Mention RGPD dans un email : obligation et modèle 2026

Le RGPD n’impose pas un pavé juridique au bas de chaque email. Il impose une information adaptée au traitement et délivrée au bon moment. En revanche, un message de prospection doit permettre d’arrêter les sollicitations et ne doit pas dissimuler l’identité de l’annonceur.

Pour choisir la bonne mention RGPD dans un email, distinguez trois sujets : l’information sur les données, la désinscription commerciale et l’identification juridique de l’entreprise. Un avertissement « message confidentiel » ne remplit pas ces trois fonctions.

Information RGPD : ni répétition automatique ni règle « une seule fois »

L’Art. 13(1) prévoit l’information lors de la collecte directe. L’Art. 13(4) évite de fournir à nouveau les informations dont la personne dispose déjà. Mais l’Art. 13(3) prévoit une information préalable en cas de nouvelle finalité. La formule « informer une fois et une seule » est donc trop absolue. RGPD, Art. 13.

Si l’adresse provient d’un tiers, l’Art. 14 s’applique sous réserve de ses exceptions : l’information intervient dans un délai raisonnable ne dépassant pas un mois, et au plus tard lors de la première communication si les données servent à contacter la personne. Elle comprend notamment la source des données. Le premier email peut alors constituer un moment obligatoire d’information.

Application pratique : avant de choisir un pied de page, identifiez comment l’adresse a été obtenue, l’information déjà délivrée et l’usage actuel. Un lien ajouté aujourd’hui ne prouve pas que l’information a été donnée lors de la collecte passée. Le guide de l’article 13 du RGPD permet de vérifier le contenu attendu.

Quelle mention pour quel message ?

La qualification dépend de l’objectif réel. Une lettre présentée comme informative peut promouvoir des services ; un message transactionnel peut être requalifié si des offres y sont dissimulées. La CNIL distingue prospection, communications transactionnelles et relationnelles.

Désinscription : un moyen effectif dans les messages commerciaux

L’Art. L. 34-5 du Code des postes et des communications électroniques exige des coordonnées valables permettant de demander l’arrêt des communications. Il interdit aussi de masquer l’identité de la personne pour laquelle elles sont envoyées. L’exception concernant certains clients prévoit une opposition lors de la collecte et à chaque message.

Un lien de désinscription est une mise en œuvre pratique de cette exigence ; le texte ne prescrit pas un unique composant informatique. Un lien cassé ou une adresse de réponse non traitée ne permet pas d’exercer le droit. L’Art. 21(2) et (3) du RGPD impose l’arrêt de la prospection après opposition.

Contrôlez les campagnes programmées, les scénarios automatisés et les réimportations. La fiche désinscription et synchronisation du CRM décrit les points à vérifier. Une opposition ne doit pas disparaître lors du prochain import de contacts.

Trois formulations pour le pied de message

Ces exemples concernent un organisme fictif, Atelier Atlas. Remplacez son nom et rendez les destinations réellement accessibles. Ils accompagnent l’information complète ; ils ne remplacent pas toutes les mentions requises.

1. Newsletter après inscription vérifiée

Vous recevez la lettre d’Atelier Atlas après votre inscription. Vous pouvez arrêter cet envoi avec « Me désinscrire ». Notre notice explique l’utilisation de votre adresse et les moyens d’exercer vos droits.

N’affirmez pas que la personne s’est inscrite si vous ne pouvez pas établir cette origine. Reliez « Me désinscrire » au mécanisme opérationnel, et « notice » à la politique applicable à cette newsletter.

2. Premier message après une collecte indirecte

Atelier Atlas vous contacte au sujet de ses ateliers professionnels. Votre adresse nous a été transmise par l’organisme identifié dans l’information jointe à ce message. Vous pouvez demander l’arrêt de ces sollicitations avec « Ne plus recevoir ces messages ». Consultez l’information sur la source, le fondement, les destinataires, les durées et vos droits.

Ce texte n’autorise pas à acheter ou utiliser librement une liste. Dans votre version, nommez précisément la source et adaptez le message au fondement réel. Ne cachez pas une prospection sous un prétendu email purement administratif. Le guide de la prospection commerciale RGPD détaille cet examen préalable.

3. Réponse à une demande, sans inscription commerciale

Atelier Atlas utilise les informations de votre message pour traiter votre demande. Notre notice précise ce traitement, ses durées et vos droits. Cette réponse ne vous inscrit pas à une newsletter.

N’employez cette formulation que si elle correspond au fonctionnement effectif. Si vous proposez une inscription séparée, utilisez un choix distinct ; les modèles de consentement donnent des formulations adaptées.

Signature professionnelle : des obligations distinctes du RGPD

Les mentions commerciales dépendent de la forme et du statut de l’entreprise. L’Art. R. 123-237 du Code de commerce vise notamment le numéro d’identification, la mention RCS et le siège pour les correspondances concernées. L’Art. R. 123-238 précise la dénomination, la forme sociale et, selon celle-ci, le capital.

Ne présentez donc pas l’identification de l’entreprise comme une simple préférence graphique. Inversement, le RGPD n’impose pas, à lui seul, une liste universelle comprenant le téléphone, la fonction et le numéro de TVA dans chaque email de toute organisation.

