exemples et règles 2026

L’essentiel. En France, le principe est l’opt-in : pour la prospection électronique adressée à un particulier (email, SMS, messagerie) et pour les cookies non nécessaires, il faut un consentement préalable, libre, spécifique, éclairé et univoque. L’opt-out — utilisation par défaut avec droit d’opposition — n’est admis que dans trois cas précis : la prospection B2B vers une adresse professionnelle nominative, la relance de clients existants sur des produits analogues, et les cookies techniques ou exemptés. Une case pré-cochée n’est jamais un opt-in valide (CJUE, Planet49). Voici la règle exacte pour chaque canal, un tableau récapitulatif, des exemples conformes et les erreurs qui mènent aux sanctions.

La confusion entre opt-in et opt-out reste l’une des premières causes de non-conformité relevées lors des contrôles de la CNIL sur le marketing. La règle est pourtant simple à énoncer : en France, l’opt-in prévaut pour la prospection électronique, avec quelques exceptions clairement délimitées. Encore faut-il savoir laquelle appliquer selon le canal et le destinataire. C’est l’objet de ce guide.

Opt-in et opt-out : de quoi parle-t-on ?

Définition de l’opt-in

L’opt-in désigne le mécanisme de consentement préalable et explicite : la personne doit accomplir un acte positif avant que ses données soient utilisées pour une finalité donnée (cocher une case, cliquer sur « J’accepte », confirmer par email). Tant que ce geste n’a pas été fait, aucun traitement fondé sur le consentement n’est permis. C’est le standard posé par l’article 4(11) et l’article 6 du RGPD, qui exigent un consentement « libre, spécifique, éclairé et univoque ».

On distingue :

• le simple opt-in : la personne coche une case ou clique sur un bouton ;
• le double opt-in : la personne confirme son inscription par un second acte (généralement un email de confirmation). C’est la pratique recommandée par la CNIL pour les newsletters, car elle prouve le consentement de manière incontestable.

Définition de l’opt-out

L’opt-out est le mécanisme inverse : les données sont utilisées par défaut, et la personne doit accomplir un acte pour s’y opposer (lien de désinscription, décochage d’une case pré-cochée, demande écrite). Ce mécanisme n’est autorisé que dans des hypothèses strictement encadrées — il n’est pas la règle en France.

Attention à une idée reçue : une case pré-cochée n’est jamais un opt-in valide au sens du RGPD. La CJUE l’a tranché définitivement dans l’arrêt Planet49 (C-673/17, 1er octobre 2019) : le consentement ne peut résulter que d’un acte positif clair. Une case pré-cochée relève de l’opt-out déguisé et ne vaut pas consentement.

La règle applicable en France : opt-in par principe

Prospection B2C par email et SMS : opt-in obligatoire

Pour la prospection commerciale électronique adressée à un particulier (personne physique agissant en dehors de son activité professionnelle), l’article L. 34-5 du Code des postes et des communications électroniques (transposition de la directive ePrivacy) impose l’opt-in préalable. Ce principe s’applique à :

• les emails marketing ;
• les SMS/MMS promotionnels ;
• les messages envoyés via des services de messagerie automatisée (WhatsApp marketing, etc.).

Le consentement doit être recueilli au moment de la collecte des coordonnées, avec une information claire sur la finalité prospective et l’identité de l’expéditeur. Pour le cadre complet, voir notre guide sur la prospection commerciale et RGPD.

L’exception « produits ou services analogues »

L’article L. 34-5 prévoit une exception importante : si les coordonnées ont été recueillies à l’occasion d’une vente (ou d’une prestation) et que la prospection porte sur des produits ou services analogues fournis par la même entreprise, un simple opt-out suffit — à condition que la personne ait été informée, au moment de la collecte, de la possibilité de s’y opposer, et que chaque message comporte un moyen simple de désinscription.

Cette exception est d’interprétation stricte. « Analogue » ne signifie pas « vendu par la même société » : la CNIL retient qu’il faut que le produit ou service proposé entre dans la même catégorie d’usage que celui initialement acheté. Exemple : un client ayant acheté des chaussures peut être relancé sur des articles chaussants ou d’entretien du cuir ; le relancer sur une assurance-vie sort de l’exception et exige un opt-in.

