Opt-in et opt-out : choisir la bonne règle en 2026

L’opt-in consiste à obtenir un accord avant l’utilisation prévue des données. L’opt-out permet à une personne de s’opposer à une utilisation autorisée sur un autre fondement. Le choix dépend du canal, du destinataire et de la finalité : une case décochée ne transforme pas à elle seule une campagne en traitement licite.

Depuis le 11 août 2026, le démarchage téléphonique des consommateurs relève lui aussi, en principe, du consentement préalable. Un tableau de prospection qui classe encore tous les appels humains en opt-out doit être corrigé.

Quelle règle appliquer à votre campagne ?

Pour l’email et le SMS, le cadre repose notamment sur l’Art. L. 34-5 du CPCE, précisé dans la fiche CNIL du 10 juin 2026. Une création de compte sans vente ni prestation ne suffit pas à invoquer l’exception du client existant. Les campagnes SMS demandent le même examen de leur audience et de leur contenu.

L’intitulé « B2B » dans votre CRM ne constitue pas une justification. Une offre personnelle adressée à un salarié sur sa messagerie professionnelle ne devient pas pertinente pour sa fonction. Les conditions de la prospection commerciale s’apprécient pour la campagne réellement envoyée.

Le téléphone exige un paramétrage distinct

Le nouveau régime prévoit un consentement à durée limitée : la période annoncée ne peut pas dépasser un an depuis son recueil et ne se renouvelle pas tacitement. Le professionnel doit archiver les informations présentées, la date et l’heure de l’accord pendant trois ans ; une prolongation reste possible pour la défense de ses droits en justice. Le retrait peut être oral. Ces règles résultent des articles R. 223-1 à R. 223-3 du Code de la consommation.

Ajoutez donc un champ d’expiration au consentement téléphonique. Conserver une preuve pendant trois ans n’autorise pas à appeler pendant trois ans. L’exception du contrat en cours doit être documentée pour un appel ayant un rapport avec son objet ; elle ne couvre pas toutes les offres de l’entreprise. La CNIL présente les exceptions et restrictions sectorielles.

Un consentement général n’efface pas une interdiction sectorielle. Pour la rénovation énergétique et l’adaptation du logement au vieillissement ou au handicap, l’Art. L. 223-1 prévoit une interdiction avec l’exception du contrat en cours qu’il définit. Les règles de jours, horaires et fréquence demeurent également à vérifier : l’opt-in n’est pas une permission d’appeler à volonté.

Concevoir un véritable opt-in

Sur un formulaire de commande, la demande de publicité doit être facultative et séparée de l’achat. Exemple à adapter : « Je souhaite recevoir par email les offres de la société X. Je peux me désinscrire à tout moment. » Le bouton de validation de commande ne doit pas activer cette option par défaut.

Sur un formulaire exclusivement destiné à une newsletter, un bouton explicite « M’inscrire à la newsletter de X », accompagné d’une information suffisante, peut matérialiser l’acte positif. Une case supplémentaire n’est pas systématiquement nécessaire. Les critères déterminants sont la liberté, la précision de l’objet, l’information et l’absence d’ambiguïté, conformément aux explications de la CNIL sur le consentement.

Le double opt-in, avec confirmation par email, aide à vérifier la maîtrise de l’adresse et à constituer une preuve. Il n’est ni une obligation générale du RGPD ni une garantie absolue contre toute contestation. La méthode pour prouver le consentement doit aussi conserver le texte présenté et sa version.

Organiser l’opt-out et le retrait dans les outils

L’opposition à la prospection et le retrait d’un consentement doivent parvenir à toutes les campagnes concernées. Il faut notamment traiter les séquences déjà programmées, les exports confiés à une agence et les imports ultérieurs.

Un circuit opérationnel peut suivre quatre étapes :

1. Enregistrer le choix avec son canal, sa date et sa portée.
2. Suspendre les sollicitations concernées et retirer le contact des audiences actives.
3. Synchroniser le statut avec les prestataires et outils destinataires.
4. Conserver seulement les éléments nécessaires pour éviter une réinscription involontaire et justifier le traitement de la demande.

La liste d’opposition dans le CRM évite qu’une suppression complète permette au prochain import de réactiver le contact. Le registre des activités de traitement décrit le dispositif ; il ne remplace pas la preuve individuelle des choix.

Le retrait doit être aussi simple que le recueil, selon l’Art. 7(3) du RGPD. Cela n’instaure pas une règle universelle de « exactement un clic » pour tous les supports. Pour un email marketing, un lien direct et fonctionnel constitue toutefois une solution adaptée ; imposer une création de compte ajouterait un obstacle injustifié.

