Évolutions des positions des autorités sur le consentement : ce qu’il faut suivre

Le droit du consentement évolue moins par de nouvelles lois que par la publication, par les autorités, de leur interprétation des lois existantes. Cet article rassemble des lignes directrices interprétatives et des issues de procédures récentes qui précisent ce que le « consentement » exige concrètement : des éléments postérieurs aux articles consacrés aux lois de base, ou qui les affinent. Il complète, sans le reprendre, le droit substantiel exposé dans Australie : le Spam Act, France : les règles de la CNIL et Lois sur l’email en Asie-Pacifique (Nouvelle-Zélande). Chaque élément ci-dessous associe la ligne directrice ou l’affaire à l’enseignement opérationnel.

Ceci n’est pas un avis juridique : voir compliance/README.md.

Nouvelle-Zélande : les études de cas du DIA sur le spam

Le Department of Internal Affairs publie des études de cas détaillées au titre de l’Unsolicited Electronic Messages Act 2007 (détail de la loi : Lois sur l’email en Asie-Pacifique). Elles sont utiles précisément parce qu’elles montrent le bas de l’échelle des sanctions (avertissements formels et avis d’infraction), là où aboutissent la plupart des situations réelles des clients d’un ESP, plutôt que les sanctions spectaculaires.

Enseignements opérationnels pour un ESP :

• Une liste achetée ne vaut pas consentement, même dans le régime relativement souple de la Nouvelle-Zélande ; l’expéditeur doit pouvoir prouver le consentement pour chaque adresse. Filtrez les clients qui arrivent avec des bases achetées (voir Intégrité de l’acquisition d’adresses et Vérification des clients).
• Le DIA alourdit la réponse en cas de récidive : un avertissement ignoré devient un avis d’infraction. Face au premier pic de plaintes d’un client, un ESP devrait partir du principe que l’autorité traitera le second bien plus sévèrement.
• Le consentement déduit s’érode. Une transaction passée unique, utilisée pour écrire plusieurs mois plus tard, n’est pas une « relation d’affaires continue » : c’est la même lecture étroite que celle de l’Australie (ci-dessous).

Australie : la déclaration de 2024 de l’ACMA sur les attentes en matière de consentement

Le 1er juillet 2024, l’ACMA a publié « Consumer consent: expectations for businesses conducting telemarketing and e-marketing », une déclaration axée sur les résultats qui précise ce qu’elle acceptera comme consentement valable au titre du Spam Act 2003. Elle ne modifie pas la loi ; elle indique aux expéditeurs comment l’autorité interprète en pratique le consentement « exprès » et « déduit ».

Le consentement exprès (nettement préféré par l’ACMA) : « une décision claire et univoque d’un client de recevoir de la prospection directe » ("a clear and unambiguous decision by a customer to receive direct marketing"), donnée par formulaire, case à cocher sur un site web, téléphone ou en personne. Pour être valables, les conditions du consentement doivent être accessibles au moment de la collecte et indiquer quatre éléments :

1. à quoi sert la prospection,
2. qui utilisera le consentement (quelles entreprises),
3. pendant combien de temps il sera invoqué, et
4. comment le client peut le retirer.

Interdictions explicites et mises en garde :

• Pas de cases précochées.
• Le consentement ne doit pas être enfoui dans les petits caractères ou dans de longues politiques de confidentialité : il doit être transparent au moment de la collecte.
• Ne vous fondez que sur un consentement actuel ; renouvelez-le périodiquement. (L’ACMA indique que le consentement au télémarketing devient « périmé » après 3 mois, sauf si les conditions prévoient une durée plus longue : un repère utile sur la façon dont l’autorité envisage la fraîcheur du consentement en général, même si elle n’a pas fixé de durée pour l’email.)

Le consentement déduit (à utiliser avec prudence) : admissible uniquement en présence d’une relation claire, actuelle ou continue et lorsque le produit ou service promu est directement lié à cette relation. Si l’une des deux réponses est « non », ne vous fondez pas sur le consentement déduit. Un achat ponctuel ne crée pas de consentement déduit, conformément à la lecture étroite de longue date de l’ACMA et à l’affaire néo-zélandaise Trade Me ci-dessus.

Tenue de registres : l’expéditeur doit conserver une trace fiable de la méthode de consentement, de ses conditions et de la date et l’heure de son obtention. Externaliser auprès d’un prestataire de marketing ou d’un ESP ne transfère pas la responsabilité : « vous restez chargé de vous assurer… que votre prestataire externe » ("you remain responsible for ensuring... your outsourced service provider") conserve aussi ces registres. (Cela renforce le principe du Spam Act selon lequel « vous ne pouvez pas externaliser votre risque » : australia-spam-act.md.)

Enseignements opérationnels pour un ESP :

• Les formulaires de recueil du consentement pour le trafic australien devraient afficher les quatre informations obligatoires à côté de la case à cocher, et non renvoyer vers une politique : c’est la contrainte de conception que signale l’ACMA.
• Prévoyez l’expiration du consentement : considérez les consentements anciens comme périmés et redemandez la permission plutôt que d’écrire indéfiniment. Le chiffre de 3 mois pour le télémarketing est la durée la plus claire que l’ACMA ait fixée pour la fraîcheur, mais il est propre au consentement au télémarketing en Australie et ne constitue pas un repère universel. La cadence de fraîcheur du consentement dépend de la juridiction et du canal (ICO environ 2 ans, CNIL environ 6 mois, ACMA environ 3 mois) ; voir la comparaison rapprochée dans Conservation des preuves de consentement.
• Conservez les métadonnées du consentement (méthode, conditions, horodatage) sous une forme que le client peut produire à l’ACMA : l’ESP conserve les registres pour le compte du client, mais le client reste responsable. À associer aux métadonnées d’acquisition décrites dans Intégrité de l’acquisition d’adresses.

