Vous lancez votre boutique en ligne et vous avez déjà 800 adresses e-mail récupérées sur un salon. Pouvez-vous leur envoyer votre première promotion demain matin ? Pas forcément.
La prospection par e-mail ou par SMS obéit à des règles précises, fixées par le Code des postes et des communications électroniques et par le RGPD. Ce guide s’adresse au commerçant qui veut prospecter sans risquer une plainte ou une sanction de la CNIL.
Le principe : pas de prospection sans accord préalable
L’article L34-5 du Code des postes et des communications électroniques, issu de la loi pour la confiance dans l’économie numérique (LCEN) de 2004, pose la règle. La prospection directe par e-mail, SMS ou automate d’appel vers un particulier suppose son consentement préalable.
C’est le système de l’opt-in. La personne doit avoir accepté, par un geste clair, de recevoir vos messages commerciaux.
Ce consentement doit être libre, spécifique, éclairé et univoque. Concrètement, une case pré-cochée ne suffit pas, ni une acceptation noyée dans les conditions générales.
Avant 2004, la logique était inverse pour beaucoup d’entreprises (on écrivait à tout le monde et on retirait ceux qui se plaignaient). Ce temps est révolu, et l’envoi massif non sollicité relève désormais du spamming, sanctionné.
L’exception pour vos clients
Vous pouvez écrire sans accord préalable à un client existant, sous trois conditions cumulatives.
- Ses coordonnées ont été recueillies auprès de lui, à l’occasion d’une vente ou d’une prestation de services.
- Le message porte sur des produits ou services analogues à ceux qu’il a déjà achetés chez vous.
- Il a pu s’opposer gratuitement et simplement à cette utilisation dès la collecte de son adresse.
Un libraire en ligne peut donc proposer de nouveaux romans à un acheteur. Mais il ne peut pas transmettre son adresse à un partenaire qui vend des assurances.
Prospection entre professionnels : un régime plus souple
Pour la prospection B2B, la CNIL admet l’envoi sans accord préalable à une adresse professionnelle, à condition que le message ait un lien avec l’activité de la personne.
Prenons l’exemple d’un éditeur de logiciels comptables qui écrit au responsable financier d’une PME : c’est admis. Écrire au même responsable pour lui vendre un séjour au ski à titre personnel ne l’est pas.
| Destinataire | Règle | Condition |
|---|---|---|
| Particulier non client | Accord préalable (opt-in) | Consentement clair avant tout envoi |
| Client existant | Envoi possible sans accord préalable | Produits analogues et droit d’opposition offert dès la collecte |
| Professionnel | Envoi possible sans accord préalable | Message lié à son activité et droit d’opposition |
Ce que chaque message doit contenir
- L’identité claire de l’expéditeur, sans la dissimuler derrière un nom trompeur.
- Un objet en rapport avec le contenu du message.
- Un moyen simple et gratuit de se désinscrire, en général un lien en bas de l’e-mail ou la mention STOP pour un SMS.
La demande de désinscription doit être prise en compte rapidement, et elle vaut pour tous vos fichiers. Sur votre site, d’autres informations doivent aussi apparaître, comme le rappelle notre article sur les mentions obligatoires d’un site.
Informer et gérer les données collectées
Au moment où vous recueillez une adresse, le RGPD vous impose d’informer la personne : qui vous êtes, pourquoi vous utilisez ses données personnelles, combien de temps vous les gardez, et comment exercer ses droits.
Ces droits sont concrets. Le prospect peut demander l’accès à ses données, leur correction ou leur suppression, et s’opposer à la prospection à tout moment, sans avoir à se justifier.
Côté conservation, la CNIL recommande trois ans maximum à partir de la collecte ou du dernier contact venu du prospect.
Pour voir les choses de l’autre côté, notre article sur les droits des personnes prospectées explique comment un particulier peut faire cesser les sollicitations.
Les risques en cas de manquement
Les contrôles ne visent pas que les grandes enseignes. La CNIL reçoit chaque année de nombreuses plaintes liées à la prospection, et peut prononcer des amendes administratives au titre du RGPD. La DGCCRF peut elle aussi sanctionner les manquements à l’article L34-5.
À mon sens, le vrai risque pour une petite entreprise est ailleurs : une base remplie d’adresses non consenties finit vite en spam chez les messageries, et vos e-mails n’arrivent plus à personne.
Mon conseil : partez d’un fichier propre, même petit. En cas de doute sur une opération d’envergure (achat de fichier, partenariat), faites relire votre dispositif par un juriste ou un avocat.
Cas pratique : que faire des 800 adresses du salon ?
Revenons à la question de départ. Tout dépend de la façon dont ces adresses ont été récoltées.
- Des visiteurs ont rempli un bulletin avec une case « J’accepte de recevoir vos offres » cochée par eux-mêmes ? Vous pouvez leur écrire.
- Des cartes de visite de professionnels, laissées sur votre stand ? Un message lié à leur activité reste possible, avec un lien de désinscription.
- Des adresses de particuliers notées pour un tirage au sort, sans mention de prospection ? Là, vous n’avez pas leur accord.
Pour ce dernier groupe, la solution la plus sûre consiste à ne pas leur écrire. Mais un e-mail unique pour demander leur accord, c’est encore de la prospection, donc ça ne règle rien. Mon conseil : gardez ces contacts de côté, et récoltez de nouveaux consentements lors de vos prochains événements, avec un formulaire propre.
Recueillir un consentement qui tient en cas de contrôle
Obtenir l’accord ne suffit pas. Il faut aussi pouvoir le prouver, puisque le RGPD met cette preuve à la charge de celui qui collecte.
- Une case à cocher, vide par défaut, distincte de l’acceptation des conditions générales.
- Un texte simple à côté de la case, qui dit ce que la personne va recevoir et de qui.
- Un enregistrement de chaque consentement : date, heure, source (site, salon, jeu-concours) et texte affiché au moment de la collecte.
- Une mise à jour immédiate de la liste lorsqu’une personne se désinscrit.
Le double opt-in (un e-mail de confirmation à valider) n’est pas imposé par la loi. Franchement, il rend pourtant service : il écarte les adresses erronées et vous donne une trace solide de l’accord.
Et si vous passez par un prestataire d’e-mailing, vérifiez où sont stockées les données et ce que prévoit le contrat. Vous restez responsable de votre fichier, même hébergé chez un tiers.
Questions fréquentes sur la prospection par e-mail
Peut-on envoyer une newsletter à ses clients sans leur accord ?
Oui, dans un cas précis. Si l’adresse a été recueillie lors d’une vente, que le message porte sur des produits ou services analogues et que le client a pu refuser gratuitement dès la collecte, l’envoi est permis. Il doit toujours pouvoir se désinscrire ensuite.
Une case pré-cochée vaut-elle consentement ?
Non. Le consentement doit résulter d’un acte positif de la personne. Une case cochée par défaut ne remplit pas cette condition, comme l’a confirmé la Cour de justice de l’Union européenne en 2019.
Les règles sont-elles les mêmes pour prospecter des professionnels ?
Pas tout à fait. Pour un e-mail envoyé à l’adresse professionnelle d’une personne, l’accord préalable n’est pas exigé si le message concerne son activité. Elle doit être informée et pouvoir s’opposer facilement.
Combien de temps garder les données d’un prospect ?
La CNIL recommande de ne pas conserver les données d’un prospect plus de trois ans après la collecte ou après le dernier contact venant de lui. Au terme de ce délai, vous pouvez le recontacter pour lui demander s’il souhaite continuer à recevoir vos messages.
