# Évolutions des positions des autorités sur le consentement : ce qu'il faut suivre

> Une synthèse suivie des lignes directrices et des mesures d'application récentes sur le consentement que la base de connaissances doit suivre : les études de cas du DIA néo-zélandais sur le spam (issues réelles), la déclaration de 2024 de l'ACMA sur ce qu'exige désormais le « consentement » en Australie, et les règles de la CNIL pour la transmission de données B2C à des partenaires commerciaux, chacune avec l'enseignement opérationnel.

Source: emailmarketing.net — https://emailmarketing.net/fr/apprendre/conformite/evolutions-des-positions-des-autorites-sur-le-consentement

Si vous recueillez un consentement pour du marketing par email, ce que les autorités acceptent change plus souvent par leurs interprétations publiées que par de nouvelles lois. Voici des lignes directrices et des issues de procédures récentes qui précisent ce que le consentement exige en pratique, chacune avec l'enseignement à en tirer pour vos opérations.

Ces positions sont postérieures aux lois elles-mêmes, ou les affinent. Pour le droit de base, voir [Australie : le Spam Act](https://emailmarketing.net/fr/apprendre/conformite/australie-spam-act-2003-et-application-par-l-acma), [France : les règles de la CNIL](https://emailmarketing.net/fr/apprendre/conformite/france-regles-de-la-cnil-sur-la-prospection-par-email) et, pour la Nouvelle-Zélande, [Lois sur l'email en Asie-Pacifique](https://emailmarketing.net/fr/apprendre/conformite/lois-sur-le-marketing-par-email-en-asie-pacifique). Ce contenu n'est pas repris ici.

Ceci n'est pas un avis juridique. Voir [compliance/README.md](https://emailmarketing.net/fr/apprendre/conformite).

## Nouvelle-Zélande : les études de cas du DIA sur le spam

Le Department of Internal Affairs (DIA) publie des études de cas détaillées au titre de l'**Unsolicited Electronic Messages Act 2007** (pour le détail de la loi, voir [Lois sur l'email en Asie-Pacifique](https://emailmarketing.net/fr/apprendre/conformite/lois-sur-le-marketing-par-email-en-asie-pacifique#nouvelle-zélande--unsolicited-electronic-messages-act-2007)). Elles sont utiles parce qu'elles montrent le bas de l'échelle des sanctions, les avertissements formels et les avis d'infraction, là où aboutissent la plupart des situations réelles impliquant les clients d'un ESP, plutôt que les sanctions spectaculaires.

| Affaire | Comportement | Constat | Issue |
|---|---|---|---|
| **Base de données achetée** | L'expéditeur a acheté une base de données à un courtier et l'a utilisée pour ses envois, sans pouvoir démontrer que les destinataires avaient consenti. Les adresses n'avaient pas été « publiées bien en vue », et les messages étaient sans rapport avec les fonctions professionnelles des destinataires. | **11 violations** de la loi. L'achat de la base de données n'établissait **pas** le consentement : la charge de la preuve pèse sur l'expéditeur. | **Avertissement formel écrit** (le bas de l'échelle, sans sanction financière) |
| **Désabonnement défaillant** | L'expéditeur a continué d'envoyer une quantité importante d'emails commerciaux **sans dispositif de désabonnement fonctionnel** (s 11), même après un avertissement formel reçu en 2010 pour des violations des s 9 et s 11. | Un manquement persistant à la s 11 malgré l'avertissement antérieur. | **Avis d'infraction civil** (septembre 2011), alourdi parce que l'avertissement avait été ignoré |
| **Consentement déduit présumé** | L'expéditeur s'est fondé sur un consentement déduit d'une transaction sur Trade Me et a envoyé de la prospection **plusieurs mois après** la transaction. | « Le consentement déduit n'existait pas en l'espèce, faute de relation d'affaires » (*"Inferred consent did not exist in this instance, as a business relationship did not exist."*). | **Avertissement formel** (mai 2011) |