France : les règles de la CNIL pour la transmission de données B2C à des partenaires

Les lignes directrices de la CNIL sur la transmission de données personnelles de consommateurs à des partenaires pour leur propre prospection comblent une lacune que l’article de base France : les règles de la CNIL signale sans la détailler : comment, et à quelles conditions, une entreprise française peut transmettre les données d’un abonné à des tiers. La règle dépend du canal que le partenaire utilisera, car la base légale diffère.

Le partenaire utilisera le courrier postal : intérêt légitime

Les données peuvent être partagées pour la prospection postale d’un partenaire sur la base de l’intérêt légitime de l’entreprise qui les transmet, à condition que :

• les personnes aient été informées lors de la collecte de la transmission, de ses objectifs et des catégories de partenaires ; et
• un opt-out simple et gratuit soit proposé à la fois lors de la collecte et à tout moment ensuite.

Bonne pratique recommandée par la CNIL : fournir une liste exhaustive et à jour des partenaires par leur identité, avec des liens vers leurs politiques de confidentialité (au minimum le secteur d’activité, les types de contacts et le nombre approximatif de partenaires).

Le partenaire utilisera l’email, le SMS ou les appels automatisés : consentement préalable

Parce que la prospection électronique relève de l’opt-in (article L34-5 du CPCE), le partage de données pour la prospection électronique d’un partenaire exige un consentement préalable explicite. Deux schémas sont admis :

Scénario 1 : l’entreprise qui collecte recueille d’emblée le consentement pour la prospection des partenaires. La personne doit savoir clairement quels partenaires la contacteront : une liste exhaustive des partenaires est fournie au moment du consentement. Une case à cocher unique peut couvrir à la fois la transmission des données et la prospection des partenaires, par exemple : « J’accepte que mon adresse email soit transmise aux partenaires [lien] de la société X à des fins de prospection commerciale. »

Scénario 2 : l’entreprise transmet les données sans recueillir de consentement à la prospection. Chaque partenaire doit alors obtenir son propre consentement avant de prospecter. Le premier contact du partenaire peut reposer sur l’intérêt légitime uniquement si la personne a reçu au préalable une information suffisante sur l’étendue des sollicitations et sur les catégories de partenaires, et si le partenaire limite la fréquence afin d’éviter toute nuisance.

Deux limites strictes :

• Pas de consentement en cascade. Le consentement obtenu par un partenaire ne s’étend pas aux partenaires de ce partenaire ; chaque acteur doit recueillir de manière indépendante le consentement pour ses propres transmissions en aval. (C’est le principe du « consentement non transférable » de l’acquisition d’adresses, énoncé comme une règle de chaîne.)
• Le partenaire destinataire doit informer la personne dans un délai d’un mois à compter du premier contact, en indiquant notamment l’identité de l’entreprise source et les droits de la personne en matière de consentement et d’opposition (transparence au titre de l’article 14 du RGPD).

Enseignements opérationnels pour un ESP :

• La formule « partagé avec nos partenaires » n’est valable pour la prospection électronique que si la liste des partenaires est exhaustive et présentée au moment du consentement : le schéma d’affiliation et de co-inscription condamné dans Méthodes de consentement est exactement ce que la CNIL encadre.
• Un ESP qui intègre une liste française constituée à partir de données transmises par des partenaires devrait vérifier quel scénario l’a produite : une preuve de consentement du scénario 1, ou une chaîne du scénario 2 dans laquelle cet expéditeur a recueilli son propre consentement. Une affirmation générique de « consentement partenaire », sans preuve d’une liste exhaustive présentée lors de la collecte, n’est pas défendable.
• L’obligation d’indiquer la source dans un délai d’un mois qui pèse sur le partenaire destinataire est une tâche concrète que le parcours de bienvenue ou de premier contact de l’ESP doit prendre en charge pour les contacts français issus de partenaires.

Voir aussi

• Australie : le Spam Act : la loi, les règles de désabonnement et le bilan complet des sanctions de l’ACMA
• France : les règles de la CNIL : les règles de base de la prospection B2C et B2B et la recommandation de 2026 sur les pixels de suivi
• Lois sur l’email en Asie-Pacifique : les niveaux de consentement et les sanctions de l’Unsolicited Electronic Messages Act néo-zélandais
• Application des lois sur l’email : l’application de la LCAP et de CAN-SPAM, la responsabilité des intermédiaires, la collecte d’adresses comme violation aggravée
• Intégrité de l’acquisition d’adresses : le complément sur l’intégrité de l’acquisition (la collecte d’adresses est illégale en soi ; métadonnées permettant de prouver le consentement)
• Méthodes de consentement et échelle de qualité des listes : le classement de la qualité de l’opt-in que ces autorités font respecter
• Vérification des clients : le filtrage des clients dont les pratiques d’acquisition ou de consentement ne sont pas documentées