RGPD et email marketing : ce qu’il faut savoir en 2026
TL;DR, l’essentiel
- En B2C, chaque envoi commercial exige un consentement préalable (opt-in) : case à cocher dédiée, jamais pré-cochée.
- Chaque email doit afficher l’identité de l’expéditeur et un lien de désinscription simple.
- Les données d’un prospect se conservent 3 ans après son dernier contact, pas au-delà sans nouvel accord.
- Vous devez tenir un registre des traitements et pouvoir prouver le consentement. Les sanctions CNIL montent jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial.
Envoyer une newsletter ou une campagne commerciale, ce n’est pas seulement un problème d’outil. C’est d’abord un cadre juridique. Le RGPD (Règlement général sur la protection des données) et les recommandations de la CNIL encadrent précisément la façon dont vous collectez des adresses email et communiquez avec vos contacts. Voici, sans jargon, ce que la loi impose à l’email marketing en 2026, et comment rester conforme.
Que dit le RGPD sur l’email marketing ?
Le RGPD ne parle pas d’« email marketing » en tant que tel : il encadre tout traitement de données à caractère personnel, et une adresse email en est une. Dès que vous collectez, stockez ou utilisez des adresses pour communiquer, vous êtes responsable de traitement. Vous devez alors justifier d’une base légale, informer les personnes, sécuriser les données et respecter leurs droits (accès, rectification, effacement, opposition).
Pour la prospection par email, deux bases légales coexistent selon le destinataire : le consentement (le principe pour les particuliers) et l’intérêt légitime (possible dans un cadre professionnel strict). Toute la nuance de la conformité tient dans cette distinction.
En une phrase
Une adresse email est une donnée personnelle : dès que vous en collectez pour communiquer, le RGPD s’applique et vous devez pouvoir justifier votre base légale.
Faut-il le consentement (opt-in) pour envoyer un email commercial ?
Pour la prospection vers des particuliers (B2C), la réponse est oui. La CNIL applique le principe de l’opt-in : sans « oui » explicite préalable, c’est « non ». Le consentement doit être libre, spécifique, éclairé et univoque, et résulter d’une action positive de la personne.
Concrètement, cela signifie une case à cocher dédiée à la prospection, distincte des conditions générales, et surtout non pré-cochée. La CNIL interdit explicitement les cases pré-cochées pour recueillir un consentement. Vous devez aussi être en mesure d’apporter la preuve de ce consentement (date, source, formulaire), car la charge de la preuve pèse sur vous.
En pratique, un consentement valable se construit en trois temps :
Une case dédiée et vide
Sur le formulaire d’inscription, une case à cocher séparée des CGV, non pré-cochée, explique clairement à quoi la personne consent.
Une confirmation (double opt-in)
Un email de confirmation valide l’adresse et date le consentement. C’est la preuve la plus solide en cas de contrôle.
Une trace conservée
Vous archivez la source, la date et le formulaire du consentement : la charge de la preuve pèse sur vous.
Une case pré-cochée, un consentement noyé dans les CGV ou une inscription « forcée » lors d’un achat ne valent pas consentement au sens du RGPD.
Quelle base légale en B2B et pour vos clients existants ?
Deux situations assouplissent la règle de l’opt-in strict :
- La prospection B2B : vers un professionnel, sur une adresse en rapport avec sa fonction (ex. prenom.nom@societe.fr), vous pouvez vous appuyer sur l’intérêt légitime à condition que l’objet du message soit lié à sa profession. La personne doit être informée et pouvoir s’opposer facilement (opt-out). Les adresses génériques (contact@, info@) ne relèvent pas de ces règles car elles ne sont pas nominatives.
- Vos clients existants : vous pouvez prospecter un client sans nouveau consentement si l’offre concerne des produits ou services analogues à ceux déjà fournis par votre entreprise. Là encore, il faut l’avoir informé lors de la collecte et lui offrir un moyen simple de s’opposer à chaque message.
Hors de ces deux cas, revenez au consentement explicite. En cas de doute, l’opt-in reste l’option la plus sûre.
Un outil qui gère la conformité pour vous
Double opt-in, désinscription automatique, hébergement en UE : notre comparatif classe les solutions les plus solides sur ces critères.
Quelles mentions sont obligatoires dans un email ?
Chaque message de prospection doit permettre au destinataire de savoir qui lui écrit et de refuser facilement de futures sollicitations. En pratique, un email conforme comporte :
- l’identité de l’expéditeur clairement visible (nom de l’entreprise) ;
- un lien de désinscription simple, gratuit et fonctionnel, présent dans chaque envoi ;
- l’objet de la collecte et un renvoi vers votre politique de confidentialité (droits RGPD, contact du responsable) ;
- le traitement rapide des désinscriptions : une opposition doit être prise en compte sans délai déraisonnable.
Attention
Continuer à écrire à quelqu’un qui s’est désabonné, ou masquer le lien de désinscription, constitue un manquement directement sanctionnable.
Combien de temps conserver les données de vos contacts ?