**Enseignements pour un ESP :**
- Une liste achetée ne vaut pas consentement, même dans le régime relativement souple de la Nouvelle-Zélande. L'expéditeur doit pouvoir prouver le consentement pour chaque adresse. Filtrez les clients qui arrivent avec des bases achetées (voir [Intégrité de l'acquisition d'adresses](https://emailmarketing.net/fr/apprendre/gestion-des-listes/integrite-de-l-acquisition-des-adresses) et [Vérification des clients](https://emailmarketing.net/learn/esp-operations/customer-vetting)).
- Le DIA alourdit la réponse lorsque le comportement **se répète** : un avertissement ignoré devient un avis d'infraction. Face au premier pic de plaintes d'un client, réagissez en partant du principe que l'autorité traitera le second bien plus sévèrement.
- **Le consentement déduit s'érode.** Une transaction passée unique, suivie de prospection plusieurs mois plus tard, n'est pas une « relation d'affaires continue ». L'Australie applique la même lecture étroite (ci-dessous).

## Australie : la déclaration de 2024 de l'ACMA sur les attentes en matière de consentement

Le **1er juillet 2024**, l'Australian Communications and Media Authority (ACMA) a publié *« Consumer consent: expectations for businesses conducting telemarketing and e-marketing »*. Cette déclaration est axée sur les résultats et précise ce que l'ACMA acceptera comme consentement valable au titre du [Spam Act 2003](https://emailmarketing.net/fr/apprendre/conformite/australie-spam-act-2003-et-application-par-l-acma). Elle ne modifie pas la loi. Elle indique aux expéditeurs comment l'autorité interprète en pratique le consentement « exprès » et « déduit ».

**Le consentement exprès (nettement préféré par l'ACMA)** est « une décision claire et univoque d'un client de recevoir de la prospection directe » (*"a clear and unambiguous decision by a customer to receive direct marketing"*), donnée par un formulaire, une case à cocher sur un site web, par téléphone ou en personne. Pour que le consentement soit valable, ses conditions doivent être **accessibles au moment de la collecte** et indiquer quatre éléments :

1. **à quoi** sert la prospection,
2. **qui** utilisera le consentement (quelles entreprises),
3. **pendant combien de temps** il sera invoqué, et
4. **comment** le client peut le retirer.

Interdictions explicites et mises en garde :
- **Pas de cases précochées.**
- Le consentement ne doit **pas être enfoui** dans les petits caractères ou dans de longues politiques de confidentialité. Il doit être transparent au moment de la collecte.
- Ne vous fondez que sur un consentement **actuel**, et renouvelez-le périodiquement. L'ACMA indique que le consentement au **télémarketing** devient « périmé » après **3 mois**, sauf si les conditions prévoient une durée plus longue. C'est une indication utile de la façon dont l'autorité envisage la fraîcheur du consentement en général, même si elle n'a pas fixé de chiffre pour l'email.

**Le consentement déduit (à utiliser avec prudence)** n'est admis qu'en présence d'une **relation claire, actuelle ou continue**, et lorsque le produit ou service promu est **directement lié** à cette relation. Si l'une des deux réponses est « non », ne vous fondez pas sur le consentement déduit. **Un achat ponctuel ne crée pas de consentement déduit**, ce qui est conforme à la lecture étroite de longue date de l'ACMA et à l'affaire néo-zélandaise Trade Me ci-dessus.

**Tenue de registres.** L'expéditeur doit conserver une trace fiable de la **méthode** de consentement, de ses **conditions** et de la **date et l'heure** de son obtention. Externaliser auprès d'un prestataire de marketing ou d'un ESP ne **transfère pas** cette responsabilité : « vous restez chargé de vous assurer… que votre prestataire externe » (*"you remain responsible for ensuring... your outsourced service provider"*) conserve aussi ces registres. Cela renforce le principe du Spam Act selon lequel vous ne pouvez pas externaliser votre risque ([australia-spam-act.md](https://emailmarketing.net/fr/apprendre/conformite/australie-spam-act-2003-et-application-par-l-acma#2-identification-de-lexpéditeur-s-17)).

