Directive ePrivacy et RGPD dans l’UE : le marketing par email

Ceci n’est pas un avis juridique. Il s’agit d’une synthèse de référence des directives, du règlement et des lignes directrices du CEPD à l’intention des praticiens de la délivrabilité. Les sanctions, les transpositions nationales et les lignes directrices évoluent ; consultez un conseil qualifié pour toute décision de conformité.

Deux textes encadrent le marketing par email dans l’UE, et les confondre est la source de la plupart des malentendus :

• La directive 2002/58/CE « vie privée et communications électroniques » (dite directive ePrivacy, modifiée par la directive 2009/136/CE) : la règle d’envoi. Son article 13 dit quand un email de marketing peut être envoyé (consentement préalable, avec une exception).
• Le RGPD (règlement (UE) 2016/679, règlement général sur la protection des données) : les règles de traitement. Il définit ce qu’est un consentement valable (article 4, point 11, et article 7), fournit les bases légales (article 6) et accorde un droit absolu de s’opposer à la prospection (article 21, paragraphes 2 et 3).

« Le RGPD exige le consentement pour le marketing par email » est une simplification excessive : l’exigence d’un consentement pour envoyer vient de l’article 13 de la directive ePrivacy, tandis que le RGPD fixe la norme de qualité que ce consentement doit respecter (dans ses lignes directrices 05/2020, ¶ 7, le Comité européen de la protection des données, CEPD, confirme que les renvois de la directive ePrivacy au consentement de la directive 95/46/CE s’entendent désormais comme des renvois au consentement du RGPD, et que les conditions du consentement du RGPD s’appliquent dans les situations relevant d’ePrivacy). Parce qu’ePrivacy est une directive, chaque État membre l’a transposée dans son droit national, avec de réelles divergences (voir le tableau ci-dessous). Une proposition de règlement ePrivacy destinée à remplacer la directive a été négociée pendant des années puis retirée par la Commission au début de 2025 ; la directive de 2002/2009 reste le droit applicable.

Article 13 : communications non sollicitées

Principales dispositions (texte consolidé ; la modification de 2009 a étendu la protection aux « abonnés ou utilisateurs » et ajouté des dispositions sur les sanctions, sans changer la structure ci-dessous) :

• 13(1) : consentement préalable. « L’utilisation de systèmes automatisés d’appel et de communication sans intervention humaine (automates d’appel), de télécopieurs ou de courrier électronique à des fins de prospection directe ne peut être autorisée que si elle vise des abonnés ou des utilisateurs ayant donné leur consentement préalable. » L’opt-in est la règle par défaut.
• 13(2) : le « soft opt-in » (exception des clients existants). Le marketing par email sans consentement n’est permis que si toutes les conditions suivantes sont réunies :
  1. une personne physique ou morale a obtenu de ses clients leurs coordonnées électroniques en vue d’un courrier électronique,
  2. dans le cadre de la vente d’un produit ou d’un service (dans le respect du droit de la protection des données),
  3. la même personne physique ou morale exploite ces coordonnées (et non une société du groupe, un partenaire ou un acheteur de liste),
  4. à des fins de prospection directe pour des produits ou services analogues qu’elle-même fournit, et
  5. les clients se voient donner clairement et expressément la faculté de s’opposer, sans frais et de manière simple, à cette exploitation, au moment où les coordonnées sont recueillies et lors de chaque message (au cas où ils n’auraient pas refusé d’emblée cette exploitation).
• 13(3) : pour la prospection directe par d’autres moyens (par exemple le courrier postal ou les appels avec intervention humaine), les États membres choisissent entre opt-in et opt-out dans leur droit national.
• 13(4) : quel que soit le consentement, il est interdit d’émettre des messages de prospection « en camouflant ou en dissimulant l’identité de l’émetteur au nom duquel la communication est faite », ou sans indiquer d’adresse valable à laquelle le destinataire peut transmettre une demande visant à obtenir que ces communications cessent. (La modification de 2009 a ajouté l’interdiction d’encourager les destinataires à visiter des sites internet enfreignant les règles d’identification du commerce électronique.)
• 13(5) : les paragraphes 1 et 3 protègent les personnes physiques ; les États membres doivent aussi veiller à ce que les intérêts légitimes des abonnés autres que les personnes physiques (les abonnés personnes morales) soient « suffisamment protégés », ce qui explique que le traitement du B2B varie d’un pays à l’autre (voir le tableau).

« Courrier électronique » (article 2, point h)) : « tout message sous forme de texte, de voix, de son ou d’image envoyé par un réseau public de communications qui peut être stocké dans le réseau ou dans l’équipement terminal du destinataire jusqu’à ce que ce dernier le récupère ». Cela couvre l’email, le SMS, la messagerie vocale et (selon les autorités de contrôle) les messages directs dans les applications et sur les réseaux sociaux : la même étendue que la définition du PECR britannique, qui est la transposition britannique de cette directive.