Cas rempli : une papeterie prépare trois campagnes

Exemple hypothétique. Une papeterie française vend aux particuliers et aux entreprises. Le 27 septembre 2026, elle prépare une newsletter grand public, une offre de fournitures destinée aux responsables achats et une série d’appels commerciaux. Son CRM contient un seul champ « accepte les offres ». La responsable marketing refuse d’utiliser ce champ sans retrouver le choix et le contexte qu’il représente.

Elle sélectionne cinq situations pour définir les règles des campagnes, puis fait appliquer cette qualification au reste du fichier. Il ne s’agit pas de déduire la validité de toute la base de cinq dossiers contrôlés : les preuves nécessaires doivent exister pour chaque contact concerné.

Le tableau ne crée pas un consentement manquant. Si la version du formulaire de Lucie reste introuvable, le statut est identifié comme non démontré et les envois dépendant de cette preuve sont suspendus. L’équipe recherche les éléments disponibles ; elle n’invente pas un texte réputé avoir été affiché.

Traduire les décisions dans les champs du CRM

L’administrateur remplace le statut global par des informations compréhensibles : canal, finalité, régime retenu, preuve, date de recueil, échéance applicable et opposition. Une valeur absente n’est pas convertie en « oui » lors d’un import. Les règles de sélection consultent aussi la liste d’exclusion avant l’envoi effectif.

Pour le particulier ayant accepté six mois d’appels, le dossier conserve la durée qui lui avait été annoncée. Le maximum légal d’un an ne permet pas de prolonger rétroactivement cet accord de six mois. Le service commercial voit « expiré » ; l’archive de preuve reste accessible aux seules personnes chargées de la justification et des demandes.

Lucie retire ensuite son accord à la newsletter et précise qu’elle ne souhaite plus recevoir d’offres de la papeterie. La responsable enregistre cette portée générale et bloque les sollicitations concernées. Elle ne réinterprète pas la demande comme un simple changement de fréquence. Les messages nécessaires à une commande restent traités séparément, sans y ajouter une promotion destinée à contourner le refus.

Si l’opposition n’atteint pas tous les outils

La recette découvre que Lucie ne figure plus dans la campagne principale mais reste inscrite dans une séquence exportée vers l’agence. L’envoi de cette séquence est arrêté. Le responsable de l’agence confirme la mise à jour du lot, puis l’équipe rejoue le retrait et un nouvel import pour vérifier qu’ils ne réactivent pas le contact.

Si le fournisseur ne peut pas démontrer la prise en compte du statut, le scénario dépendant de cette synchronisation reste suspendu. Une capture du CRM central ne prouve pas l’état d’un fichier chez le prestataire. Conservez la demande, l’accusé de traitement et le résultat du contrôle dans le dossier de campagne.

L’opposition à la prospection entraîne l’arrêt de cet usage, y compris le profilage qui lui est lié, selon les Art. 21(2) et 21(3) du RGPD. Ce droit ne dépend pas d’une justification personnelle du refus. Ne confondez pas l’arrêt de l’usage commercial avec l’effacement de toutes les pièces nécessaires à la comptabilité ou à la gestion d’un litige.

Relire une liste ancienne avant sa réutilisation

Une base héritée peut mêler des accords valides, des clients relevant d’une exception documentée et des coordonnées sans provenance exploitable. Séparez ces situations avant de programmer une campagne. Un import récent ne renouvelle ni la date du consentement ni la durée de conservation initialement justifiée.

Pour chaque lot, gardez une décision datée : usage permis, restrictions, éléments manquants et responsable du suivi. Si la preuve manque, une campagne commerciale de « régularisation » ne devient pas licite du seul fait qu’elle cherche un accord. Examinez son propre fondement avant tout envoi ; corrigez les prochains parcours de collecte sans solliciter automatiquement toute l’ancienne base.

Ce qu’il faut retenir

• Choisissez la règle à partir du canal et du contexte réel du destinataire.
• L’opt-out ne dispense ni d’une base légale valable ni de l’information préalable.
• Pour le téléphone B2C, distinguez expiration de l’accord et conservation de sa preuve.
• Un accord à recevoir des messages ne couvre pas automatiquement les traceurs ou la transmission à des partenaires.

FAQ

Les cookies nécessaires fonctionnent-ils en opt-out ?

Leur éventuelle exemption de consentement repose sur des conditions propres aux traceurs, notamment leur stricte nécessité. Ce n’est pas une application de l’opt-out commercial.

Un client peut-il être ajouté automatiquement à toutes les campagnes ?

Non. L’exception des produits ou services analogues est limitée et suppose une possibilité d’opposition dès la collecte. Les offres de partenaires ne deviennent pas autorisées parce que la personne a acheté chez vous.

Puis-je conserver une preuve après la désinscription ?

Oui, si cette conservation répond à une finalité justifiée et à une durée appropriée, avec accès restreint. Elle ne permet pas de maintenir le contact dans les campagnes actives ; les règles particulières de preuve téléphonique doivent aussi être respectées.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.