Droit d’opposition et droit à l’effacement dans les opérations marketing

Quand une personne vous demande de cesser de lui adresser de la prospection ou de supprimer ses données, ce que vous devez faire dépend du droit qu’elle exerce. Au titre du RGPD, du UK GDPR et des règles ePrivacy, un destinataire dispose de quatre moyens distincts de faire cesser la prospection : l’opposition (article 21 du RGPD), l’opt-out ou désabonnement (le mécanisme issu des règles ePrivacy), le retrait du consentement (article 7, paragraphe 3) et l’effacement (article 17). Ils diffèrent par leur portée et par ce que l’expéditeur doit ensuite faire des données.

Ils semblent aussi entrer en conflit : respecter un opt-out pour toujours implique de conserver l’adresse, alors que l’effacement implique de la supprimer. La liste de suppression résout ce conflit. Les recommandations ci-dessous combinent les lignes directrices opérationnelles de l’Information Commissioner’s Office (ICO) britannique et le bilan d’application de la synthèse des décisions de guichet unique du Comité européen de la protection des données (CEPD). Pour la construction de la liste de suppression elle-même (hachage, base légale de sa conservation, suppression au niveau de l’ESP), voir Le RGPD et les listes de suppression des ESP.

Le droit d’opposition (article 21)

• À des fins de prospection, le droit est absolu. Il ne connaît aucune exception ni aucun motif de refus, il peut être exercé à tout moment, et il couvre le profilage lié à la prospection, y compris la déduction de centres d’intérêt à des fins de ciblage et la communication de données à des tiers à des fins de marketing.
• Pour un traitement fondé sur une mission d’intérêt public ou l’intérêt légitime, l’opposition n’est pas absolue. La personne invoque des raisons tenant à sa situation, et le responsable du traitement ne peut poursuivre que s’il a des motifs légitimes et impérieux qui prévalent sur les intérêts de la personne, ou pour des droits en justice. Le marketing fondé sur l’intérêt légitime reste soumis à la règle absolue applicable à la prospection.
• Obligation d’information : le droit d’opposition doit être porté à l’attention des personnes au plus tard au moment de la première communication, clairement et séparément de toute autre information, et aussi lors de la collecte, au titre du droit à l’information.

Mécanique de traitement (ICO)

Opposition, opt-out et retrait comparés (ICO, « respect people’s preferences »)

• Un opt-out ou désabonnement fonctionne comme une opposition limitée à un canal ou à une activité. Dans l’exemple de l’ICO, un client envoie STOP par SMS. La prospection par SMS doit cesser, mais la prospection par email peut continuer, car le client n’a pas exercé d’opt-out sur ce canal. Indiquez clairement, lors de la collecte, quels canaux un opt-out couvre.
• Le retrait du consentement doit être aussi simple que le fait de donner son consentement. Cessez immédiatement, ou dès que possible, la prospection que couvrait le consentement. Vous ne devez pas basculer vers une autre base légale (par exemple l’intérêt légitime) pour poursuivre la prospection après le retrait du consentement, car ce serait déloyal.
• Pas de reconquête après une opposition. Recontacter plus tard une personne pour lui demander si elle a changé d’avis constitue en soi une prospection adressée à une personne qui s’y est opposée. Sa dernière indication prévaut. Une opposition n’est écartée que si la personne la retire expressément ou accepte ultérieurement la prospection. Le fait de ne pas s’opposer à nouveau ne l’écarte jamais.
• Contacts autorisés : un message de confirmation immédiat après un désabonnement (avec les instructions pour se réabonner) est acceptable, à condition que l’opt-out prenne effet sans aucune autre action. Les rappels de préférences ne sont autorisés que comme un ajout mineur et accessoire à un message envoyé de toute façon pour une autre finalité (par exemple une ligne à la fin d’un relevé annuel), sans contenu marketing ni incitation à changer de choix.

