La question arrive presque toujours dans les mêmes termes. Une entreprise a une base de quelques milliers d'adresses accumulée au fil des années : un peu de formulaire de contact, un peu de cartes de visite ramassées en salon, parfois un fichier acheté dont plus personne ne sait d'où il vient. Elle voudrait s'en servir, et elle pose une seule question alors qu'il y en a trois.
Ai-je le droit d'envoyer. Est-ce que ça arrivera. Est-ce que ça reste à moi. Ces trois questions relèvent de trois univers différents, et les confondre est la raison pour laquelle tant de campagnes partent mal. La première relève du droit, la deuxième d'infrastructure serveur, la troisième d'un article du règlement européen que personne ne lit. Voici les trois réponses, avec les textes.
Première question : ai-je le droit d'envoyer
Le régime français est une interdiction, pas une permission encadrée
Le premier alinéa de l'article L.34-5 du code des postes et des communications électroniques pose une interdiction : est interdite la prospection directe au moyen de courriers électroniques utilisant les coordonnées d'une personne physique qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. La formulation compte. On ne cherche pas ce qui est autorisé sous conditions, on part d'une interdiction à laquelle il faut trouver une exception.
Deuxième surprise pour beaucoup : une lettre d'information qui ne vend rien est quand même de la prospection. Le troisième alinéa du même article définit la prospection directe comme l'envoi de tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l'image d'une personne vendant des biens ou fournissant des services. Le mot décisif est « indirectement ». Une newsletter de contenu, un billet de blog envoyé chaque mois, une communication qui entretient la notoriété : tout cela promeut l'image de l'entreprise, donc tout cela entre dans la définition.
La vraie question n'est pas le consentement, c'est la preuve
Le règlement européen met la charge de la preuve sur celui qui traite les données, pas sur la personne concernée. Autrement dit, une base sans journal de preuve, c'est-à-dire sans la date, l'heure, la source et le libellé exact de ce qui a été coché ou accepté, est indéfendable même si le consentement a réellement existé. C'est un renversement que peu d'articles écrivent, et il change la conversation : la bonne question n'est pas « ces gens ont-ils consenti », c'est « puis-je le démontrer, adresse par adresse ».
Cela commande un triage avant toute campagne, en trois piles. Les adresses dont la provenance est tracée et documentée, exploitables. Celles dont on pense qu'elles ont consenti sans pouvoir le prouver, à reconsentir. Celles dont la provenance est inconnue ou achetée, à supprimer.
Acheter un fichier ne transfère pas le risque au vendeur
C'est l'illusion la plus coûteuse du sujet. Le 15 mai 2025, la CNIL a prononcé une amende de 900 000 euros contre Solocal Marketing Services, une société de marketing digital qui exploitait des bases acquises auprès de courtiers en données, éditeurs de sites de jeux-concours ou de tests de produits. Le raisonnement est le point important : la société, en tant qu'utilisatrice de ces données, devait s'assurer elle-même de la validité du consentement avant de mener ses campagnes. La sanction s'est accompagnée d'une injonction de cesser la prospection sans consentement valable, sous astreinte de 10 000 euros par jour de retard passé un délai de neuf mois.
Aucun éditeur d'outil d'emailing n'écrira cette phrase. Elle dissuade l'import de liste, qui est le premier geste de son tunnel d'inscription. C'est une des rares situations où un prestataire peut dire quelque chose qu'un logiciel ne peut structurellement pas dire.
Trois ans, et ce qui remet le compteur à zéro
Les données d'un prospect qui n'est pas client se conservent trois ans à compter de leur collecte ou du dernier contact venant du prospect. La nuance tient dans un mot : le contact doit venir du prospect. Un clic sur un lien dans un courriel compte. Une ouverture de message ne compte pas. Une base de dix ans jamais sollicitée est donc généralement périmée en droit avant même qu'on se demande si elle est de bonne qualité.
Dernier principe, souvent violé sans mauvaise intention : le retrait du consentement doit être aussi simple que son recueil. Si l'inscription se fait en un clic sur un formulaire, le désabonnement ne peut pas exiger de créer un compte, de retrouver un mot de passe ou d'écrire à un service.
Une actualité que presque personne n'a intégrée
Tous les articles français sur le sujet citent le même montant : 375 000 euros pour une personne morale. Ce montant figure au huitième alinéa de l'article L.34-5. Or, par sa décision n° 2026-1210 QPC du 25 juin 2026, le Conseil constitutionnel a déclaré contraires à la Constitution les sixième, huitième et avant-dernier alinéas de cet article, au motif que trois autorités distinctes, la CNIL, l'Arcep et la direction générale de la concurrence, de la consommation et de la répression des fraudes, pouvaient sanctionner les mêmes faits avec des montants différents, ce qui méconnaît le principe de nécessité des peines. L'abrogation est reportée au 31 octobre 2027, et une réserve transitoire s'applique dès la publication : aucune de ces autorités ne peut engager ou poursuivre une procédure si une autre l'a déjà fait pour les mêmes faits contre la même personne.
Il faut lire cette décision pour ce qu'elle est, et rien de plus. Elle porte sur le régime de sanction, pas sur l'interdiction de fond. Les alinéas 1 à 5, qui posent l'obligation de consentement, la définition de la prospection et l'obligation de fournir des coordonnées valables pour se désinscrire, sont intacts. Personne n'a le droit d'envoyer davantage aujourd'hui qu'avant le 25 juin 2026. En revanche, citer 375 000 euros sans préciser que l'alinéa qui le porte est censuré revient à recopier une source périmée, et cela se vérifie en une lecture.