Prospection B2B : opt-out sous conditions

La prospection par email vers une adresse professionnelle nominative (pierre.dupont@entreprise.fr) relève de l’opt-out, à condition que :

• le message soit en lien avec la fonction professionnelle du destinataire ;
• l’identité de l’annonceur soit clairement visible ;
• un moyen simple de désinscription soit proposé dans chaque envoi ;
• la personne ait été informée de l’utilisation de son adresse au moment de la collecte.

Pour les adresses génériques (contact@, info@), la prospection est libre, sous réserve de respecter l’obligation de désinscription. Attention : l’adresse professionnelle est une donnée personnelle dès qu’elle permet d’identifier une personne. En B2B, si vous vous fondez sur l’intérêt légitime, documentez un triple test et ménagez un droit d’opposition.

Cookies et traceurs : opt-in sauf exception

Depuis les lignes directrices et la recommandation « cookies et autres traceurs » de la CNIL de septembre 2020, le dépôt de cookies non strictement nécessaires (publicitaires, analytiques tiers, de personnalisation) est soumis à un opt-in explicite. La poursuite de la navigation ou une simple bannière d’information ne valent pas consentement. Refuser doit être aussi simple qu’accepter — c’est le principe de symétrie.

Les cookies techniques (panier, session, sécurité) et, dans certaines conditions, les cookies de mesure d’audience exemptés par la CNIL, peuvent être déposés sans consentement.

Opt-in valide : les 4 critères à respecter

Le consentement opt-in n’est valide que s’il cumule quatre qualités (art. 4(11) et art. 7 RGPD) :

1. Libre : la personne doit pouvoir refuser sans subir de conséquence. Conditionner un service à l’acceptation de finalités non nécessaires est interdit (sauf rares exceptions).
2. Spécifique : un consentement par finalité. Un bouton « J’accepte tout » qui couvre newsletter + publicité ciblée + partage à des partenaires ne remplit pas ce critère.
3. Éclairé : la personne doit savoir à quoi elle consent — finalité, identité du responsable, base légale, durée, destinataires, droits (art. 13 RGPD).
4. Univoque : il faut un acte positif clair. Le silence, l’inactivité ou une case pré-cochée sont exclus.

Ces critères doivent pouvoir être prouvés à tout moment (art. 7(1) RGPD). Conservez la date, l’heure, la formulation exacte du texte accepté et, idéalement, un identifiant technique. Dans mon expérience de conseil auprès de PME, l’absence de preuve est le défaut le plus fréquemment relevé lors des contrôles.

Simple ou double opt-in : comment ça marche concrètement

Le RGPD n’impose pas le double opt-in, mais il en fait la pratique la plus sûre pour une newsletter. Le déroulé conforme d’une inscription en double opt-in est le suivant :

1. L’internaute saisit son email dans un formulaire et coche activement une case décrivant la finalité (« Je souhaite recevoir la newsletter »), non pré-cochée.
2. Un email de confirmation lui est envoyé, contenant un lien unique.
3. Il clique sur ce lien : c’est ce second acte qui valide définitivement l’inscription.
4. Le système journalise l’ensemble (email, horodatage des deux étapes, texte exact affiché, adresse technique).

Ce parcours élimine les inscriptions frauduleuses (email d’un tiers saisi par erreur ou malveillance) et fournit une preuve difficilement contestable. Vous pouvez formaliser la mention de recueil avec notre modèle de consentement RGPD.

Le droit de retrait : opt-out toujours disponible

Même lorsqu’un opt-in a été valablement recueilli, la personne peut à tout moment retirer son consentement (art. 7(3) RGPD). Ce retrait doit être aussi simple que l’expression initiale du consentement. Concrètement :

• un lien de désinscription en un clic dans chaque email marketing ;
• un bouton accessible dans l’espace client ou sur la page de gestion des cookies ;
• une adresse email ou un formulaire dédié, traité dans un délai raisonnable (la CNIL retient habituellement 48 h).