Listes de suppression

Selon l’ICO, la liste de suppression est le concept dont tout le reste dépend :

• Quand une personne s’oppose ou exerce un opt-out, placez ses données en suppression au lieu de les supprimer. Conservez juste assez d’informations pour garantir le respect de sa préférence, et signalez-les clairement afin qu’elles ne soient pas utilisées pour les finalités auxquelles elle s’est opposée.
• Une liste de suppression n’est pas un traitement « à des fins de prospection ». Elle existe pour respecter une obligation légale. Cela met fin à l’argument circulaire selon lequel conserver l’adresse d’une personne qui s’est opposée serait en soi une prospection illicite, et cela signifie qu’il n’existe aucun droit automatique à l’effacement de son entrée dans une liste de suppression.
• Ce qui se passe si vous supprimez à la place, dans l’exemple de l’ICO : une entreprise supprime le numéro de téléphone d’une personne qui s’est opposée, achète plus tard une liste filtrée par le Telephone Preference Service (TPS) qui contient encore (licitement) ce numéro, et rappelle la personne. C’est une violation du PECR, qu’un filtrage par liste de suppression aurait évitée. La même chose se produit avec les listes email achetées ou importées à nouveau.
• La minimisation des données s’applique : ne conservez que le minimum nécessaire pour placer l’adresse en suppression.
• Une liste de suppression n’est pas une liste de filtrage. Exclure les personnes qui ne correspondent pas à une campagne constitue en soi un traitement à des fins de prospection. Seule la suppression motivée par la conformité bénéficie de ce statut particulier. (D’autres canaux ont des registres légaux d’opposition : TPS et CTPS pour les appels, MPS pour le courrier postal.)

Les demandes d’effacement (article 17) dans le marketing

L’effacement n’est pas absolu. Dans le marketing, il s’applique lorsque le consentement est retiré, lorsque les données ne sont plus nécessaires à leur finalité, ou lorsque la personne s’est opposée à la prospection. Les lignes directrices de l’ICO :

• Vous n’avez pas à traiter un retrait ou une opposition automatiquement comme une demande d’effacement. En pratique, toutefois, dès que vous ne pouvez plus utiliser les données, vous les supprimerez probablement, à l’exception de l’entrée minimale de suppression.
• Le cas type : un client s’oppose et demande la suppression de ses données. L’entreprise cesse la prospection et supprime tout à l’exception d’une petite quantité de données conservées sur sa liste de suppression, et les droits du client sont satisfaits. L’effacement peut aussi être refusé pour des données nécessaires à d’autres finalités ; les données doivent alors être clairement signalées comme exclues de toute utilisation marketing.
• Au titre de l’article 17, paragraphe 1, lorsque le consentement est retiré ou qu’une opposition aboutit, le responsable du traitement a une obligation autonome de supprimer les données qui ne sont pas placées en suppression. La personne concernée n’a pas besoin de formuler une demande d’effacement expresse (synthèse du CEPD, citant l’avis 39/2021 du CEPD).

Tendances de l’application dans la synthèse des décisions de guichet unique du CEPD

La synthèse a été rédigée pour le Support Pool of Experts du CEPD par le Pr Alessandro Mantelero (première version en décembre 2022, mise à jour en mai 2026). Elle analyse les décisions définitives de guichet unique au titre de l’article 60 qui figurent dans le registre public du CEPD : 551 décisions sur l’article 17 et 80 sur l’article 21, adoptées de 2018 à janvier 2026.

Les affaires relevant de l’article 17 ont culminé en 2022-2023, principalement menées par l’autorité irlandaise (84 en 2022, 150 en 2023, 35 en 2024), puis ont diminué. Le nombre d’affaires relevant de l’article 21 est resté stable. En pratique, les deux droits arrivent ensemble : la plupart des affaires relevant de l’article 21 concernent la prospection, souvent associée à une demande d’effacement des données collectées auparavant. Une décision allemande (DEBE:OSS:D:2018:9) juge qu’une opposition à la prospection déclenche une obligation de suppression au titre de l’article 17, paragraphe 1, point c), à appliquer « immédiatement ».

