RGPD et email : ce qu’on peut faire en 2026

Le RGPD reste en 2026 le cadre légal central pour l’email marketing en France et en Europe. Les contrôles CNIL se sont multipliés depuis 2023, avec des amendes records. Voici ce qu’on peut faire et ne pas faire en email marketing en 2026.

Le principe central · consentement explicite

Pour envoyer un email commercial à un particulier en France, vous devez avoir :

• Obtenu son consentement libre, spécifique, éclairé et univoque
• Pouvoir prouver ce consentement (date, horodatage, IP, action)
• Lui permettre de se désinscrire facilement
• Respecter sa demande d’effacement (droit à l’oubli)

Sans ces 4 éléments, vous êtes en infraction.

Les exceptions B2B et « soft opt-in »

Cas 1 · Email professionnel en B2B

Vous pouvez prospecter une personne professionnelle si :

• L’email est professionnel (entreprise.com, pas perso)
• La fonction de la personne est en lien direct avec votre offre
• Vous mentionnez clairement votre identité
• Vous offrez une désinscription simple

Cette exception permet le cold email B2B en France.

Cas 2 · Soft opt-in (clients existants)

Si une personne est déjà cliente, vous pouvez la prospecter sur des produits ou services similaires à ce qu’elle a déjà acheté, sans consentement renouvelé. À condition de :

• L’avoir prévenue au moment de la collecte initiale
• Permettre une désinscription à chaque envoi

Les exigences techniques en 2026

1. Mécanisme de désinscription en un clic

Depuis 2024, Gmail et Yahoo exigent un lien « list-unsubscribe » en en-tête email. Désinscription en un seul clic, sans formulaire.

2. Politique de confidentialité accessible

Lien clair vers votre politique RGPD dans chaque email. Politique à jour sur votre site.

3. Identification de l’expéditeur

Nom de l’entreprise, adresse physique, mentions légales accessibles dans chaque email.

4. Conservation limitée

Les contacts non actifs depuis 3 ans doivent être supprimés ou contactés pour validation du consentement.

Le double opt-in · recommandé mais pas obligatoire

Le double opt-in (inscription confirmée par email avant activation) n’est pas une obligation légale en France, mais :

• Recommandé fortement par la CNIL
• Améliore la délivrabilité (base plus propre)
• Réduit le risque de plaintes spam
• Preuve plus solide de consentement

Quelques pays européens (Allemagne, Autriche) le rendent obligatoire.

Les sanctions CNIL en 2024-2025

Types de manquements sanctionnés :

• Envoi d’emails sans consentement valide
• Utilisation de bases achetées
• Désinscription non respectée (sanction croissante selon récidive)

La CNIL prononce des amendes qui peuvent atteindre plusieurs centaines de milliers d’euros, voire davantage pour les manquements graves. Le risque n’est plus théorique.

Les bonnes pratiques 2026

1. Formulaire d’inscription clair

• Case à cocher non pré-cochée
• Texte explicite : « J’accepte de recevoir les emails de votre marque (1 email par semaine maximum, désinscription en un clic) »
• Lien vers politique de confidentialité

2. Trace du consentement

Conservation des éléments prouvant le consentement : date, IP, formulaire utilisé, action effectuée. Disponibles en cas de contrôle CNIL.

3. Lien de désinscription visible

En bas de chaque email, bien visible, fonctionnel. Une désinscription doit être effective immédiatement, pas après plusieurs jours.

4. Mise à jour annuelle des contacts inactifs

Tous les 12-18 mois, demander aux inactifs de renouveler leur consentement ou les supprimer.

Le RGPD et les outils

Hébergement européen

Préférable mais pas obligatoire si l’outil offre des garanties RGPD (Standard Contractual Clauses, certifications). Brevo (français) > Mailchimp (américain) sur ce critère.

Sous-traitance

Contrat de sous-traitance avec votre outil emailing. La plupart des outils sérieux le fournissent automatiquement.

Cookies de tracking

Les pixels d’ouverture et de clic dans les emails sont considérés comme des cookies. À informer dans la politique de confidentialité.

Le cas spécifique du retargeting

Upload de listes clients vers Meta, Google ou LinkedIn pour ciblage :

• Nécessite consentement spécifique pour cet usage
• Doit être mentionné dans la politique de confidentialité
• Droit à l’effacement à respecter même sur ces listes

Les pièges à éviter

• Acheter une base externe (risque maximal)
• Importer des emails scrapés depuis LinkedIn
• Pré-cocher la case d’inscription
• Conserver les inactifs sans tentative de réactivation
• Désinscription en 5 étapes complexes
• Pas de trace du consentement initial

FAQ

Le cold email B2B est-il vraiment légal ?

Oui, dans les conditions strictes décrites (email pro, fonction pertinente, désinscription, identification). Mais l’interprétation reste prudente.

Faut-il refaire signer le consentement régulièrement ?

Pas obligatoire si le consentement initial est valide, mais recommandé tous les 2-3 ans pour les contacts peu actifs.

Quel risque réel en cas de contrôle CNIL ?

Le RGPD prévoit une amende pouvant atteindre jusqu’à 4% du CA annuel mondial. En pratique, pour une PME en infraction, les sanctions sont généralement bien inférieures à ce plafond mais peuvent rester significatives.

Sources

• CNIL (prospection commerciale, consentement et sanctions)
• Commission européenne (RGPD, plafond des amendes)

Les chiffres cités sont des ordres de grandeur issus de sources publiques ; ils varient selon les secteurs, les sources et les périodes.