Droit d’opposition et droit à l’effacement dans les opérations marketing

Quatre mécanismes distincts permettent à un destinataire de faire cesser la prospection dans les régimes RGPD / UK GDPR et ePrivacy : l’opposition (article 21 du RGPD), l’opt-out ou désabonnement (le mécanisme de la couche ePrivacy), le retrait du consentement (article 7, paragraphe 3) et l’effacement (article 17). Ils diffèrent par leur portée et par ce que l’expéditeur doit ensuite faire des données ; et la solution au paradoxe apparent (« respecter un opt-out pour toujours exige de conserver l’adresse ; l’effacement exige de la supprimer ») est la liste de suppression. Cet article combine les lignes directrices opérationnelles de l’ICO et le bilan des décisions de la synthèse des décisions de guichet unique du CEPD. Pour l’architecture des listes de suppression elle-même (hachage, base de conservation, suppression au niveau de l’ESP), voir Le RGPD et les listes de suppression des ESP.

Le droit d’opposition (article 21)

• À des fins de prospection, le droit est absolu : aucune exception, aucun motif de refus, exerçable à tout moment, et il couvre le profilage lié à la prospection, y compris la déduction de centres d’intérêt à des fins de ciblage et la communication de données à des tiers à des fins de marketing.
• Pour un traitement fondé sur une mission d’intérêt public ou l’intérêt légitime, l’opposition n’est pas absolue : la personne invoque des raisons tenant à sa situation particulière, et le responsable du traitement ne peut poursuivre que s’il démontre des motifs légitimes et impérieux qui prévalent sur les intérêts de la personne, ou pour la constatation, l’exercice ou la défense de droits en justice. (Le marketing fondé sur l’intérêt légitime reste soumis à la règle absolue applicable à la prospection.)
• Obligation d’information : le droit d’opposition doit être porté à l’attention des personnes au plus tard au moment de la première communication, présenté clairement et séparément de toute autre information, en plus de l’information délivrée lors de la collecte au titre du droit à l’information.

Mécanique de traitement (ICO)

Opposition, opt-out et retrait (« respect people’s preferences » de l’ICO)

• L’opt-out ou désabonnement fonctionne comme une opposition limitée à un canal ou à une activité. L’exemple de l’ICO : un client envoie STOP par SMS ; la prospection par SMS doit cesser, mais la prospection par email peut continuer, puisque l’opt-out de ce canal n’a pas été exercé. Indiquez clairement, lors de la collecte, quels canaux un opt-out couvre.
• Retrait du consentement : il doit être aussi simple que le fait de le donner ; arrêtez la prospection couverte par le consentement immédiatement ou dès que possible ; et vous ne devez pas basculer vers une autre base légale (par exemple l’intérêt légitime) pour poursuivre la prospection après le retrait du consentement, ce qui serait déloyal.
• Pas de reconquête après une opposition : recontacter plus tard une personne pour lui demander si elle a changé d’avis constitue en soi une prospection adressée à une personne qui s’y est opposée. Sa dernière indication prévaut : une opposition n’est écartée que si la personne la retire expressément ou accepte ultérieurement la prospection ; le simple fait de ne pas s’opposer à nouveau ne l’écarte jamais.
• Contacts autorisés : un message de confirmation immédiat après un désabonnement (avec les instructions de réabonnement) est acceptable, à condition qu’il n’exige aucune action pour que l’opt-out prenne effet. Les rappels de préférences ne sont autorisés que comme un ajout mineur et accessoire à un message envoyé de toute façon pour une autre finalité (par exemple une ligne à la fin d’un relevé annuel), sans contenu marketing ni incitation à changer de choix.