Constats récurrents qui s’appliquent directement à l’exploitation de systèmes marketing :

Défaillances de conception et d’information

• Aucune information n’était donnée sur le droit d’opposition, en violation de l’article 13, paragraphe 2, point b) (ES:2021:263). Une banque a envoyé des emails marketing sans option d’opt-out lors de l’inscription, et les préférences n’étaient modifiables que dans son service de banque en ligne ou par le service client (NO:2021:292, qui a abouti à un rappel à l’ordre, à des mesures ordonnées et au respect des délais de l’article 12, paragraphe 3).
• Adresses d’expéditeur « no-reply » : si les réponses sont impossibles, le corps de l’email doit l’indiquer clairement, et préciser que les oppositions envoyées par réponse seront sans effet (FR:2019:8). En revanche (NL:2022:376), le RGPD n’exige pas que les personnes puissent se désabonner en répondant, mais les emails marketing doivent comporter un lien clair vers une page où il est possible de se désabonner.
• Les liens de désabonnement qui mènent à une page de compte client ne fonctionnent pas pour les prospects qui n’ont pas de compte. Un lien qui désabonne directement est requis (FR:2020:84). Concevez les parcours d’exercice des droits pour chaque type de destinataire auquel vous écrivez.
• Procédures lourdes et barrières linguistiques : fournir une adresse de contact pour les demandes d’exercice des droits, mais y répondre automatiquement par une redirection vers un formulaire « Contactez-nous » sur un site web, constituait en soi une violation (FR:2022:326).
• Les emails d’accusé de réception doivent indiquer quand la demande sera mise en œuvre, et le résultat doit être communiqué (EE:2019:55 ; FR:2019:41).

Défaillances de processus

• Arriérés et manque de capacité du service client (NO:2021:292). Une opposition enregistrée sur un seul des comptes que détenait la personne (EE:2019:55). Des erreurs techniques dans les systèmes qui ont retardé la mise en conformité (CZ:2021:312). Des bases de données non synchronisées, et d’anciennes adresses de contact que personne ne surveillait (MT:2021:212 : une réponse automatique ou un transfert est obligatoire quand une adresse de contact est désactivée ; FR:2023:999 : une ancienne adresse de support qui fonctionne encore et figure encore sur le web ne doit pas rester sans lecture). Des demandes transmises au mauvais service (UK:2019:31), et des demandes mal qualifiées.
• Le responsable du traitement répond des erreurs de ses employés. La faute individuelle ne change rien à la responsabilité au titre du RGPD (DEBE:2021:184).
• Les demandes faites manuellement ou en dehors des canaux habituels doivent être traitées de la même manière que les demandes automatisées (SE:2021:178 : une demande envoyée par courrier postal n’a pas reçu les notifications que le système numérique aurait envoyées). Une réception semi-automatisée qui écarte les demandes ne suivant pas les instructions est illicite (DK:2020:151). En revanche, les demandes informelles (un tweet) peuvent être ignorées lorsque des canaux formels existent (SE:2021:276, confirmé par SE:2024:1550 : chaque canal officiel du responsable du traitement doit fonctionner, mais les demandes envoyées à des adresses quelconques ou erronées n’ont pas à être satisfaites).
• Tenez un registre des demandes d’opposition et de leur issue, au titre du principe de responsabilité.

Vérification de l’identité

• Exiger par défaut une pièce d’identité officielle n’est pas acceptable, et viole la minimisation des données (article 5, paragraphe 1, point c)). Exemples : la politique générale de Groupon qui exigeait une carte d’identité (IE:2020:166), et FR:2019:3 (une relation client en ligne ne crée pas en soi de doute raisonnable). L’authentification doit être « pertinente, adéquate et proportionnée » (relevant, appropriate and proportionate) au regard des données, de la demande, du contexte et du risque de divulgation (FR:2024:1286).
• Les demandes envoyées depuis l’adresse email utilisée lors de l’inscription ne nécessitent normalement aucune preuve supplémentaire (CY:2024:1120). Les alternatives aux pièces d’identité comprennent des identifiants uniques remis lors de l’inscription, une politique qui n’accepte que l’adresse email liée au compte, des lignes téléphoniques avec mot de passe, des appels en ligne et des questions de contrôle (pseudonymes, date d’inscription ; EE:2021:294). Lorsque la communication d’une pièce d’identité est justifiée, protégez sa transmission (NO:2024:1126 : une carte d’identité envoyée par email non chiffré).
• Pour les oppositions en particulier, l’autorité de contrôle suédoise relève qu’il n’y a normalement aucune raison d’authentifier la personne qui s’oppose, et parfois même pas de l’identifier (SE:2025:1757).
• Les responsables du traitement doivent se mettre en conformité même si leur processus est imparfait. Poursuivre le traitement après une demande d’effacement valable enfreint l’article 6, paragraphe 1, puisque les données auraient pu être supprimées au moment de la demande.