Le retrait n’a pas d’effet rétroactif : les traitements effectués avant restent licites. Mais dès la réception du retrait, l’entreprise doit cesser tout envoi et, si la personne n’a plus d’autre relation avec elle, supprimer ou archiver les données selon les durées de conservation applicables.

Tableau récapitulatif : quelle règle pour quel cas ?

Situation	Règle applicable	Fondement
Email marketing B2C	Opt-in préalable	L. 34-5 CPCE + art. 6(1)(a) RGPD
Email B2C vers client existant, produit analogue	Opt-out (info au moment de la vente)	L. 34-5 CPCE
Email B2B vers adresse nominative	Opt-out si en lien avec la fonction	L. 34-5 CPCE + doctrine CNIL
Email vers adresse générique (contact@)	Libre, désinscription obligatoire	L. 34-5 CPCE
SMS marketing B2C	Opt-in préalable	L. 34-5 CPCE
Appel téléphonique de prospection B2C	Opt-out via Bloctel	L. 223-1 Code conso
Cookies non nécessaires	Opt-in explicite	CNIL + ePrivacy
Cookies techniques / exemptés	Pas de consentement	CNIL
Publicité personnalisée par profilage	Opt-in explicite	RGPD + doctrine EDPB

Les erreurs qui mènent aux sanctions

Le pré-cochage déguisé

Case pré-cochée, bouton « J’accepte » mis en avant alors que « Je refuse » est caché dans un sous-menu, formulations orientées (« Je ne veux pas manquer d’informations »). La CNIL a sanctionné Yahoo à hauteur de 10 millions d’euros en décembre 2023 pour une architecture de choix déséquilibrée sur les cookies. L’asymétrie entre « accepter » et « refuser » méconnaît l’exigence de symétrie du consentement.

Le consentement global

Un seul bouton « J’accepte » qui couvre newsletter, profilage, transferts à des partenaires et cookies publicitaires ne respecte pas l’exigence de spécificité. Chaque finalité distincte doit pouvoir être acceptée ou refusée séparément.

La preuve introuvable

Lors d’un contrôle, la CNIL demande systématiquement la preuve du consentement. Un fichier Excel avec des adresses mais sans date, sans texte de consentement, sans trace technique ne suffit pas. Mettez en place une journalisation horodatée à la collecte, et conservez-la dans votre registre des traitements.

L’absence de désinscription simple

Un lien de désinscription caché en bas d’un email en police minuscule, un formulaire à remplir pour se désabonner, une validation téléphonique obligatoire : la CNIL sanctionne régulièrement ces pratiques qui rendent le retrait plus complexe que l’adhésion.

Confondre intérêt légitime et opt-out en B2C

Invoquer l’intérêt légitime pour éviter l’opt-in sur la prospection B2C est une erreur classique. La directive ePrivacy impose le consentement préalable pour les communications électroniques vers un particulier — l’intérêt légitime ne peut s’y substituer. Meta l’a appris à ses dépens : l’autorité irlandaise de protection des données (DPC) a prononcé une sanction de 390 millions d’euros en janvier 2023 sur la base légale de la publicité comportementale.

Comment prouver le consentement : la traçabilité

La charge de la preuve pèse sur le responsable de traitement (art. 7(1)). Un registre de preuve du consentement doit conserver, pour chaque personne et chaque finalité :

• la date et l’heure du recueil (et de la confirmation, en double opt-in) ;
• le texte exact de la mention affichée au moment du recueil ;
• le canal et le point de collecte (URL du formulaire, campagne) ;
• un identifiant technique rattachant la preuve à la personne ;
• l’historique des retraits éventuels.

Pour une organisation qui gère plusieurs formulaires et campagnes, tenir cette traçabilité à la main devient vite ingérable : un logiciel RGPD permet d’industrialiser la journalisation des consentements et leur conservation probante dans la durée.

