RGPD et e-mailing : ce que la CNIL attend d'une petite entreprise

Un fichier de 800 adresses récupérées sur des cartes de visite, un salon et un vieux tableur : c’est le point de départ de beaucoup de newsletters de petites entreprises. Avant d’appuyer sur « envoyer », il faut trier ce fichier selon une question simple : ces personnes ont-elles accepté de recevoir vos messages, ou peuvent-elles le refuser ? Ce qui suit résume les règles publiées par la CNIL ; ce n’est pas une consultation juridique pour votre cas.

Particuliers : le consentement d’abord

Pour envoyer de la prospection commerciale par courriel à un particulier, il faut son consentement avant le premier envoi. La CNIL le veut libre, spécifique, éclairé et univoque. En pratique, une case à cocher dédiée, jamais pré-cochée, à côté du champ d’adresse. Accepter des conditions générales ne vaut pas consentement à la newsletter.

Une exception existe pour vos clients. Si la personne vous a déjà acheté quelque chose et que vos messages portent sur des produits ou services analogues, vous pouvez lui écrire sans consentement préalable, à condition qu’elle ait été informée et ait pu refuser au moment où vous avez recueilli son adresse. La CNIL précise que l’exception ne joue pas si aucune vente n’a eu lieu, même quand la personne a créé un compte.

Professionnels : l’intérêt légitime, sous conditions

Vers un professionnel, la prospection peut reposer sur l’intérêt légitime, si le message concerne son métier. L’exemple donné par la CNIL : présenter un logiciel au directeur informatique d’une entreprise. Proposer des vacances au même directeur, sur son adresse professionnelle, ne rentre pas dans ce cadre. La personne doit avoir été informée de l’usage de son adresse et pouvoir s’y opposer simplement.

Les adresses génériques du type contact@ ou info@ ne sont pas des données personnelles au même titre ; elles échappent à ces principes, selon la même page de la CNIL.

Le double opt-in : pas obligatoire, très utile

Le double opt-in consiste à envoyer, après l’inscription, un message de confirmation sur lequel la personne doit cliquer. La loi ne l’impose pas. Il rend pourtant trois services : il écarte les adresses mal tapées, il bloque les inscriptions faites au nom d’autrui, et il vous donne une preuve datée du consentement. Le jour où quelqu’un conteste, c’est cette trace qui compte. La plupart des logiciels d’e-mailing l’activent d’une case dans les réglages du formulaire.

Dans chaque message

Deux obligations reviennent à chaque envoi, quel que soit le destinataire : on doit savoir qui écrit, et pouvoir refuser les prochains messages simplement. Concrètement, le nom de l’entreprise en expéditeur, une adresse de contact, et un lien de désinscription visible en pied de message, qui fonctionne en un clic ou presque. Une désinscription qui demande de se connecter à un compte ou d’écrire un courrier ne passe pas.

Combien de temps garder les adresses

Le référentiel de la CNIL sur la gestion des activités commerciales, qui n’a pas de caractère contraignant mais sert de repère, retient pour un prospect une conservation de trois ans à compter du dernier contact venu de lui (une demande, un clic sur un lien, un achat). Passé ce délai, on peut le relancer pour lui demander s’il souhaite rester inscrit ; sans réponse, on supprime ou on archive. Une personne désinscrite, elle, sort de la liste d’envoi tout de suite.

Le tri du vieux fichier

Revenons aux 800 adresses. Les clients ayant acheté : utilisables pour des offres analogues, avec un premier message qui rappelle le droit de refus. Les contacts professionnels d’un salon dont le métier correspond à votre offre : utilisables, avec la même précaution. Les particuliers sans achat ni consentement : à ne pas écrire. Pour eux, mieux vaut un formulaire d’inscription sur votre site, en boutique ou sur vos réseaux, et un peu de patience.

Le reste de la mécanique (promesse, rythme, outil) est détaillé dans notre méthode pour créer une newsletter. D’autres sujets du canal sont sur la page newsletter.