Un formulaire de contact, une newsletter, un pop-up "recevez -10% sur votre première commande" : chaque email collecté sur votre site est une donnée personnelle, encadrée par le RGPD depuis 2018 et surveillée de près par la CNIL. Les sanctions ne visent pas que les grands groupes, une PME ou un artisan peuvent être contrôlés suite à une simple plainte d'un internaute, et les montants réclamés surprennent souvent par leur sévérité au regard de la taille de l'entreprise.
Le consentement, brique de base de toute collecte
La règle centrale du RGPD : vous ne pouvez collecter un email que si la personne a donné un consentement libre, spécifique, éclairé et non ambigu. Concrètement, ça exclut :
- Les cases pré-cochées pour l'inscription à une newsletter (interdites depuis longtemps, mais encore fréquentes).
- Le consentement "global" qui mélange plusieurs finalités (newsletter, partage à des partenaires, prospection téléphonique) dans une seule case à cocher.
- L'ajout automatique à une liste de diffusion suite à un simple achat, sans case de consentement dédiée à la newsletter.
À l'inverse, la prospection par email envers un client déjà existant, pour des produits ou services similaires à ceux déjà achetés, est admise sans nouveau consentement, à condition qu'un lien de désinscription simple soit présent dans chaque envoi.
Le double opt-in, une sécurité qui se justifie
Le double opt-in consiste à faire confirmer l'inscription par un clic dans un email de confirmation, avant d'ajouter réellement l'adresse à la liste active. Ce n'est pas une obligation légale stricte du RGPD, mais c'est une pratique fortement recommandée par la CNIL car elle prouve le consentement en cas de contrôle, et elle protège votre réputation d'expéditeur (moins de plaintes pour spam, meilleure délivrabilité). Sans preuve de consentement horodatée, vous êtes en position de faiblesse face à une réclamation, même si le consentement a bien été donné dans les faits.
Ce que vous devez afficher et documenter
- Une politique de confidentialité accessible depuis chaque formulaire, précisant qui collecte la donnée, pourquoi, combien de temps elle est conservée, et comment exercer ses droits.
- Un lien de désabonnement fonctionnel dans chaque email, traité sans délai excessif (quelques jours maximum).
- Un registre des traitements, obligatoire dès qu'il y a un traitement de données à caractère personnel non occasionnel, même pour une structure de moins de 250 salariés dans de nombreux cas pratiques.
- La durée de conservation : un contact inactif depuis 3 ans doit en principe être supprimé ou réactivé par un nouveau consentement.
Les sanctions, et pourquoi elles tombent aussi sur les petites structures
Le RGPD prévoit des amendes jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial, mais la CNIL adapte ses sanctions à la taille de l'entreprise : les TPE et PME écopent le plus souvent d'amendes de quelques milliers à quelques dizaines de milliers d'euros, notamment pour des cases pré-cochées, l'absence de politique de confidentialité, ou un défaut de réponse à une demande de suppression de données. Le facteur déclenchant le plus courant reste la plainte d'un particulier, pas un contrôle aléatoire.
Ce qu'on recommande concrètement
Vérifiez dès aujourd'hui que chacun de vos formulaires a une case de consentement non pré-cochée et spécifique à sa finalité, et que votre outil d'emailing (Mailchimp, Brevo, ou autre) trace bien la date et l'origine du consentement. Mettez en place le double opt-in sur votre newsletter si ce n'est pas déjà fait, c'est un réglage technique simple qui vous couvre juridiquement. Si vous gérez plusieurs formulaires disséminés sur le site ou une application sur-mesure qui collecte des données utilisateurs, faites auditer l'ensemble du parcours de collecte : c'est souvent en croisant plusieurs points de collecte qu'apparaissent les incohérences qui déclenchent une plainte.