Listes de suppression

Le concept décisif, selon l’ICO :

• En cas d’opposition ou d’opt-out, placez en suppression, ne supprimez pas : conservez juste assez d’informations pour garantir le respect de la préférence, clairement signalées afin qu’elles ne soient pas utilisées pour les finalités auxquelles la personne s’est opposée.
• Une liste de suppression n’est pas un traitement « à des fins de prospection » : elle existe pour respecter une obligation légale. Cela met fin à l’argument circulaire selon lequel conserver l’adresse d’une personne qui s’est opposée serait en soi un traitement marketing illicite, et cela signifie qu’il n’existe aucun droit automatique à l’effacement d’une entrée d’une liste de suppression.
• Le mode de défaillance de la suppression pure et simple : l’exemple de l’ICO ; une entreprise supprime le numéro de téléphone d’une personne qui s’est opposée, achète plus tard une liste filtrée par le TPS qui contient (licitement) encore ce numéro, et rappelle la personne, soit une violation du PECR qu’un filtrage par liste de suppression aurait évitée. Le même mécanisme s’applique aux listes email achetées ou réimportées.
• La minimisation des données s’applique : ne conservez que le minimum nécessaire à la suppression.
• Liste de suppression ≠ liste de filtrage : exclure les personnes qui ne correspondent pas à une campagne constitue en soi un traitement à des fins de prospection ; seule la suppression motivée par la conformité bénéficie de ce statut particulier. (Des registres légaux d’opposition existent pour d’autres canaux : TPS et CTPS pour les appels, MPS pour le courrier postal.)

Les demandes d’effacement (article 17) dans le contexte du marketing

L’effacement n’est pas absolu : dans le contexte du marketing, il s’applique lorsque le consentement est retiré, que les données ne sont plus nécessaires à la finalité, ou que la personne s’est opposée à la prospection. Les lignes directrices de l’ICO :

• Un retrait ou une opposition n’a pas à être automatiquement traité comme une demande d’effacement, mais en pratique, dès lors que vous ne pouvez plus utiliser les données, vous les supprimerez probablement, à l’exception de l’entrée minimale de suppression.
• La transaction type : le client s’oppose et demande la suppression ; l’entreprise cesse la prospection et supprime tout à l’exception d’une petite quantité d’informations conservées sur sa liste de suppression ; les droits du client sont satisfaits. L’effacement peut aussi être refusé pour des données nécessaires à d’autres finalités (les données doivent alors être clairement signalées comme exclues de toute utilisation marketing).
• Au titre de l’article 17, paragraphe 1, lorsque le consentement est retiré ou qu’une opposition aboutit, le responsable du traitement a une obligation autonome de supprimer les données (non placées en suppression) : une demande d’effacement expresse de la personne concernée n’est pas nécessaire (synthèse du CEPD, citant l’avis 39/2021 du CEPD).

Tendances de l’application : la synthèse des décisions de guichet unique du CEPD

La synthèse (Support Pool of Experts, Pr Alessandro Mantelero ; première version en décembre 2022, mise à jour en mai 2026) analyse les décisions définitives de guichet unique au titre de l’article 60 figurant dans le registre public du CEPD : 551 décisions sur l’article 17 et 80 sur l’article 21, adoptées de 2018 à janvier 2026. Les affaires relevant de l’article 17 ont culminé en 2022-2023 (les affaires dirigées par l’Irlande dominant : 84 en 2022, 150 en 2023, 35 en 2024) puis ont diminué ; les volumes relevant de l’article 21 sont restés stables. Les deux droits vont de pair en pratique : la plupart des affaires relevant de l’article 21 concernent la prospection, souvent associée à une demande d’effacement des données collectées auparavant ; et une décision allemande (DEBE:OSS:D:2018:9) juge qu’une opposition à la prospection déclenche une obligation de suppression au titre de l’article 17, paragraphe 1, point c), à appliquer « immédiatement ».

