Checklist RGPD : 12 points à vérifier avant envoi

Votre campagne est prête. L’objet est trouvé, les liens sont testés, le bouton « Envoyer » attend. Et au dernier moment, une question vous arrête : ai-je vraiment le droit d’écrire à toutes ces personnes ?

Bon réflexe, en réalité. Le doute se lève avec une douzaine de vérifications, toujours les mêmes, et aucune ne réclame de formation juridique. Le RGPD, le règlement européen qui encadre l’usage des données personnelles, s’applique à votre fichier dès qu’il contient des adresses nominatives du type prenom.nom@entreprise.fr.

On parle ici uniquement de conformité. Pour le contrôle visuel et technique du message, les liens, l’affichage sur mobile, l’orthographe, pensez à notre checklist avant envoi. Les deux se complètent et se remplissent l’une après l’autre.

Votre fichier : cinq questions avant d’importer la liste

La plupart des problèmes naissent ici. Un message impeccable parti vers un fichier douteux reste un envoi non conforme, et aucune formule de politesse n’y changera rien.

1. Vous savez d’où vient chaque adresse

Formulaire d’inscription sur votre site, carte de visite échangée sur un salon, client ancien, fichier acheté à un prestataire. Chaque origine appelle des règles différentes, et vous ne pouvez pas les appliquer si vous l’ignorez.

La parade tient en deux colonnes dans votre tableur : la source et la date de collecte. Un cabinet de conseil qui mélange depuis cinq ans ses clients, ses contacts de salon et une base achetée en 2021 aura bien du mal à reconstituer l’historique. Commencez maintenant, même imparfaitement, c’est toujours mieux que rien.

2. Vous distinguez les professionnels des particuliers

La règle change du tout au tout. Pour un particulier, le consentement préalable est obligatoire : c’est l’opt-in, un accord donné activement, par exemple via une case à cocher laissée vide par défaut. Pour un professionnel, la CNIL, l’autorité française de protection des données, admet la prospection sans accord préalable. On parle d’intérêt légitime, à une condition de fond : le message doit concerner la fonction de la personne.

Concrètement, une ESN qui présente ses développeurs à des DSI reste dans le cadre. Le même message envoyé à toute la base, service comptable compris, en sort. Vérifiez donc le segment, pas seulement la liste. Nous détaillons ces deux régimes dans notre article sur les écarts entre emailing B2B et B2C.

Petit cas à part, les adresses génériques comme contact@ ou info@. Elles désignent une entreprise et non une personne, la CNIL les sort donc de ces règles individuelles.

3. Vous pouvez prouver le consentement quand il est requis

L’article 7 du RGPD est sans ambiguïté : quand vous vous appuyez sur le consentement, c’est à vous de démontrer qu’il a été donné. Pas au destinataire de prouver le contraire. Beaucoup imaginent l’inverse.

Une preuve exploitable réunit la date et l’heure d’inscription, le formulaire utilisé et le texte exact de la case cochée. La plupart des plateformes d’emailing conservent ces informations automatiquement pour les inscriptions faites via leurs formulaires. Les contacts importés depuis un tableur, eux, arrivent sans rien.

Le sujet n’a rien de théorique. En mai 2025, la CNIL a sanctionné Solocal Marketing Services, notamment parce que la société ne parvenait pas à démontrer le consentement des personnes démarchées.

4. Les personnes savent que vous utilisez leur adresse

Même en B2B, le destinataire doit être informé. Si vous avez collecté l’adresse vous-même, l’information se donne au moment de la collecte, sur le formulaire ou dans la foulée. Si l’adresse vient d’ailleurs, un salon ou un fichier tiers, le RGPD vous impose d’informer la personne au plus tard lors du premier message. Une phrase suffit : d’où vient son adresse, et comment s’opposer aux prochains envois.

5. Aucun contact dormant depuis plus de trois ans

La CNIL recommande de conserver les données d’un prospect au maximum trois ans à compter de la collecte ou du dernier contact émanant de lui. Une réponse, un rendez-vous, un téléchargement comptent. Une simple ouverture de votre email, non.

Avant chaque grosse campagne, filtrez votre fichier sur la date de dernière interaction. Les adresses qui dépassent ce délai sortent de la liste, ou reçoivent un dernier message pour demander si la personne souhaite rester.

Votre message : quatre contrôles dans l’aperçu

Ces quatre-là se vérifient à chaque campagne, sur l’email de test que vous vous envoyez. Deux minutes suffisent.

6. On sait immédiatement qui écrit

L’article L34-5 du Code des postes et des communications électroniques interdit de dissimuler l’identité de l’expéditeur. Le nom affiché dans la boîte de réception doit renvoyer à une personne ou à une structure identifiable. En pied de page, votre raison sociale et vos coordonnées complètent le tableau.