La norme de consentement du RGPD (lignes directrices 05/2020 du CEPD, version 1.1, adoptées le 4 mai 2020)

Article 4, point 11 : le consentement est « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ». Mise en œuvre par le CEPD :

Deux règles ont des conséquences directes sur la gestion des listes :

• Pas de changement discret de base légale (¶¶ 121 à 123) : un responsable du traitement ne peut pas se rabattre sur l’intérêt légitime lorsque le consentement se révèle invalide ou est retiré ; la base légale doit être choisie et annoncée avant la collecte.
• Consentements antérieurs au RGPD (¶¶ 166 à 171) : ils ne restent valables que s’ils respectaient déjà la norme du RGPD. Les consentements présumés sans trace et les consentements par case précochée « seront automatiquement en deçà des normes de consentement établies par le RGPD » et devaient être renouvelés, faute de quoi le traitement devait cesser : c’est le moteur juridique de la vague de campagnes de reconsentement de 2018.

Pour les enfants, l’article 8 fixe à 16 ans l’âge du consentement pour les services de la société de l’information, les États membres pouvant l’abaisser jusqu’à 13 ans au minimum.

Base légale : consentement ou intérêt légitime

Au regard du seul RGPD, le traitement à des fins de prospection peut reposer sur le consentement (article 6, paragraphe 1, point a)) ou sur l’intérêt légitime (article 6, paragraphe 1, point f)) ; le considérant 47 le dit expressément : « Le traitement de données à caractère personnel à des fins de prospection peut être considéré comme étant réalisé pour répondre à un intérêt légitime. » Mais l’intérêt légitime ne peut pas l’emporter sur l’article 13 de la directive ePrivacy : pour l’acte d’envoyer un email, seuls le consentement de l’article 13, paragraphe 1, ou le soft opt-in de l’article 13, paragraphe 2, conviennent. Le schéma établi (repris dans les recommandations de l’ICO pour le PECR britannique) :

• envoi fondé sur le consentement de l’article 13, paragraphe 1 → la base légale au titre du RGPD est le consentement ;
• envoi fondé sur le soft opt-in de l’article 13, paragraphe 2 → la base légale au titre du RGPD est généralement l’intérêt légitime, documenté par une mise en balance des intérêts.

Dans les deux cas, l’article 21, paragraphes 2 et 3, accorde un droit absolu de s’opposer au traitement à des fins de prospection : « les données à caractère personnel ne sont plus traitées à ces fins », sans mise en balance, sans avoir à justifier de motifs, et sans frais (considérant 70). C’est le fondement juridique de l’obligation de liste de suppression permanente.

Amendes : les violations des conditions du consentement et des droits des personnes concernées relèvent du plafond supérieur du RGPD, jusqu’à 20 000 000 EUR ou 4 % du chiffre d’affaires annuel mondial total, le montant le plus élevé étant retenu (article 83, paragraphe 5) ; les autres obligations du responsable du traitement et du sous-traitant, jusqu’à 10 000 000 EUR ou 2 % (article 83, paragraphe 4). Les sanctions au titre d’ePrivacy sont fixées au niveau national et varient fortement.

Pixels de suivi et article 5, paragraphe 3 : lignes directrices 2/2023 du CEPD (version 2.0, adoptées le 7 octobre 2024)

L’article 5, paragraphe 3 (modifié en 2009), exige l’accord de l’abonné ou de l’utilisateur, après une information claire et complète, pour « le stockage d’informations, ou l’obtention de l’accès à des informations déjà stockées, dans l’équipement terminal d’un abonné ou d’un utilisateur », avec deux exceptions : le stockage ou l’accès techniques visant exclusivement à effectuer la transmission d’une communication, et le stockage ou l’accès strictement nécessaires à la fourniture d’un service expressément demandé par l’abonné ou l’utilisateur. La règle est neutre sur le plan technologique (elle ne vise pas que les cookies) et s’applique aux « informations », pas seulement aux données à caractère personnel.

Les trois critères d’applicabilité du CEPD : (A) l’opération porte sur des informations ; (B) elle concerne un équipement terminal connecté ou pouvant être connecté à un réseau public de communications ; (C) elle constitue un stockage ou une obtention de l’accès, qui n’ont pas besoin d’intervenir dans la même communication ni d’être effectués par la même partie.

Le suivi des ouvertures et des clics dans les emails entre pleinement dans le champ (section 3.1, ¶¶ 47 à 51) :

• Un pixel de suivi dans un email existe pour amener le client de messagerie à établir, avec l’hébergeur du pixel, une communication qui n’aurait pas lieu autrement, révélant le moment où l’email est lu ; il peut porter des identifiants propres à chaque destinataire. Les liens de suivi fonctionnent de la même façon, l’identifiant étant ajouté à l’URL.
• La distribution des pixels et des liens sur l’appareil « constitue bien un stockage, au moins par le mécanisme de mise en cache du logiciel côté client… même si ce stockage n’est pas permanent » (does constitute storage, at the very least through the caching mechanism of the client-side software… even if this storage is not permanent) (¶ 50).
• L’identifiant de suivi ajouté « constitue une instruction donnée à l’équipement terminal de renvoyer l’information ciblée » (constitutes an instruction to the terminal equipment to send back the targeted information), c’est-à-dire une obtention de l’accès (¶ 51).