Constats récurrents directement pertinents pour l’exploitation de systèmes marketing :

Défaillances de conception et d’information

• Absence d’information sur le droit d’opposition, en violation de l’article 13, paragraphe 2, point b) (ES:2021:263) ; une banque a envoyé des emails marketing sans option d’opt-out lors de l’inscription, les préférences n’étant modifiables que dans l’espace de banque en ligne ou par le service client (NO:2021:292 : rappel à l’ordre, mesures ordonnées et respect des délais de l’article 12, paragraphe 3).
• Adresses d’expéditeur « no-reply » : si les réponses sont impossibles, le corps de l’email doit l’indiquer clairement, ainsi que le fait que les oppositions formulées par réponse seront sans effet (FR:2019:8). À l’inverse (NL:2022:376) : le RGPD n’exige pas de permettre le désabonnement par réponse, mais les emails marketing doivent comporter un lien clair vers une page permettant de se désabonner.
• Les liens de désabonnement pointant vers une page de compte client échouent pour les prospects qui n’ont pas de compte ; un lien qui désabonne directement est requis (FR:2020:84). Concevez les parcours d’exercice des droits pour chaque type de destinataire auquel vous écrivez.
• Procédures lourdes et barrières linguistiques : fournir une adresse de contact pour l’exercice des droits, mais y répondre automatiquement par une redirection vers un formulaire « Contactez-nous » du site web, constituait en soi une violation (FR:2022:326).
• Les emails d’accusé de réception doivent indiquer le délai de mise en œuvre, et le résultat doit être communiqué (EE:2019:55 ; FR:2019:41).

Défaillances de processus

• Arriérés et manque de capacité du service client (NO:2021:292) ; opposition enregistrée sur un seul des multiples comptes de la personne (EE:2019:55) ; erreurs techniques retardant la mise en conformité (CZ:2021:312) ; bases de données non synchronisées, anciennes adresses de contact non surveillées (MT:2021:212 : réponse automatique ou transfert obligatoire lors de la désactivation d’une adresse de contact ; FR:2023:999 : une ancienne adresse de support toujours active et publiée sur le web ne doit pas rester sans lecture), demandes transmises au mauvais service (UK:2019:31) et mauvaise qualification des demandes.
• Le responsable du traitement répond des erreurs de ses employés : la faute individuelle est sans incidence sur la responsabilité au titre du RGPD (DEBE:2021:184).
• Les demandes manuelles ou reçues par d’autres canaux doivent être traitées comme les demandes automatisées (SE:2021:178 : une demande postale n’a pas déclenché les notifications que le système numérique aurait envoyées). Un traitement semi-automatisé qui écarte les demandes ne suivant pas les instructions est illicite (DK:2020:151). En revanche, les demandes informelles (un tweet) peuvent être ignorées lorsque des canaux formels existent (SE:2021:276, confirmé par SE:2024:1550 : tout canal officiel du responsable du traitement doit fonctionner ; les demandes envoyées à des adresses quelconques ou erronées n’ont pas à être satisfaites).
• Tenir un registre des demandes d’opposition et de leur issue (principe de responsabilité).

Vérification de l’identité

• Exiger par défaut une pièce d’identité officielle n’est pas acceptable et viole la minimisation des données (article 5, paragraphe 1, point c)) : la politique générale de Groupon exigeant une carte d’identité (IE:2020:166), et FR:2019:3 (une relation client en ligne ne crée pas en soi de doute raisonnable). L’authentification doit être « pertinente, adéquate et proportionnée » ("relevant, appropriate and proportionate") au regard des données, de la demande, du contexte et du risque de divulgation (FR:2024:1286). Les demandes provenant de l’adresse email d’inscription ne nécessitent normalement aucune preuve supplémentaire (CY:2024:1120) ; alternatives aux pièces d’identité : identifiants uniques remis lors de l’inscription, politiques n’acceptant que l’email lié au compte, lignes téléphoniques avec mot de passe, appels en ligne ou questions de contrôle (pseudonymes, date d’inscription ; EE:2021:294). Lorsque la communication d’une pièce d’identité est justifiée, protégez sa transmission (NO:2024:1126 : carte d’identité envoyée par email non chiffré). Pour les oppositions en particulier, l’autorité suédoise relève qu’il n’y a normalement aucune raison d’authentifier, parfois même pas d’identifier, la personne qui s’oppose (SE:2025:1757).
• Il faut s’exécuter même en l’absence d’un processus parfait : poursuivre le traitement après une demande d’effacement valable enfreint l’article 6, paragraphe 1, puisque les données auraient pu être supprimées au moment de la demande.

