Une case à cocher. Toute la mécanique de l'opt-in tient dans ce petit carré coché. Et pourtant, c'est probablement l'objet juridique le plus mal compris du marketing français. J'ai vu des équipes passer des semaines à refaire leur bandeau cookies en croyant régler leur problème de prospection par email — alors que c'était deux mondes complètement différents. J'ai aussi vu une PME perdre une base de 14 000 contacts parce qu'elle avait acheté une liste « consentie » sans pouvoir prouver un seul clic.
L'opt-in, c'est le principe du consentement préalable : on ne vous contacte pas avant que vous ayez dit oui. Logique. Sauf que le diable est dans les détails — quel oui, prouvé comment, valable combien de temps, et qu'est-ce qui se passe quand le client existe déjà ? C'est là que tout le monde se plante.
Points clés à retenir
- L'opt-in est le régime par défaut de la prospection en France : pas de consentement, pas d'envoi.
- Une case pré-cochée ne vaut rien. Un consentement doit être un acte positif, clair et documenté.
- Le soft opt-in (article L34-5 du CPCE) existe pour les clients existants, mais à des conditions précises.
- La vraie galère n'est pas de recueillir le consentement, c'est de le prouver deux ans plus tard.
- Le consentement aux cookies et l'opt-in emailing sont deux régimes distincts. Ne les mélangez pas.
Opt-in : la définition qui évite de se tromper
Opt-in veut dire « optez pour entrer ». En clair : la personne doit manifester activement son accord avant de recevoir une communication commerciale. L'opt-out, c'est l'inverse : vous êtes inscrit par défaut et vous devez demander à sortir.
En France, pour la prospection électronique — email, SMS, automate d'appel, fax — c'est l'opt-in qui s'applique. Le principe vient du RGPD mais surtout de l'article L34-5 du Code des postes et des communications électroniques, qui est souvent oublié alors qu'il est plus ancien et plus précis sur ce point.
Opt-in et opt-out : la différence concrète
L'opt-out garde son rôle, mais jamais au moment du recueil. Une fois que la personne est légalement dans votre base, elle doit pouvoir sortir à tout moment, gratuitement, sans justification. Le lien de désinscription en bas de chaque email, c'est de l'opt-out.
| Critère | Opt-in | Opt-out |
|---|---|---|
| Moment | Avant le premier envoi | Après l'inscription |
| Action attendue | Acte positif du contact | Demande de retrait |
| Usage en prospection | Obligatoire par défaut | Interdit comme base de recueil |
| Exemple | Case cochée sur un formulaire | Lien « se désinscrire » |
Une chose que j'ai apprise à mes dépens : le fameux formulaire avec la case déjà cochée. J'ai repris la gestion d'une base il y a quelques années dont les inscriptions venaient d'un tel formulaire. Sur le papier, tout le monde avait « consenti ». En pratique, aucun consentement valable. Résultat : 40 % de la base injoignable et une refonte complète à faire.
Le soft opt-in à la française : la dérogation que presque personne ne détaille
Vous avez déjà un client. Il a acheté quelque chose. Pouvez-vous lui envoyer une newsletter sans lui demander explicitement son accord ? La réponse est : parfois.
L'article L34-5 du CPCE prévoit une exception pour les coordonnées d'une personne déjà cliente. Trois conditions cumulatives :
- L'envoi porte sur des produits ou services analogues à ceux déjà achetés (une mutuelle ne peut pas envoyer de la pub pour un forfait mobile).
- L'adresse a été recueillie directement auprès de la personne, lors de la vente.
- L'opt-out est proposé à chaque envoi, de façon simple et gratuite.
Cette dérogation ne s'applique qu'aux clients, pas aux prospects froids. Un fichier acheté ou loué ne bénéficie jamais du soft opt-in.
Pourquoi cette exception est si mal exploitée
J'ai vu des e-commerçants l'invoquer pour envoyer n'importe quoi à leurs clients — promotions sur des catégories sans rapport, partenariats, sondages. À chaque fois, le raisonnement était le même : « ils sont clients, donc j'ai le droit ». Non. La notion de « produits analogues » est restrictive, et si un contrôle tombe, c'est à vous de démontrer que vous étiez bien dans le périmètre.
Double opt-in : la seule méthode que je défends vraiment
Il y a deux façons de recueillir un consentement. Soit la personne coche une case et c'est fini (simple opt-in). Soit elle coche une case, reçoit un email avec un lien de confirmation, et doit cliquer dessus pour être inscrite (double opt-in).
Le simple opt-in est plus rapide, convertit mieux, gonfle les chiffres. Le double opt-in est plus lent et perd des inscriptions. Je recommanderais le second sans hésiter. Et je sais que je vais me faire des ennemis dans les équipes growth.
Voici pourquoi, chiffres à l'appui : sur une campagne où j'ai comparé les deux sur deux parcours différents, le double opt-in a perdu environ 18 % d'inscriptions au moment de la confirmation. Mais le taux de plainte « spam » a chuté en dessous de 0,02 %, et la délivrabilité vers Gmail et Outlook s'est nettement améliorée sur les mois suivants. Une liste plus petite et plus propre bat toujours une grosse liste pourrie.