Par conséquent, la télémétrie d’engagement au cœur du métier d’ESP (ouvertures par pixel, clics par redirection avec des jetons propres à chaque destinataire) exige dans l’UE un consentement au titre de l’article 5, paragraphe 3, sauf si une exception s’applique (le CEPD n’analyse que le champ d’application et laisse les exceptions au droit national et à l’appréciation au cas par cas, ¶ 40, mais aucune des deux exceptions ne couvre de manière plausible l’analytique marketing). Points aux conséquences opérationnelles :

• Qui recueille le consentement : l’expéditeur, responsable du traitement (le client de l’ESP), en général à l’inscription, en même temps que le consentement au marketing ; au sens des lignes directrices 05/2020 du CEPD, c’est une finalité distincte, qui appelle un consentement séparé.
• Les lignes directrices font aussi entrer en partie dans le champ le suivi fondé sur la seule adresse IP (¶¶ 54 et 55) et rappellent que l’applicabilité de l’article 5, paragraphe 3, « ne signifie pas systématiquement qu’un consentement doit être recueilli » (does not systematically mean that consent needs to be collected) : l’analyse des exceptions est distincte (¶ 56).
• Tension avec les pratiques de délivrabilité : les politiques de mise en sommeil fondées sur l’engagement supposent des données d’ouverture et de clic. En l’absence de consentement aux pixels, les solutions de remplacement sont des signaux agrégés ou issus des journaux, que l’expéditeur maîtrise : l’activité de clic sur des liens consentis, les données de livraison au niveau SMTP, les événements de plainte et de désabonnement, et l’activité sur le site ou d’achat. Notez qu’Apple Mail Privacy Protection précharge déjà les pixels, ce qui rend l’ouverture peu fiable comme signal individuel : les contraintes de consentement de l’UE accélèrent un abandon déjà engagé des automatisations fondées sur les ouvertures.

Divergences entre États membres (Fieldfisher, « Email Marketing Across Europe », janvier 2024)

Les transpositions nationales d’ePrivacy diffèrent sur trois points : l’email B2B est-il exempté de l’opt-in, le soft opt-in exige-t-il une vente effective ou une simple relation commerciale (demande de renseignements, devis), et le double opt-in est-il attendu comme preuve. Définitions : opt-in = acte positif univoque ; soft opt-in = les quatre conditions de l’article 13, paragraphe 2 (coordonnées recueillies dans le cadre d’une vente ; même entité juridique ; produits ou services analogues ; opposition gratuite lors de la collecte et dans chaque message). Le marketing par email pour le compte de tiers (« partenaires ») exige en pratique partout un opt-in qui nomme l’expéditeur.

Lecture pratique pour un ESP à qui l’on demande « puis-je écrire à cette liste européenne ? » : pour une liste qui mêle plusieurs pays de l’UE, appliquez le cumul des règles de tous ces pays ; un opt-in documenté individuellement, avec un désabonnement fonctionnel dans chaque message, satisfait tous les États ; le soft opt-in n’est sûr que pour un seul pays, sur ses propres données, pour des produits analogues, avec une offre d’opposition lors de la collecte dont on peut prouver qu’elle a été faite ; les exemptions B2B sont propres à chaque pays et ne couvrent jamais les entrepreneurs individuels (qui sont des personnes physiques).

Rester à jour

Le tableau ci-dessus est un instantané de janvier 2024. Deux références tenues à jour à consulter avant de vous fier à une ligne :

• DLA Piper, Data Protection Laws of the World (dlapiperdataprotection.com) : plus de 160 juridictions, une rubrique « Electronic marketing » par pays, comparaison côte à côte ; mise à jour deux fois par an.
• IAPP Global Privacy Directory (iapp.org/resources/global-privacy-directory) : 240 juridictions ; liens vers chaque autorité de protection des données et vers la législation sous-jacente pour les juridictions moins courantes.

Enjeux pour la délivrabilité

Les conditions de l’article 13 codifient juridiquement ce que les fournisseurs de messagerie récompensent de toute façon : des adresses collectées directement, dans le cadre d’une relation commerciale réelle, un consentement granulaire, une offre d’opposition lors de la collecte et un désabonnement dans chaque message (méthodes de consentement, fondamentaux). Les exigences d’identité et d’adresse valable de l’article 13, paragraphe 4, correspondent aux normes de transparence de l’expéditeur que tous les filtres appliquent. Là où le droit et la délivrabilité divergent, c’est sur le consentement au suivi : les règles de l’UE limitent la télémétrie d’engagement que suppose une hygiène de base de données pilotée par la réputation ; les expéditeurs très présents dans l’UE devraient donc fonder leur logique de mise en sommeil sur les clics, les conversions et les plaintes plutôt que sur les ouvertures.