RGPD & email en 2026 : le guide conformité des équipes marketing

Jean RubensMis à jour en juin 202613 min de lecture

La conformité RGPD n'est pas un sujet de juriste isolé du marketing ; c'est devenu un sujet d'équipe. Qui a recueilli ce consentement ? Depuis quand garde-t-on ce contact ? Qui, parmi les cinq personnes qui partagent le compte, peut exporter toute la base ? Ces questions paraissent administratives jusqu'au jour où elles ne le sont plus.

Ce guide est pensé pour les équipes marketing, pas pour les avocats. On y reprend les règles essentielles de la CNIL et du RGPD appliquées à l'email, on signale au passage deux idées reçues tenaces, et on traite le cas particulier du compte d'envoi partagé entre plusieurs équipes. Commençons par la question qui conditionne tout le reste : avez-vous le droit d'écrire à cette personne ?

Sur quelle base légale peut-on envoyer des emails marketing en 2026 ?

Tout dépend de votre destinataire. En 2026, la CNIL maintient que la prospection par email vers un particulier exige son consentement préalable, tandis que la prospection vers un professionnel peut reposer sur l'intérêt légitime si l'objet est en rapport avec sa profession (CNIL, La prospection commerciale par courrier électronique, 2026). Cette frontière B2C/B2B décide de presque tout.

Côté particulier, la règle ne souffre pas d'ambiguïté. La publicité électronique « est possible à condition que les personnes aient donné leur consentement avant d'être démarchées », précise la CNIL. Pas de case pré-cochée, pas de consentement noyé dans des conditions générales : il faut une démarche active et dédiée. C'est le socle de toute liste B2C saine.

Côté professionnel, le régime est plus souple, mais pas inexistant. Vous pouvez écrire à prenom.nom@entreprise.fr sur le fondement de l'intérêt légitime, à deux conditions : que le message concerne son métier, et qu'un moyen simple de s'opposer soit toujours offert. Les adresses génériques comme contact@ relèvent encore d'un autre traitement.

Qu'est-ce qu'un consentement valable, et le double opt-in est-il obligatoire ?

Un consentement valable est, selon la CNIL, « libre, spécifique, éclairé et univoque », et suppose « une action positive et spécifique de la personne concernée » (CNIL, 2026). En clair : une case à cocher dédiée et non pré-cochée. L'acceptation de conditions générales ne suffit jamais à le constituer.

Vient alors la question qui revient sans cesse : faut-il un double opt-in ? Non. Ni le RGPD ni la CNIL ne l'imposent. Ce que le RGPD exige, à son article 7.1, c'est que vous puissiez démontrer que la personne a consenti. Le double opt-in, un email de confirmation à cliquer, est un excellent moyen de constituer cette preuve, mais il reste une bonne pratique, pas une obligation légale.

La nuance compte pour une équipe marketing : vous pouvez choisir le simple opt-in si vous documentez proprement le recueil. Ce qui ne se négocie pas, c'est la capacité à reconstituer, contact par contact, comment et quand le consentement a été donné. Sans cette trace, un consentement réel reste juridiquement fragile.

Cette trace se construit au moment de la collecte, pas après. Nous détaillons les cinq éléments à enregistrer, et ce que Brevo et Mailchimp en gardent réellement, dans notre article RGPD by design : que faut-il enregistrer au moment de la collecte ?

Combien de temps peut-on conserver les données d'un contact ?

La CNIL recommande de conserver les données d'un prospect non client pendant trois ans à compter de son dernier contact, qu'il s'agisse d'un clic, d'une demande ou d'une ouverture (CNIL, Référentiel relatif à la gestion des activités commerciales, 2026). Point essentiel : cette durée est une préconisation, pas une obligation gravée dans la loi.

Cela veut dire que vous pouvez retenir une durée différente, à une condition : pouvoir la justifier. Un cycle de vente long peut motiver une conservation plus étendue ; une base très volatile, une durée plus courte. Le principe qui prime, lui, n'est pas négociable : la minimisation des données.

L'article 5 du RGPD impose en effet que les données soient « adéquates, pertinentes et limitées à ce qui est nécessaire » au regard de la finalité. Concrètement, garder une adresse « au cas où » pendant des années sans contact ni base juridique vous expose. Un contact dormant depuis quatre ans devient un risque, et un poids mort pour votre délivrabilité.

Que doit contenir chaque email pour être conforme ?

Quatre éléments, et ils sont cumulatifs. La CNIL exige notamment que « chaque sollicitation » permette d'identifier l'expéditeur et « d'exprimer, par un moyen simple, son refus de recevoir de nouvelles sollicitations » (CNIL, 2026). Le reste se joue au moment de la collecte.

Aucun de ces points n'est nouveau, et c'est précisément le piège : leur évidence fait qu'on les survole. Le lien de désinscription qui pointe vers une page d'erreur, l'information de collecte absente d'un formulaire ajouté à la hâte par une autre équipe : ce sont ces détails, plus que les grands principes, qui déclenchent les plaintes. La conformité de l'email tient autant à la rigueur d'exécution qu'à la connaissance des règles.

Compte partagé entre plusieurs équipes : qui est responsable, et comment sécuriser les accès ?

C'est votre organisation qui est responsable de traitement, pas chaque équipe prise isolément. Le responsable de traitement est « celui qui détermine les objectifs et les moyens du traitement » ; l'ESP, lui, est sous-traitant (CNIL, Comment bien identifier son rôle, 2025). Marketing, ventes et événementiel ne sont pas des responsables distincts : ils agissent sous une même responsabilité.

Cette unité de responsabilité a une conséquence directe : la sécurité des accès devient une obligation, pas une option. L'article 32 du RGPD impose des « mesures techniques et organisationnelles appropriées » et précise que toute personne ayant accès aux données ne les traite que « sur instruction du responsable ». Autrement dit : limiter qui peut voir et exporter quelles données fait partie de la conformité.

Or, sur un compte d'envoi partagé, c'est souvent le maillon faible. Quand cinq personnes disposent toutes d'un accès complet à l'ensemble des contacts, le cloisonnement exigé par l'article 32 n'existe pas vraiment. Notre guide de la gouvernance Brevo multi-équipes détaille comment poser ces périmètres ; côté Mailchimp, voyez la gouvernance des envois Mailchimp. Et tout cela doit figurer dans le registre des traitements, exigé par l'article 30.

Que risque-t-on vraiment en cas de non-conformité ?

Plus que par le passé. En 2025, la CNIL a prononcé 83 sanctions, dont 10 portaient spécifiquement sur la prospection commerciale, en rappelant que le consentement est obligatoire (CNIL, Bilan sanctions 2025, 2026). L'email marketing fait désormais l'objet de contrôles et de sanctions assumés.

Le plafond, lui, donne le vertige. L'article 83 du RGPD prévoit des amendes pouvant atteindre 20 millions d'euros, ou 4 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Les manquements moins graves relèvent d'un premier palier à 10 millions d'euros ou 2 %.

Faut-il pour autant craindre l'amende maximale pour un lien de désinscription cassé ? Non : les sanctions sont proportionnées. Mais le vrai risque pour une équipe marketing est plus quotidien : une plainte d'un destinataire, un contrôle déclenché, et la charge de prouver que tout était en règle. C'est là que la traçabilité du consentement et le cloisonnement des accès cessent d'être théoriques.

Questions fréquentes

Jean Rubens

Cofondateur, Sendgate

Jean est cofondateur de Sendgate. Il écrit sur la gouvernance des envois email en équipe : conformité RGPD, cloisonnement des listes, composition des emails et sécurité des accès à travers les comptes d'envoi partagés.