Une clause de confidentialité n’empêche pas une divulgation. Avant l’envoi, vérifiez le destinataire, les copies et la pièce jointe. Pour la gestion globale de la messagerie, consultez le guide email et conformité RGPD.

Comment vérifier votre modèle avant diffusion ?

Envoyez un message de contrôle vers une boîte de test et examinez-le sur mobile. Les éléments suivants doivent être vérifiables :

• l’annonceur est identifiable et les mentions correspondent à son statut ;
• l’origine annoncée de l’adresse est exacte ;
• la notice s’ouvre sans obstacle et décrit le traitement concerné ;
• la désinscription fonctionne et se propage aux outils d’envoi ;
• le pied de message ne promet pas des droits ou une suppression automatique incompatibles avec les autres traitements légitimes.

Conservez la version du modèle, les informations initiales et les preuves du choix lorsqu’un consentement est requis. Un horodatage isolé ne décrit pas ce que la personne a effectivement vu ou accepté.

Cas rempli : remplacer un pied de message unique

Exemple hypothétique. Atelier Atlas, une SARL française organisant des ateliers créatifs, utilise la même signature pour les réponses aux demandes, les confirmations de réservation et la newsletter commerciale. Elle termine chaque email par « Vous acceptez notre politique de confidentialité en lisant ce message ». Cette phrase ne recueille aucun consentement valable : ouvrir ou lire un message ne manifeste pas un choix libre et spécifique aux usages annoncés. L’Art. 4(11) et l’Art. 7 du RGPD exigent davantage. Définition du consentement ; conditions de l’Art. 7.

La gérante retire cette formule et définit trois versions avec la personne chargée des envois. Elle conserve un bloc d’identification commun : dénomination de la SARL, forme, capital, numéro d’identification, mention RCS avec la ville du greffe et siège. Les valeurs sont reprises des documents de l’entreprise, pas d’un exemple trouvé en ligne. Les mentions supplémentaires éventuellement liées à son statut restent à examiner.

Le bloc relatif aux données varie ensuite réellement selon le message :

Ces formulations ne sont que la première couche d’information. Dans ce scénario, les notices correspondantes décrivent notamment le responsable, les finalités, les bases légales, les destinataires, les durées et les droits. L’information requise existe déjà au formulaire de demande ou de réservation ; le pied d’email facilite sa consultation ultérieure. Si elle manquait initialement, l’équipe doit traiter ce défaut séparément, sans présenter l’ajout tardif comme une preuve de conformité passée.

Quand le lien semble fonctionner mais ne produit pas le bon effet

La recette révèle que « Me désinscrire » ouvre une page demandant de créer un compte client. L’équipe ne valide pas ce parcours : il ajoute un obstacle inutile à l’arrêt des offres. Elle corrige le mécanisme et vérifie avec une adresse fictive que le choix est pris en compte dans l’outil d’envoi, puis dans le CRM et les campagnes déjà programmées. Le résultat attendu est précis : aucune nouvelle offre, tandis que les confirmations nécessaires à une réservation demeurent possibles.

Si une campagne programmée conserve sa propre copie de la liste, elle est suspendue jusqu’à actualisation de ses exclusions. Un affichage « désinscription réussie » ne suffit pas lorsque le message suivant part quand même. La gérante garde la version du modèle, les destinations des liens et le résultat de cette vérification ; elle désigne aussi la personne chargée de traiter une demande reçue en réponse directe à l’email.

Enfin, elle contrôle le message reçu sans images et sur un écran étroit. Une désinscription intégrée uniquement dans une image absente, un texte illisible ou une notice inaccessible ne remplit pas l’objectif. Cette vérification porte sur la présentation réellement distribuée, car l’éditeur de campagne peut modifier le pied de page lors de l’envoi. Une nouvelle signature ou un changement de prestataire justifie de refaire ce contrôle ciblé.

Ce qu’il faut retenir

• Pas de formule RGPD universelle à répéter dans tous les emails.
• Réexaminer l’information lors d’une collecte indirecte ou d’une nouvelle finalité.
• Rendre l’opposition aux messages commerciaux simple et effective.
• Distinguer information RGPD, identification commerciale et confidentialité.
• Vérifier le fonctionnement des liens et la cohérence des données annoncées.

FAQ

Faut-il reproduire toute la notice dans chaque newsletter ?

Pas systématiquement si la personne dispose déjà de l’information pertinente. Une présentation synthétique et un accès clair à la notice facilitent sa consultation ; ils ne corrigent pas à eux seuls une collecte initiale mal informée.

Peut-on écrire « vous recevez cet email car vous êtes inscrit » pour un fichier acheté ?

Non si cette affirmation est fausse. Il faut identifier la source réelle, examiner la licéité de l’utilisation et respecter les obligations d’information applicables.

Le pied de page suffit-il à rendre une campagne licite ?

Non. Il ne remplace ni le fondement de la collecte ni le consentement lorsqu’il est requis. Il ne permet pas non plus de continuer les envois après opposition.

Pour recevoir nos ressources pratiques : inscrivez-vous à la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr. Plus de vingt ans d’expérience en droit des technologies. Guide revu le 27 septembre 2026.