Quelles règles encadrent l’envoi d’une newsletter commerciale ?

Deux corps de règles se superposent et ne disent pas la même chose. L'article L34-5 du Code des postes et des communications électroniques encadre l'acte d'envoyer une prospection. Le règlement général sur la protection des données encadre la constitution et la conservation du fichier. Une base parfaitement collectée peut donc être utilisée de façon illicite, et l'inverse est vrai aussi.

Vers un particulier, le consentement, sauf s'il est déjà client

Le principe est l'accord préalable. Le destinataire doit avoir manifesté sa volonté par un acte positif, une case à cocher laissée vide au départ, un formulaire d'inscription dédié, un bouton d'abonnement. Une case pré-cochée ne vaut rien, et l'acceptation des conditions générales d'un site ne vaut pas acceptation d'une newsletter, les deux devant être deux actions distinctes.

Trois qualités sont exigées. Le consentement est spécifique, il porte sur un usage identifié et non sur un accord général. Il est éclairé, la personne sachant qui lui écrira et à quel sujet. Il est prouvable, ce qui suppose de conserver la date, l'heure, l'adresse et le formulaire d'origine de chaque inscription. Sans cette trace, le consentement est réputé inexistant en cas de contrôle.

L'exception change la donne pour tout commerçant, et elle est régulièrement ignorée. Le même article L34-5 autorise la prospection sans consentement lorsque trois conditions sont réunies. Les coordonnées ont été recueillies directement auprès de la personne à l'occasion d'une vente ou d'une prestation. Le message porte sur des produits ou services analogues fournis par la même entreprise. Et la possibilité de s'opposer a été offerte de manière expresse au moment de la collecte, puis dans chaque message. Un client qui a acheté une paire de chaussures peut donc recevoir une offre sur des chaussures, pas sur une assurance emprunteur.

Vers un professionnel, l'information remplace l'accord

La prospection adressée à une personne dans le cadre de son activité professionnelle relève d'un régime allégé. Le consentement préalable n'est pas requis, à trois conditions cumulatives. Le message doit être en rapport avec la fonction exercée, la personne doit avoir été informée de l'usage prospectif au moment où son adresse a été collectée, et chaque envoi doit offrir un moyen simple de refuser la suite.

Une distinction technique compte ici. Une adresse nominative de la forme prenom.nom@entreprise.fr reste une donnée personnelle et relève du régime décrit ci-dessus. Une adresse générique du type contact@ ou info@ n'identifie personne et sort du champ des données personnelles, ce qui la rend librement utilisable pour un message professionnel pertinent.

L'allègement porte sur le consentement, pas sur la licéité de la collecte. Acheter un fichier, aspirer des adresses sur des annuaires en ligne ou extraire des contacts d'un réseau social professionnel restent des pratiques non conformes, quel que soit le statut des destinataires, faute d'information préalable des personnes concernées.

Les cinq mentions obligatoires de chaque message

• L'identité réelle de l'expéditeur, dans le champ d'expédition ou dans le corps du message. Un nom d'expéditeur fantaisiste destiné à passer les filtres constitue une pratique trompeuse.
• L'adresse postale de l'entreprise, généralement en pied de message.
• Un objet non trompeur. Faire passer une offre commerciale pour une notification de service ou une réponse à un message antérieur est sanctionnable au titre des pratiques commerciales trompeuses.
• Un lien de désinscription fonctionnel, accessible sans avoir à se connecter à un compte ni à motiver sa demande.
• Une adresse de réponse valide. L'envoi depuis une adresse sans réponse reste licite mais dégrade la réputation d'expédition et prive le destinataire d'un recours simple.

La désinscription doit être prise en compte sans délai. Le règlement européen fixe une limite d'un mois pour répondre à une demande d'exercice des droits, mais laisser passer plusieurs jours entre le clic et l'arrêt effectif des envois est le motif de plainte le plus fréquent auprès de l'autorité de contrôle.

Conserver, purger, prouver

Une personne qui se désinscrit exerce son droit d'opposition. Ses données ne peuvent plus servir à la prospection, mais son adresse doit être conservée dans une liste d'exclusion, faute de quoi une importation ultérieure la réintégrerait mécaniquement. Cette conservation est la seule finalité admise, elle ne rouvre aucun autre usage.

Pour les contacts actifs, la durée de conservation doit rester proportionnée. L'autorité de contrôle retient comme repère une durée de trois ans à compter du dernier contact émanant de la personne, ouverture, clic, achat ou demande. Au-delà, deux options seulement, une campagne de réengagement qui produit un nouveau signal, ou la suppression de la base active.

Cette hygiène a un effet secondaire mesurable. Une base purgée des adresses inactives voit son taux d'ouverture remonter et son taux de plaintes baisser, ce qui améliore directement la délivrabilité des envois suivants. La conformité et la performance vont ici dans le même sens, ce qui est assez rare pour être noté.

Trois sanctions, dont une immédiate

Deux voies de sanction coexistent. Le manquement au règlement sur les données, collecte sans base légale, absence de preuve du consentement, conservation excessive, relève de l'autorité de contrôle, qui peut prononcer une mise en demeure publique puis une amende pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves.

Le manquement aux règles de prospection elles-mêmes, envoi sans consentement là où il est requis, absence de désinscription, est constitutif d'une contravention, appliquée par message envoyé. Sur une campagne de plusieurs milliers de destinataires, la mécanique de cumul rend l'addition théoriquement considérable, ce qui explique que la procédure se règle presque toujours par une mise en conformité négociée.

Reste la sanction la moins commentée et la plus immédiate. Un taux de plaintes élevé conduit les messageries à classer l'ensemble du domaine expéditeur en indésirable, y compris pour les messages transactionnels. Une entreprise peut ainsi perdre la capacité d'envoyer ses factures et ses confirmations de commande, effet bien plus paralysant qu'une procédure administrative.