L’effacement en particulier

• La plupart des affaires d’effacement découlent d’oppositions à la prospection (y compris des emails non sollicités ; NO:2022:314) et du nettoyage de comptes inutilisés. Les outils de suppression en libre-service sont mis en avant, car ils réduisent à la fois les erreurs et la charge de travail des autorités.
• Preuve de l’effacement : le responsable du traitement doit pouvoir démontrer qu’il s’est mis en conformité, par exemple par une capture d’écran qui montre que la base de données ne renvoie aucun résultat pour la personne qui a fait la demande (DE:2023:929).
• Informez la personne concernée des mesures prises dans les délais de l’article 12, paragraphe 3. Lorsque vous accueillez la demande, il suffit d’indiquer que l’effacement a commencé et combien de temps il prendra au maximum. Vous n’avez pas à confirmer son achèvement, sauf si la personne le demande (SE:2021:303).
• Des motifs prépondérants peuvent faire obstacle à l’effacement : la conservation d’identifiants de paiement pour prévenir la fraude (SE:2021:196) ; les durées de conservation légales (DK:2021:210, même si maintenir un compte actif pendant deux ans au seul motif que la personne a le droit de faire une réclamation n’était pas nécessaire, puisque les réclamations peuvent être faites par email ou par téléphone) ; les obligations au titre du droit de la lutte contre le blanchiment et du droit bancaire (MT:2022:340 ; MT:2021:272, où la source juridique précise doit être indiquée à la personne qui fait la demande) ; les dettes ; la conservation des dossiers passagers (PNR) ; et les registres publics. Les obligations légales doivent être interprétées conformément aux principes de protection des données, sans abus, et les données qui excèdent ce qu’exige l’obligation doivent tout de même être supprimées (l’« archivage intermédiaire » a des limites ; FR:2021:279, FR:2021:310).
• La plupart des affaires se terminent par des règlements amiables et des rappels à l’ordre. Les amendes sont rares, et reflètent généralement des manquements plus larges. Il est fréquent que les responsables du traitement se mettent en conformité d’eux-mêmes dès qu’une autorité de contrôle ouvre une enquête.

Liste de contrôle opérationnelle pour une plateforme marketing

1. Traitez un désabonnement comme une opposition sur ce canal : placez l’adresse en suppression immédiatement, appliquez la suppression à tous les comptes et enregistrements du destinataire, et n’exigez jamais de connexion ni de compte.
2. Acheminez les oppositions rédigées en texte libre (réponses, tickets de support, appels téléphoniques) dans le même circuit de suppression que les clics sur un lien. Formez le personnel du support, et consignez les demandes orales.
3. Accusez réception de chaque demande en indiquant un délai, traitez-la dans un délai d’un mois et confirmez le résultat.
4. Lorsqu’un contact marketing demande l’effacement, supprimez les données de profil, conservez une entrée minimale de suppression, et soyez en mesure de prouver les deux (preuve de la suppression et enregistrement de suppression).
5. N’exigez pas de pièce d’identité par défaut. Considérez les demandes envoyées depuis l’adresse abonnée comme une preuve d’identité en elles-mêmes.
6. Rendez la suppression permanente, et filtrez chaque import de liste à partir de celle-ci, y compris les imports de listes que vous aviez déjà et de listes achetées.
7. Lorsque vous refusez un effacement en raison d’une obligation de conservation, indiquez la base juridique précise.

Ces obligations rejoignent les bonnes pratiques de délivrabilité. Des désabonnements instantanés et sans effort réduisent les plaintes pour spam qui pèsent sur la réputation. Le désabonnement en un clic de la RFC 8058, que Gmail, Yahoo et Microsoft exigent des expéditeurs de gros volumes, est exactement le mécanisme direct, sans compte, que les autorités de protection des données ne cessent d’ordonner aux expéditeurs de mettre en place.