Il y a quelques mois, une cliente m'appelle, paniquée. « On a reçu une mise en demeure. » Je demande pourquoi. Réponse : sa base de 40 000 contacts avait été constituée en aspirant des adresses sur LinkedIn et des annuaires professionnels. Aucune case cochée, aucun consentement. Juste des adresses empilées dans un fichier, arrosées de newsletters pendant deux ans. Résultat : une association de consommateurs avait porté plainte contre trois entreprises du secteur, la sienne incluait. Le fichier a fini à la poubelle, et les 40 000 contacts sont devenus 11 000 — ceux qui, eux, avaient réellement dit oui.
L'opt-in, c'est précisément ça : le oui. Mais on va voir que ce petit mot cache des nuances que la plupart des entreprises ratent, et qui coûtent cher.
Points clés à retenir
- L'opt-in, c'est le consentement préalable explicite : si la personne n'a pas dit « oui », c'est « non ».
- L'opt-out fonctionne à l'inverse : on considère le consentement acquis sauf refus exprimé.
- Une case pré-cochée n'est pas un consentement valable.
- Le double opt-in ajoute une confirmation par email — plus contraignant, mais bien plus fiable.
- Vous devez pouvoir prouver chaque consentement, pas seulement l'avoir obtenu.
- Le consentement ne se devine pas, il se trace : date, source, formulation exacte.
Opt-in : la définition qu'on oublie de vous donner
La formulation officielle est limpide, et je la répète à chaque audit : l'opt-in, c'est obtenir le consentement du destinataire de la publicité. S'il n'a pas dit « oui », c'est « non ».
La règle s'applique avant chaque démarche publicitaire par courrier électronique, SMS, MMS, automate d'appel ou télécopie. Concrètement, vous ne pouvez pas envoyer un message promotionnel à quelqu'un qui ne vous a jamais donné son accord.
Comment se présente un consentement valable ?
Le consentement se matérialise par une mention du type :
- « J'accepte que mon adresse électronique soit utilisée pour recevoir des offres de la société X par courrier électronique, SMS ou MMS. »
- Et si vous transmettez à des partenaires : « J'accepte que mon adresse électronique soit transmise aux partenaires de la société X à des fins de prospection commerciale. »
Notez bien le deuxième point. C'est celui que je vois exploser le plus souvent. Une case unique qui couvre à la fois votre communication et celle de trente partenaires, ce n'est pas un consentement — c'est un piège. Il faut une case distincte, et un lien vers la liste réelle de ces partenaires.
Avouons-le, personne ne lit ces listes. Mais la loi ne demande pas qu'on les lise. Elle demande qu'on puisse les consulter.
La case pré-cochée, cette erreur qui coûte un fichier entier
Si votre formulaire arrive avec la case déjà cochée, vous n'avez pas de consentement. Point. Le consentement doit résulter d'une action positive et non ambiguë de la personne. Un clic qui ne vient pas d'elle, ce n'est pas elle qui l'a fait.
Je l'ai testé sur un de mes propres projets, il y a deux ans, en croyant naïvement gagner du temps. Case pré-cochée, inscription en un seul clic. Le taux d'inscription a grimpé de 38 % en une semaine. Sauf que le taux de désinscription a suivi, et les plaintes pour spam aussi. J'ai tout remis en case vide, et j'ai perdu 60 % des inscriptions... mais gardé 100 % de contacts réellement engagés. Le calcul m'a pris trois semaines à accepter.
Opt-in et opt-out : deux logiques opposées
La question revient à chaque formation : c'est quoi opt-in et opt-out ?
Le principe est simple, mais ses conséquences le sont moins. L'opt-in suppose un accord préalable : la personne doit agir pour entrer dans votre base. L'opt-out part de l'hypothèse inverse : on considère qu'un contact peut être démarché jusqu'à ce qu'il manifeste explicitement son refus — par un lien de désinscription, par exemple.
| Critère | Opt-in | Opt-out |
|---|---|---|
| Consentement de départ | Explicite et préalable | Implicite, présumé acquis |
| Action demandée à la personne | Cocher, confirmer, cliquer | Se désinscrire si elle ne veut plus |
| Charge de la preuve | À l'entreprise | À la personne qui refuse |
| Base de contacts au départ | Plus petite | Plus large |
| Engagement des contacts | Plus élevé | Plus faible en moyenne |
| Risque juridique en B2C | Faible si bien appliqué | Élevé |
Pourquoi la loi privilégie l'opt-in
Parce qu'un contact qui a dit oui est un contact qui vous attend. Celui qui subit vos messages ne vous attend pas — il vous cherche dans sa boîte mail pour vous signaler comme indésirable.
Une amie qui gère une petite marque de cosmétiques m'a montré ses chiffres l'an dernier. Sur les contacts issus d'une case opt-in cochée volontairement, elle tournait à un taux d'ouverture deux fois et demie supérieur à celui de son ancienne liste « héritée » d'un rachat. Même contenu, même fréquence d'envoi. La seule différence : la façon dont ils étaient entrés dans la base.
C'est là que je deviens partial : l'opt-out est une fausse bonne idée en B2C. Il gonfle vos chiffres d'un côté et les plombe de l'autre. Vous vous retrouvez avec une base large et froide, qui génère des plaintes, qui abîme votre réputation d'expéditeur, et qui finit par faire blacklister votre domaine.
Et en B2B, l'opt-out est-il toléré ?
Nuance importante : le cadre est plus souple pour les adresses professionnelles, quand le message est en lien direct avec la fonction de la personne contactée. C'est ce qui permet à beaucoup d'entreprises de démarcher des prospects en entreprise sans consentement préalable individuel.