Comment formuler une case à cocher conforme
- La case est vide par défaut. Pas de pré-cochage, jamais.
- La finalité est explicite : « J'accepte de recevoir les offres de [marque] par email ».
- Pas de consentement groupé qui mélange plusieurs finalités (newsletter + partenaires + cookies).
- Le consentement est distinct de l'acceptation des CGV — une case séparée.
Une anecdote rapide. Sur un site de formation, j'ai repéré pendant un audit que la case « newsletter » était visuellement collée à la case CGV. Un seul clic validait les deux. Techniquement, on avait un consentement. Juridiquement, c'était intenable : on ne pouvait pas isoler le consentement marketing du consentement contractuel. Correction faite, on a perdu 9 % de nouveaux inscrits… et gagné une base honnête.
Opt-in et preuve du consentement : le vrai casse-tête
L'opt-in n'est pas un problème de recueil. C'est un problème d'archivage. La CNIL ne vous demandera pas si vous avez recueilli un consentement. Elle vous demandera de le prouver. Et là, beaucoup de monde tombe de haut.
Concrètement, pour chaque contact, il faut pouvoir exhiber :
- La date et l'heure exactes du consentement
- La source (page, formulaire, campagne)
- La formulation précise de la case cochée à ce moment-là
- L'adresse IP, un identifiant de session ou une trace technique
- L'historique des modifications (renouvellement, retrait, réinscription)
Sur une base de plusieurs dizaines de milliers de contacts, c'est un travail d'ingénierie. J'ai passé un mois complet à reconstituer des logs pour une seule liste — et encore, on avait une chance : le client avait gardé les exports CRM et l'historique du formulaire. La moitié des entreprises que je croise n'ont rien.
Combien de temps conserver la preuve d'opt-in ?
La règle pratique retenue par la plupart des juristes : trois ans à compter du dernier contact, pour la prospection. Mais si une personne reste cliente active, la logique voudrait de pouvoir tracer le consentement sur toute la durée de la relation. Le plus sûr : archiver tout, et ne purger qu'après une période de trois ans d'inactivité. Si un contrôle CNIL arrive, vous avez les traces.
Opt-in banque et cookies : ne confondez pas les régimes
Je reçois régulièrement cette question : « Est-ce que mon bandeau cookies suffit pour mes emails ? » Non. Et la confusion vient d'un mot qui revient partout, notamment quand on parle du consentement dans le secteur bancaire ou des télécoms.
Il faut distinguer :
- Opt-in prospection — consentement au démarchage commercial (email, SMS, téléphone). Régime : L34-5 CPCE + RGPD.
- Opt-in cookies / traceurs — consentement au dépôt de cookies et technologies similaires. Régime : article 82 de la loi Informatique et Libertés.
Une case cochée pour recevoir une newsletter ne vaut rien pour les cookies. Et un bandeau d'acceptation cookies ne vous donne pas le droit d'envoyer un email commercial. Ce sont deux consentements, deux textes, deux preuves. Dans le secteur bancaire, par exemple, une banque doit obtenir l'opt-in explicite de ses clients pour la prospection par email, même si elle dispose d'un consentement pour ses traceurs. Ce sont deux silos qui ne communiquent pas.
Erreurs fréquentes et sanctions réelles
Le régime a des dents. Les amendes CNIL pour prospection sans consentement existent, et elles sont publiques. Elles vont de quelques dizaines de milliers d'euros pour des TPE jusqu'à plusieurs millions pour des acteurs importants. Le motif est presque toujours le même : prospection par email ou SMS sans consentement valable, ou conservation des données sans base légale.
Ce qui m'a marqué dans ces décisions, ce n'est pas le montant. C'est la rapidité avec laquelle la charge de la preuve vous écrase. Une entreprise qui ne peut pas démontrer son opt-in est présumée ne pas l'avoir. Point.
Trois erreurs que je vois systématiquement :
- Case pré-cochée « pour simplifier » — aucune valeur.
- Base achetée avec un « fichier de consentement » opaque — pire que rien, car il crée un faux sentiment de sécurité.
- Consentement global (newsletter + partenaires + téléphone) — non conforme, un consentement doit être spécifique par finalité.
Ce qui reste une fois qu'on a tout compris
L'opt-in, au fond, n'est pas une contrainte qu'on subit. C'est un filtre. Il vous débarrasse de tous ceux qui ne veulent pas vous lire — et c'est très bien ainsi.
La vraie question n'est pas « comment cocher plus de cases », mais « comment recueillir un consentement que je pourrai prouver dans trois ans, sur un contact qui avait vraiment envie de m'entendre ». Posez-vous la question dans cet ordre, et le reste suit. Posez-la dans l'autre sens, et vous passerez votre prochain contrôle à reconstituer des logs.
