L’automatisation marketing est permise par le RGPD, mais chaque message automatisé a besoin d’une base légale. Pour les e-mails et SMS de prospection envoyés à des particuliers, cette base est en général le consentement préalable, avec une exception pour les clients qui achètent des produits analogues. Chaque message doit permettre de se désinscrire facilement, et vous devez pouvoir prouver d’où vient l’accord de chaque contact.
Ce guide s’adresse aux commerçants indépendants qui envoient des e-mails, SMS ou messages WhatsApp automatisés, ou qui segmentent leur fichier clients. Il indique quelle règle s’applique à quel message, montre un exemple concret de formulation du consentement et renvoie chaque règle à son texte officiel. C’est une information générale, pas un conseil juridique : pour un cas précis, interrogez votre délégué à la protection des données ou un avocat.
Dernière mise à jour : octobre 2026.
Deux textes, pas un seul
- Le RGPD (règlement 2016/679) encadre tout traitement de données personnelles : la base légale (article 6), ce qu’est un consentement valable (articles 4, point 11, et 7), les droits des personnes et vos obligations de responsable de traitement.
- La directive ePrivacy (2002/58/CE) ajoute des règles propres à la prospection électronique (article 13) et aux cookies et traceurs (article 5, paragraphe 3). En France, la règle sur la prospection par e-mail et SMS figure à l’article L34-5 du Code des postes et des communications électroniques.
Pour la prospection, c’est la règle ePrivacy qui décide si vous pouvez envoyer. Le RGPD encadre ensuite la manière dont vous traitez les données.
Quelle règle pour quel message automatisé
Les lignes directrices 05/2020 du CEPD sur le consentement rappellent deux points souvent oubliés : une case pré-cochée n’est pas un consentement, et le consentement ne peut pas conditionner un achat ou la participation à un jeu-concours lorsqu’il n’est pas nécessaire (RGPD, article 7, paragraphe 4). La CNIL rappelle aussi que l’acceptation des conditions générales ne vaut pas consentement à la prospection.
Un exemple concret : recueillir le consentement en caisse
Voici une formulation pour une boutique qui veut envoyer ses offres par e-mail à ses clients et aux inscrits à sa newsletter. C’est une illustration à adapter, pas un modèle juridique.
☐ Je souhaite recevoir par e-mail les offres et nouveautés de la Jardinerie Maison Verte. Je peux me désinscrire à tout moment depuis chaque e-mail.
Votre adresse sert uniquement à l’envoi de ces offres. Plus de détails dans notre politique de confidentialité.
Pourquoi elle convient : la case est décochée par défaut, elle nomme le canal (l’e-mail) et l’expéditeur, elle dit comment arrêter, et elle renvoie à la politique de confidentialité qui explique le reste (RGPD, articles 7 et 13). La commande passe même si la case reste vide.
Enregistrez ensuite, pour chaque contact, quand il a donné son accord et où (caisse, boutique, formulaire d’inscription). L’article 7, paragraphe 1, du RGPD vous impose de pouvoir démontrer ce consentement.
Cinq obligations que l’automatisation fait oublier
1. Ne garder que ce dont la campagne a besoin. Une adresse e-mail et un prénom suffisent en général. La minimisation des données est un principe, pas une option (RGPD, article 5, paragraphe 1, c).
2. Automatiser la sortie. Chaque e-mail doit contenir un lien de désinscription qui fonctionne, et une désinscription doit exclure l’adresse de tous les envois suivants, y compris ceux déjà programmés.
3. Répondre aux demandes dans le mois. Les demandes d’accès, de rectification et d’effacement appellent une réponse dans les meilleurs délais et au plus tard dans un délai d’un mois (RGPD, article 12, paragraphe 3).
4. Encadrer chaque outil qui touche aux données. Votre plateforme d’e-mailing, votre prestataire SMS et votre logiciel marketing sont des sous-traitants : il faut un contrat écrit qui couvre ce qu’exige l’article 28.
5. Documenter ce que vous faites. Le registre des activités de traitement (article 30) indique les données détenues, la finalité, la durée de conservation et les destinataires. Pour une petite boutique, une page peut suffire.
Les manquements aux principes de base ou aux droits des personnes peuvent coûter jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (RGPD, article 83, paragraphe 5). En pratique, la CNIL agit aussi sur plainte : une désinscription facile compte autant que la case de consentement.
Ce que fait Liflio, et ce qui reste à votre charge
Liflio est une plateforme marketing pour commerçants indépendants. Pour les campagnes par e-mail, WhatsApp et Telegram, elle prend en charge une partie de la mécanique :
- Chaque contact porte un statut de consentement (accordé, inconnu ou retiré), avec la date et la source. Les contacts importés ne reçoivent de messages que si vous confirmez leur accord ; ceux au statut inconnu sont écartés à l’envoi.
- Les désinscriptions sont appliquées. Les e-mails contiennent un lien de désinscription et un en-tête List-Unsubscribe en un clic ; les adresses désinscrites, en erreur définitive ou ayant signalé un spam rejoignent une liste d’exclusion vérifiée à chaque envoi.
- Les messages WhatsApp utilisent des modèles approuvés, envoyés aux contacts qui ont donné leur accord.
- Les prestataires qui traitent des données pour notre compte sont listés sur notre page des sous-traitants.
Ce qui reste à votre charge : choisir la base légale, recueillir le consentement avec une formulation honnête, en garder la preuve, répondre aux demandes et rédiger votre politique de confidentialité. Aucun logiciel ne rend une boutique conforme à lui seul. Pour les jeux-concours, qui posent leurs propres questions de consentement, voyez le guide du règlement de jeu-concours.
FAQ
Faut-il un consentement pour écrire à mes clients ?
Pas toujours. Vous pouvez écrire à un client existant au sujet de produits analogues que vous vendez sans consentement préalable, s’il a pu refuser lors de la collecte de son adresse et peut le faire dans chaque message. Une personne qui a seulement créé un compte, sans acheter, n’est pas un client au sens de cette exception.
Le double opt-in est-il obligatoire ?
Non. Le RGPD exige un consentement que vous pouvez prouver, pas un e-mail de confirmation. Le double opt-in est une façon pratique de prouver que le titulaire de l’adresse s’est bien inscrit, d’où son succès. Le minimum est une trace datée du lieu et du moment du consentement.
Peut-on invoquer l’intérêt légitime pour la prospection par e-mail ?
Pour les e-mails et SMS aux particuliers, la règle de l’article L34-5 s’applique d’abord : consentement préalable, ou exception client. L’intérêt légitime concerne surtout la prospection postale et, selon la CNIL, la prospection entre professionnels liée au métier du destinataire. Dans tous les cas, chacun peut s’opposer à la prospection.
Peut-on segmenter son fichier clients ?
Oui : segmenter selon l’historique d’achat ou la localisation est un profilage à des fins de prospection, qui est permis. Mentionnez-le dans votre politique de confidentialité et arrêtez si quelqu’un s’y oppose (RGPD, article 21, paragraphe 2). Les décisions aux effets juridiques ou similaires relèvent des règles plus strictes de l’article 22.
Theophilus Adams
Fondateur de Liflio
Theophilus Adams est le fondateur de Liflio, la plateforme de marketing par IA pour les commerçants indépendants. Liflio est basée à Bordeaux, en France.