Mais ne confondez pas souplesse et absence de règle. Un email professionnel générique (« info@ »), une adresse personnelle récupérée ailleurs, une thématique sans rapport avec le poste : vous sortez du cadre, et vous retombez dans l'obligation d'opt-in.
J'ai vu un commercial perdre un client important sur ce détail précis. Le prospect était bien en B2B, mais l'adresse visée était une boîte perso, et le message parlait d'un produit sans aucun lien avec son métier. Signalement. Le client a coupé le contrat.
Le double opt-in : plus de friction, moins de casse
Le double opt-in ajoute une étape : après avoir coché la case, la personne reçoit un email de confirmation et doit cliquer sur un lien pour valider son inscription. Tant que ce clic n'a pas eu lieu, l'adresse reste inactive.
Pourquoi cette étape supplémentaire change tout
Trois raisons concrètes, que j'ai vérifiées sur plusieurs de mes propres envois :
- Vous filtrez les adresses mal saisies. Une faute de frappe dans un email ne devient jamais un contact : elle ne confirmera jamais.
- Vous écartez les inscriptions faites par des tiers à votre insu — le fameux « j'inscris mon collègue pour lui pourrir la vie ».
- Vous constituez une preuve horodatée du consentement. Le clic laisse une trace : date, heure, adresse IP. En cas de contrôle, c'est votre meilleure défense.
Le revers de la médaille existe, et je ne vais pas l'enjoliver : chaque étape supplémentaire élimine du monde. Sur un de mes tunnels, le passage du simple au double opt-in a fait chuter le nombre d'inscriptions confirmées d'environ un tiers. Mais les contacts restants ouvraient mes emails presque deux fois plus souvent, et mon taux de plainte s'est effondré. Franchement, l'échange valait le coup.
Ce que le RGPD attend vraiment de vous
Le RGPD impose que le consentement soit libre, spécifique, éclairé et univoque. Quatre mots qui, mis bout à bout, éliminent d'office la moitié des formulaires que je croise en audit.
« Libre » exclut le consentement forcé — vous ne pouvez pas conditionner l'accès à un contenu à l'acceptation de recevoir de la publicité. « Spécifique » impose une case par finalité : une pour la newsletter, une pour la transmission aux partenaires, une pour la personnalisation publicitaire. « Éclairé » suppose une information compréhensible sur l'usage des données. « Univoque » interdit l'ambiguïté, donc les cases pré-cochées, les formulations vagues du genre « en validant ce formulaire, vous acceptez nos conditions ».
Et pour les moins de 16 ans ?
Point rarement traité, et pourtant : pour les mineurs de moins de 16 ans, le consentement doit être donné par le titulaire de l'autorité parentale. Concrètement, si votre service s'adresse à un public jeune, vous devez prévoir un mécanisme de vérification — pas une simple case « je certifie avoir 16 ans ».
Je n'ai jamais vu un formulaire de newsletter grand public le faire correctement. Jamais. Et je commence à penser que la plupart des services concernés n'y ont tout simplement jamais réfléchi.
Opt-in banque : pourquoi ce sujet revient sans cesse
Dans le secteur bancaire, la question de l'opt-in prend une dimension supplémentaire, parce que les établissements manipulent des données financières sensibles. La transmission d'informations commerciales à des filiales ou à des partenaires suppose un consentement distinct de celui lié à la gestion du compte.
Ce que je conseille toujours dans ce contexte : lisez réellement les cases au moment de la souscription, pas après. Beaucoup de personnes cochent en bloc lors de l'ouverture d'un compte, puis découvrent des mois plus tard qu'elles reçoivent des offres d'assurance ou de courtage d'un partenaire. Réclamer ensuite est possible, mais plus long. Le réflexe utile : décocher au moment de signer, puis réactiver au cas par cas si le besoin se présente.
Les obligations d'information et de consentement dans la relation bancaire reposent sur un principe que je trouve sain, même s'il est contraignant : plus la donnée est sensible, plus le consentement doit être explicite.
Mettre en place un opt-in qui tient la route
Si vous devez reprendre votre dispositif, voici l'ordre dans lequel je procède, du plus urgent au plus fin :
- Auditer votre base existante. Pour chaque contact, quelle est la source exacte ? Si vous ne savez pas répondre, considérez qu'il n'y a pas de consentement.
- Réécrire vos cases. Une case par finalité, jamais pré-cochée, formulation explicite sur l'usage.
- Choisir simple ou double opt-in. Le double si vous voulez dormir tranquille, le simple si vous acceptez le risque et que vous tracez tout à la main.
- Archiver les preuves. Un export horodaté de chaque consentement, conservé aussi longtemps que vous gardez la donnée.
- Nettoyer tous les six mois. On perd plus à garder des contacts morts qu'à les retirer.
Sur ce dernier point, je vais être direct : j'ai gardé trop longtemps des listes « au cas où », par peur de réduire mes chiffres. Erreur. Chaque campagne envoyée à des contacts inactifs dégrade progressivement votre délivrabilité. Le nettoyage n'est pas une perte, c'est un investissement.
Et un dernier détail qui a son importance : le consentement n'est jamais définitif. Quelqu'un qui a dit oui à votre newsletter en 2022 n'a pas forcément envie de recevoir trois emails par semaine en 2026. Un lien de désinscription visible et fonctionnel, ce n'est pas un aveu de faiblesse. C'est ce qui distingue une liste vivante d'un fichier qu'on subit — et la différence se lit dans vos taux d'ouverture bien avant de se lire dans un rapport d'audit.
