01 · Article L.34-5 CPCE
Opt-in préalable : qui, quand, comment
Toute prospection directe par email ou SMS vers une personne physique nécessite son consentement préalable libre, spécifique, éclairé et univoque. Ce consentement doit être recueilli avant l'envoi du premier message — pas pendant, pas après. La CNIL accepte les formulaires web avec case à cocher (non précochée), les confirmations par téléphone tracées et les opt-in collectés en magasin physique avec un système d'horodatage.
Pour les personnes morales (B2B strict), le régime est plus souple : l'opt-out post-envoi est suffisant si l'objet de la prospection est lié à l'activité professionnelle du destinataire. Mais dès qu'on contacte un dirigeant sur son adresse personnelle (commerciale@... vs jean.dupont@), on retombe dans le régime B2C.
02 · Notifications transactionnelles
Ce qui sort du champ de l'opt-in
Sont exclues de l'opt-in préalable les notifications strictement liées à l'exécution d'un contrat ou à une obligation légale : chitance de paiement, confirmation de commande, code d'authentification, alerte de fraude, rappel de rendez-vous médical, avis Châtel d'assurance, mise en demeure de facture impayée. La CNIL examine la finalité réelle du message, pas son canal — un SMS d'authentification n'a pas besoin d'opt-in, un SMS « profitez de -20 % cette semaine » en a besoin même envoyé sur le même numéro.
Le risque pratique : un email transactionnel qui « glisse » de la prospection dans son footer (bandeau commercial, suggestion produit, recommandation cross-sell) bascule dans le régime prospection. Garder le footer strictement informationnel — logo, mention légale, lien de désinscription — préserve le statut transactionnel.
03 · Référentiel CNIL — SMS
STOP au 36111, expéditeur 11 caractères, horaires
Tout SMS marketing doit comporter la mention « STOP au 36111 » (ou équivalent reconnu par l'AFMM). La désinscription doit être traitée en temps réel par l'expéditeur et propagée à toutes ses bases — un client qui répond STOP à l'enseigne ne doit plus recevoir aucun SMS de cette enseigne, même via un autre flux. L'expéditeur alphanumérique est limité à 11 caractères et doit identifier sans ambiguïté l'émetteur (pas de raccourci ambigu type « PROMO » ou « INFO »).
Les horaires autorisés sont 8h–20h en jours ouvrés, hors dimanche et jours fériés français. Cette règle est issue de l'article L.121-34 du Code de la consommation et s'applique uniquement aux SMS de prospection — les SMS transactionnels (authentification, livraison, rendez-vous) peuvent être envoyés 24/7 si l'usage le justifie.
04 · RGPD articles 6 et 7
Base légale, traçabilité, durée de conservation
Chaque envoi doit reposer sur une base légale RGPD explicite : consentement (art. 6.1.a) pour la prospection, exécution contractuelle (art. 6.1.b) pour le transactionnel lié à un contrat, obligation légale (art. 6.1.c) pour les avis réglementaires (Châtel, mise en demeure), intérêt légitime (art. 6.1.f) pour la lutte contre la fraude. L'article 7.1 exige que la preuve du consentement soit conservée et démontrable — un export horodaté du formulaire d'opt-in suffit, à condition qu'il porte la date, l'IP, et le texte exact présenté à l'utilisateur.
Pour la durée de conservation, la CNIL recommande 3 ans à compter du dernier contact pour les prospects, et la durée du contrat + 3 ans pour les clients. Les logs d'envoi peuvent être conservés au-delà (13 mois standard, 5 à 10 ans pour les flux contentieux) — mais le contenu et l'identification du destinataire doivent suivre la limite client/prospect.
05 · Droit d'accès et d'opposition
Trente jours pour répondre à une demande
Une personne qui exerce son droit d'accès (art. 15 RGPD) doit recevoir copie de ses données personnelles dans un délai d'un mois — extensible à trois en cas de demande complexe, à condition de notifier le délai supplémentaire. Pour une plateforme de notifications, la réponse type est l'export CSV ou JSON de toutes les notifications envoyées au destinataire, avec date, canal, objet, base légale invoquée et source du consentement.
Le droit d'opposition (art. 21) à la prospection est inconditionnel et immédiat. Le droit d'opposition au transactionnel est conditionnel et examiné au cas par cas — on ne peut pas s'opposer à recevoir la chitance d'un achat qu'on a effectué, mais on peut s'opposer aux rappels de panier abandonné.