Spécificités de l’effacement

• La plupart des affaires d’effacement découlent d’oppositions à la prospection (y compris des emails non sollicités ; NO:2022:314) et du nettoyage de comptes inutilisés ; les outils de suppression en libre-service sont mis en avant comme réduisant à la fois les erreurs et la charge de travail des autorités.
• Preuve de l’effacement : le responsable du traitement doit pouvoir démontrer la mise en conformité, par exemple par une capture d’écran montrant que la base de données ne renvoie aucun résultat pour le demandeur (DE:2023:929).
• Informer la personne concernée des mesures prises dans les délais de l’article 12, paragraphe 3 ; lorsque la demande est accueillie, il suffit d’indiquer que l’effacement a été engagé et sa durée maximale : aucune confirmation de l’achèvement n’est nécessaire sauf demande en ce sens (SE:2021:303).
• Des motifs prépondérants peuvent faire échec à l’effacement : conservation d’identifiants de paiement à des fins de prévention de la fraude (SE:2021:196), durées de conservation légales (DK:2021:210 ; mais maintenir un compte actif pendant deux ans au seul motif que des droits de réclamation existent n’était pas nécessaire, les réclamations pouvant être faites par email ou par téléphone), obligations de lutte contre le blanchiment et obligations bancaires (MT:2022:340 ; MT:2021:272 : la source juridique précise doit être indiquée au demandeur), dettes, conservation des données PNR, registres publics. Les obligations légales doivent être interprétées conformément aux principes de protection des données, sans abus ; les données excédant ce qu’exige l’obligation doivent tout de même être supprimées (l’« archivage intermédiaire » est encadré ; FR:2021:279, FR:2021:310).
• Les issues sont dominées par les règlements amiables et les rappels à l’ordre ; les amendes sont rares et reflètent généralement des manquements plus larges. La mise en conformité spontanée dès l’ouverture d’une enquête par une autorité est fréquente.

Liste de contrôle opérationnelle pour une plateforme marketing

1. Désabonnement = opposition sur ce canal : placez en suppression immédiatement, propagez à tous les comptes et enregistrements du destinataire, n’exigez jamais de connexion ni l’existence d’un compte.
2. Acheminez les oppositions en texte libre (réponses, tickets de support, téléphone) dans le même circuit de suppression que les clics sur un lien ; formez le personnel du support ; consignez les demandes orales.
3. Accusez réception en indiquant le délai ; traitez la demande dans un délai d’un mois ; confirmez le résultat.
4. Pour les demandes d’effacement émanant de contacts marketing : supprimez les données de profil, conservez une entrée minimale de suppression, et soyez en mesure de prouver les deux (preuve de la suppression et trace de la suppression).
5. N’exigez pas de pièce d’identité par défaut ; considérez les demandes provenant de l’adresse abonnée comme authentifiées par elles-mêmes.
6. Rendez la suppression permanente et filtrez chaque import de liste à partir de celle-ci, y compris les réimports et les listes achetées.
7. Indiquez la base juridique précise lorsque vous refusez un effacement en raison d’obligations de conservation.

Ces obligations rejoignent les pratiques de délivrabilité : des désabonnements instantanés et sans friction réduisent les plaintes pour spam qui pèsent sur la réputation, et le désabonnement en un clic de la RFC 8058, obligatoire chez Gmail, Yahoo et Microsoft pour les expéditeurs de gros volumes, est précisément le mécanisme « direct, sans compte » que les autorités de protection des données ne cessent d’ordonner aux expéditeurs de mettre en place.