Mise en œuvre pratique : la checklist

Avant de lancer une campagne marketing ou d’installer un outil de tracking, vérifiez :

• [ ] la base légale retenue pour chaque finalité (opt-in ou exception) ;
• [ ] la formulation du recueil (libre, spécifique, éclairé, univoque) ;
• [ ] la présence d’une information complète au sens de l’art. 13 RGPD ;
• [ ] la journalisation technique du consentement (date, heure, texte, preuve) ;
• [ ] un mécanisme de retrait aussi simple que l’adhésion ;
• [ ] la symétrie « accepter / refuser » sur la bannière cookies ;
• [ ] la mise à jour du registre des traitements.

Modèle : mention de recueil de consentement conforme

☐ J’accepte de recevoir la newsletter de [ENTREPRISE] et ses offres commerciales par email. Je peux me désinscrire à tout moment via le lien présent dans chaque message. Mes données sont conservées [DURÉE] et traitées conformément à la [politique de confidentialité]. Responsable de traitement : [ENTREPRISE / IDENTITÉ].

Cette case doit être non pré-cochée, distincte de l’acceptation des CGV, et propre à chaque finalité (une case newsletter, une case partenaires, etc.).

Modèle indicatif fourni à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 1.0 — juillet 2026.

Ce qu’il faut retenir

• En France, l’opt-in est le principe pour la prospection électronique B2C et les cookies non nécessaires.
• L’opt-out est réservé à des hypothèses précises : B2B nominatif, clients existants / produits analogues, cookies techniques.
• Une case pré-cochée n’est jamais un opt-in valide (CJUE, Planet49).
• Le consentement doit être libre, spécifique, éclairé, univoque — et prouvable.
• Le retrait doit être aussi simple que l’adhésion, sans conséquence pour la personne.

FAQ

L’opt-out est-il interdit en France ?

Non. Il reste autorisé dans des cas précis : prospection B2B nominative, clients existants pour des produits analogues, cookies techniques ou exemptés. En dehors de ces hypothèses, l’opt-in préalable est obligatoire pour la prospection électronique et les traceurs publicitaires.

Le double opt-in est-il obligatoire pour une newsletter ?

Non, le RGPD n’impose pas le double opt-in. Mais la CNIL le recommande fortement car il fournit une preuve incontestable du consentement et élimine les inscriptions frauduleuses. Dans mon expérience, c’est la pratique la plus sûre pour écarter tout risque de sanction.

Peut-on invoquer l’intérêt légitime pour éviter l’opt-in en prospection ?

Non pour la prospection par email, SMS ou messagerie vers un particulier : la directive ePrivacy (art. L. 34-5 CPCE) impose un consentement préalable, qui ne peut être remplacé par l’intérêt légitime. En B2B vers une adresse nominative, l’intérêt légitime peut en revanche servir de base, à condition de réaliser un triple test et d’offrir un droit d’opposition.

Une adresse email professionnelle est-elle une donnée personnelle ?

Oui, dès lors qu’elle permet d’identifier une personne (prenom.nom@entreprise.fr). Elle est donc soumise au RGPD, même en contexte B2B. Seules les adresses génériques non nominatives (contact@, info@) échappent à cette qualification.

Combien de temps conserver la preuve du consentement ?

Au moins pendant toute la durée d’utilisation des données, plus la durée de prescription applicable — en pratique 3 ans minimum après le dernier contact pour la prospection commerciale, conformément aux recommandations CNIL. La preuve doit rester accessible et lisible tout au long de cette période.

Quelle sanction en cas de prospection sans consentement valable ?

Les manquements aux règles de consentement figurent parmi les motifs de contrôle les plus fréquents de la CNIL et peuvent donner lieu à des sanctions administratives (mise en demeure, amende) au titre de l’article 83 du RGPD, ainsi qu’à des poursuites au titre de la prospection non sollicitée. Le détail des sanctions RGPD est développé dans notre dossier dédié.

---

Thiebaut Devergranne est docteur en droit (Paris II) et conseille depuis plus de 20 ans des entreprises sur leur conformité RGPD. Pour recevoir chaque semaine nos analyses conformité et décisions CNIL commentées, abonnez-vous à la newsletter.