Le RGPD impose une conservation limitée : on ne garde pas les données « au cas où ». La CNIL fixe des repères clairs pour la prospection :
- Prospect non client : conservation possible 3 ans à compter du dernier contact émanant du prospect (une demande de documentation, un clic sur un lien). Attention, la simple ouverture d’un email ne compte pas comme un contact.
- Client : les données utilisées à des fins de prospection peuvent être gardées 3 ans après la fin de la relation commerciale.
Passé ce délai, vous devez supprimer ou archiver les données, ou recontacter la personne pour lui demander si elle souhaite rester dans votre liste. Sans réponse positive et explicite, elle sort de la base. Nettoyer régulièrement ses listes n’est donc pas qu’une bonne pratique de délivrabilité : c’est une obligation.
Devez-vous tenir un registre des traitements ?
Oui. Le registre des activités de traitement (article 30 du RGPD) recense vos traitements de données : finalité (ici, la prospection et l’envoi de newsletters), catégories de données et de personnes, base légale, durées de conservation, destinataires et mesures de sécurité. C’est le document de référence qui prouve votre démarche de conformité en cas de contrôle.
Au-delà du registre, la conformité suppose de documenter le recueil du consentement, de désigner un référent (voire un DPO selon votre structure) et de savoir répondre aux demandes d’exercice des droits. La logique du RGPD est celle de l’accountability : vous devez non seulement respecter les règles, mais pouvoir le démontrer.
Que risquez-vous en cas de non-respect ?
Les sanctions ne sont pas théoriques. La CNIL peut prononcer une amende administrative qui, pour les manquements les plus graves (dont le non-respect de la durée de conservation), atteint 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. D’autres manquements plafonnent à 10 M€ ou 2 % du chiffre d’affaires.
S’y ajoutent des sanctions pénales : traiter des données à des fins de prospection malgré l’opposition de la personne, ou conserver des données au-delà de la durée légale, expose à 5 ans d’emprisonnement et 300 000 € d’amende. La CNIL a déjà sanctionné plusieurs sociétés de prospection ces dernières années, parfois publiquement, ce qui ajoute un risque réputationnel au risque financier.
Comment être conforme en pratique ?
La bonne nouvelle : un outil d’emailing sérieux automatise l’essentiel de ces obligations (double opt-in, gestion des désinscriptions, historique du consentement). Quelques réflexes suffisent à couvrir le gros du risque :
- Utilisez un formulaire d’inscription clair avec case dédiée non pré-cochée, et activez le double opt-in (confirmation par email) pour dater et prouver le consentement.
- Intégrez un lien de désinscription à chaque campagne et traitez les demandes automatiquement.
- Nettoyez vos listes : purgez les contacts inactifs au-delà de 3 ans.
- Tenez votre registre à jour et rédigez une politique de confidentialité accessible.
- Privilégiez un éditeur avec hébergement en Union européenne pour limiter les transferts hors UE. Un acteur comme Brevo (ex-Sendinblue), basé à Paris, stocke les données sur des serveurs européens ; son offre gratuite reste plafonnée à 300 e-mails par jour (indicatif, juillet 2026), une limite à connaître avant de bâtir sa stratégie.
Bon réflexe
Choisissez d’abord votre base légale (opt-in B2C, intérêt légitime B2B), puis configurez l’outil en conséquence. Un formulaire propre et un double opt-in couvrent l’essentiel du risque juridique.
Passer à un outil conforme et hébergé en UE
Notre sélection 2026 compare les meilleures solutions d’emailing sur la conformité RGPD, le prix et la délivrabilité.
L’étape suivante
Vous cherchez un outil conforme et hébergé en Europe ? Consultez notre comparatif des meilleurs logiciels d’emailing 2026, ou apprenez à créer une newsletter dans les règles.
Questions fréquentes
Le consentement est-il obligatoire pour envoyer une newsletter ?
Vers des particuliers, oui : la CNIL impose l’opt-in, c’est-à-dire un consentement préalable, libre et univoque, via une case à cocher dédiée et non pré-cochée. Deux exceptions existent : la prospection B2B sur une adresse professionnelle en lien avec la fonction (intérêt légitime, avec opt-out), et la prospection de clients existants pour des produits ou services analogues.
Combien de temps peut-on garder une adresse email de prospect ?
La CNIL recommande 3 ans à compter du dernier contact émanant du prospect (par exemple un clic sur un lien ou une demande d’information). L’ouverture d’un email ne compte pas comme un contact. Pour un client, les données de prospection se conservent 3 ans après la fin de la relation commerciale, puis doivent être supprimées ou archivées.
Quelles sanctions en cas de non-respect du RGPD sur l’email ?
La CNIL peut infliger une amende administrative allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les manquements les plus graves. S’ajoutent des sanctions pénales pouvant atteindre 5 ans d’emprisonnement et 300 000 € d’amende, notamment pour la prospection malgré opposition ou la conservation excessive des données.
La prospection B2B échappe-t-elle au RGPD ?
Non. Une adresse professionnelle nominative reste une donnée personnelle. En B2B, vous pouvez toutefois vous appuyer sur l’intérêt légitime (opt-out) si le message est en rapport avec la fonction de la personne, avec information préalable et droit d’opposition. Les adresses génériques comme contact@ ne sont pas soumises à ces règles.