« Julie, Cabinet Axeo » fait parfaitement l’affaire. « L’équipe » ou une adresse noreply@ sans nom de société, nettement moins.

7. L’objet annonce ce que contient le message

Le même article L34-5 interdit un objet sans rapport avec ce qui est proposé. Un « Re : notre échange » alors que vous n’avez jamais parlé à la personne tombe exactement dans ce cas. En plus d’être interdit, le procédé déclenche des signalements pour spam dès la première ligne lue.

8. Le lien de désinscription fonctionne vraiment

Présent, visible et testé. Cliquez dessus depuis votre email de test et vérifiez que l’adresse passe bien au statut désinscrit dans votre plateforme. La désinscription doit rester gratuite et simple : pas de connexion à un compte, pas de mot de passe, pas de formulaire à rallonge.

9. Un lien mène à votre politique de confidentialité

C’est là que le destinataire trouve ce que vous faites de ses données, combien de temps vous les gardez et comment exercer ses droits, par exemple demander leur suppression. Un lien discret en pied de page suffit, à condition que la page existe et soit à jour.

Vos outils et l’après-envoi : les trois points que tout le monde oublie

Rien de tout cela n’apparaît dans l’aperçu. Ces trois points se vérifient une fois, puis se revoient quand vous changez d’outil ou d’organisation.

10. Vos désinscrits ne reviennent jamais dans la liste

Le scénario classique : un prospect se désinscrit en mars, votre commercial réimporte en juin un export du CRM qui date de janvier, et la personne reçoit à nouveau vos emails. Le droit d’opposition à la prospection est absolu, la personne n’a pas à se justifier, et l’article 21 du RGPD vous impose de cesser l’envoi.

La solution porte un nom un peu étrange, la liste repoussoir, c’est-à-dire un fichier des personnes à ne plus jamais contacter, qu’on compare à chaque nouvel import. Pensez à y verser les demandes arrivées par d’autres canaux : un « merci de me retirer » en réponse à un email, un appel téléphonique. La CNIL recommande de conserver ces informations au moins trois ans, en ne gardant que le strict nécessaire. L’adresse suffit.

Côté délai, le RGPD ne fixe pas de chiffre. Gmail et Yahoo, en revanche, exigent depuis 2024 des expéditeurs en volume qu’ils traitent une désinscription sous 48 heures. Prenez ce repère pour tous vos envois.

11. Un contrat vous lie à votre plateforme d’emailing

Votre plateforme manipule vos données pour votre compte. Le RGPD la qualifie de sous-traitant et exige un contrat écrit entre vous, prévu par son article 28. Rassurez-vous, vous n’avez rien à rédiger. Les plateformes sérieuses le proposent dans leurs conditions ou sous le nom d’accord de traitement des données, souvent abrégé DPA en anglais.

Profitez-en pour regarder où la plateforme héberge vos données. Si c’est hors de l’Union européenne, le prestataire doit indiquer sur quelle garantie juridique il s’appuie pour ce transfert.

12. Votre prospection figure dans votre registre

Le registre des traitements recense ce que votre structure fait des données personnelles. L’article 30 du RGPD l’impose, et une prospection régulière par email y a sa place, même dans une petite structure. Un tableur suffit. La CNIL met d’ailleurs à disposition un modèle simplifié, pensé pour les TPE et PME : une ligne « prospection commerciale » avec la finalité, les catégories de contacts, la durée de conservation et vos prestataires.

Ce que vous risquez vraiment

Sur le papier, le plafond des amendes RGPD a de quoi inquiéter : 20 millions d’euros ou 4 % du chiffre d’affaires mondial, selon l’article 83. Ces montants visent les manquements les plus graves des très grandes entreprises.

Pour une petite structure, la réalité est différente. Depuis 2022, la CNIL dispose d’une procédure de sanction simplifiée pour les dossiers les moins complexes, avec des amendes plafonnées à 20 000 euros. Et le déclencheur est rarement un contrôle au hasard. C’est le plus souvent une plainte. La CNIL en a reçu 17 772 en 2024, un record selon son rapport annuel. Un destinataire agacé qui ne trouve pas comment se désinscrire suffit à ouvrir un dossier.

Le risque le plus immédiat reste pourtant commercial. Chaque signalement pour spam abîme la réputation de votre adresse d’envoi, et vos prochaines campagnes arrivent moins bien, y compris chez les contacts qui voulaient vous lire. Si vous montez votre première newsletter, notre checklist de création vous aide à poser ces bases dès le départ.

Questions fréquentes