Le cas du B2B, qui n'est pas une exemption générale
La prospection vers des professionnels peut se fonder sur l'intérêt légitime, sans consentement préalable, mais à deux conditions cumulatives : l'objet de la sollicitation doit être en rapport avec la profession de la personne démarchée, et celle-ci doit pouvoir s'opposer simplement et à tout moment. Une adresse nominative en entreprise ne devient pas librement adressable pour autant. Proposer un service sans rapport avec le métier de la personne sort de l'aménagement et retombe sous le régime général.
Deuxième question : est-ce que ça arrivera
Ici, on quitte le droit pour l'infrastructure. Le point que les entreprises ont le plus de mal à admettre est que la délivrabilité ne se règle pas dans une interface : elle se joue dans les enregistrements DNS du domaine et dans la réputation de ce qui envoie.
Ce que Google exige, et le seuil que tout le monde attribue à Yahoo
Google définit l'expéditeur en volume comme celui qui envoie environ 5 000 messages ou plus vers des comptes Gmail personnels sur une période de vingt-quatre heures. Deux précisions manquent systématiquement dans les articles français : ce statut est permanent une fois atteint, et il s'apprécie de façon agrégée sur l'ensemble des sous-domaines. Découper ses envois entre plusieurs sous-domaines ne fait donc pas repasser sous le seuil.
Pour ces expéditeurs, SPF et DKIM sont tous deux requis, et un enregistrement DMARC doit exister pour le domaine d'envoi. Nuance contre-intuitive mais utile : une politique DMARC en p=none satisfait l'exigence, il n'est pas nécessaire de passer en quarantaine ou en rejet pour être conforme. S'ajoutent des conditions d'infrastructure absentes de la plupart des listes de contrôle : un enregistrement DNS direct et inverse valide pour le domaine ou l'adresse d'envoi, et une adresse d'envoi cohérente avec ce que déclare le nom.
Sur les plaintes, deux nombres à ne pas confondre : maintenir un taux inférieur à 0,10 pour cent, et ne jamais atteindre 0,30 pour cent. Le second est le plafond au-delà duquel la délivrabilité se dégrade durablement. Et depuis novembre 2025, Google a durci l'application : là où la période précédente se traduisait surtout par un classement en indésirable, le trafic non conforme fait désormais l'objet de rejets, temporaires puis permanents. Un message rejeté ne se retrouve pas dans un dossier, il n'arrive pas.
Yahoo, en vigueur depuis février 2024, demande un taux de plainte sous 0,3 pour cent, un désabonnement en un clic fonctionnel via l'en-tête List-Unsubscribe, la méthode POST du RFC 8058 étant fortement recommandée, les demandes honorées sous deux jours, et une clé DKIM d'au moins 1024 bits. Mais Yahoo ne publie aucun seuil de volume chiffré. Ses bonnes pratiques distinguent les expéditeurs sans jamais donner de nombre. Le 5 000 par vingt-quatre heures appartient à Google seul, et l'attribuer aux deux est l'erreur la plus répandue de tout le corpus francophone sur le sujet.
Troisième question : est-ce que ça reste à moi
Dans une prestation d'emailing, la répartition des rôles est fixée par le règlement : l'entreprise cliente est responsable de traitement, le prestataire est sous-traitant. Cette qualification n'est pas administrative, elle emporte des obligations précises. Un contrat écrit, des instructions documentées, la possibilité pour le client de faire auditer le sous-traitant, et surtout la suppression ou la restitution de l'intégralité des données au terme de la prestation.
La conséquence pratique mérite d'être écrite noir sur blanc dans un devis, et nous le faisons : ce qui vous est rendu, c'est la liste, les preuves de consentement associées, le domaine d'envoi et la configuration DNS. Un prestataire qui héberge votre liste sur son propre domaine d'envoi vous rend captif de sa réputation d'expédition, et changer de main devient un recommencement plutôt qu'une bascule.
Sur l'hébergement, une précision d'honnêteté. Il serait faux d'écrire que les outils américains sont illégaux : la décision d'adéquation du 10 juillet 2023 est en vigueur. La formulation juste est plus modeste et plus solide : leur licéité repose sur une décision de la Commission européenne actuellement contestée, un pourvoi ayant été formé le 31 octobre 2025 devant la Cour de justice sous le numéro C-703/25 P. Un hébergement sur serveur privé en Europe, lui, ne dépend d'aucun mécanisme de transfert. C'est un argument plus faible qu'une affirmation excessive, mais il a l'avantage d'être exact.
Ce que cela donne quand nous prenons un projet d'emailing
Le triage passe avant la première campagne, et il arrive qu'il aboutisse à un refus. Une base achetée ne sera pas envoyée, quelle que soit sa taille et quel que soit l'intérêt commercial du dossier. Ce n'est pas une posture : l'expéditeur répond de la validité du consentement, et une amende de 900 000 euros assortie d'une astreinte quotidienne est un risque qui ne se partage pas.
Ensuite viennent l'authentification du domaine, les enregistrements DNS, le désabonnement en un clic conforme au RFC 8058, la surveillance du taux de plainte, et la reprise progressive du volume pour une base longtemps inactive. Tout se traite par écrit, sans rendez-vous ni appel, avec une réponse sous vingt-quatre heures ouvrées.
Si vous voulez savoir ce que vaut réellement votre base avant d'engager quoi que ce soit, décrivez-la nous : origine des adresses, ancienneté, dernier envoi, ce que vous pouvez prouver. Notre page email marketing détaille la prestation, et le formulaire de cadrage prend quelques minutes.