**Enseignements pour un ESP :**
- Les formulaires de recueil du consentement pour le trafic australien devraient afficher les quatre informations obligatoires **à côté de la case à cocher**, et non dans une politique accessible par un lien. C'est la contrainte de conception que signale l'ACMA.
- Prévoyez l'**expiration du consentement** : considérez les consentements anciens comme périmés, et redemandez la permission plutôt que d'écrire indéfiniment. Le chiffre de 3 mois pour le télémarketing est la durée la plus claire que l'**ACMA** ait fixée pour la fraîcheur, mais il vaut précisément pour le **consentement au télémarketing en Australie** et ne constitue pas un repère universel. La fréquence de renouvellement du consentement dépend de la juridiction et du canal (ICO environ 2 ans, CNIL environ 6 mois, ACMA environ 3 mois). [Conservation des preuves de consentement](https://emailmarketing.net/fr/apprendre/conformite/conservation-des-preuves-de-consentement#gérer--réexaminer-régulièrement-le-consentement) compare ces chiffres.
- Conservez les métadonnées du consentement (méthode, conditions et horodatage) sous une forme que le client peut produire à l'ACMA. L'ESP conserve les registres pour le compte du client, mais le client reste responsable. Ces métadonnées vont avec les métadonnées d'acquisition décrites dans [Intégrité de l'acquisition d'adresses](https://emailmarketing.net/fr/apprendre/gestion-des-listes/integrite-de-l-acquisition-des-adresses#acquisition-metadata-to-capture-at-signup).

## France : les règles de la CNIL pour la transmission de données B2C à des partenaires

La CNIL a publié des lignes directrices sur la **transmission de données personnelles de consommateurs à des partenaires pour leur propre prospection**. Elles répondent à une question que [France : les règles de la CNIL](https://emailmarketing.net/fr/apprendre/conformite/france-regles-de-la-cnil-sur-la-prospection-par-email) soulève sans la détailler : si une entreprise française peut transmettre les données d'un abonné à des tiers, et comment. La règle dépend du **canal que le partenaire utilisera**, car la base légale diffère.

### Le partenaire utilisera le courrier postal : intérêt légitime

L'entreprise qui transmet les données peut les partager pour la prospection **postale** d'un partenaire sur la base de son **intérêt légitime**, à condition que :
- les personnes aient été **informées lors de la collecte** de la transmission, de ses objectifs et des **catégories de partenaires** ; et
- un **opt-out simple et gratuit** soit proposé à la fois lors de la collecte et à tout moment ensuite.

La CNIL recommande, comme bonne pratique, de fournir une **liste exhaustive et à jour des partenaires** par leur identité, avec des liens vers leurs politiques de confidentialité. Au minimum, indiquez leur secteur d'activité, les types de contacts et le nombre approximatif de partenaires.

### Le partenaire utilisera l'email, le SMS ou les appels automatisés : consentement préalable

La prospection électronique relève de l'opt-in ([article L. 34-5 du CPCE](https://emailmarketing.net/fr/apprendre/conformite/france-regles-de-la-cnil-sur-la-prospection-par-email#b2c--consentement-préalable-obligatoire)), donc le partage de données pour la prospection **électronique** d'un partenaire exige un **consentement préalable explicite**. Deux schémas sont admis.

**Scénario 1 : l'entreprise qui collecte recueille d'emblée le consentement pour la prospection des partenaires.** La personne doit savoir clairement **quels partenaires** la contacteront, donc une **liste exhaustive des partenaires** est fournie au moment du consentement. Une **case à cocher unique** peut couvrir à la fois la transmission des données et la prospection des partenaires, par exemple : *« J'accepte que mon adresse email soit transmise aux partenaires [lien] de la société X à des fins de prospection commerciale. »*

**Scénario 2 : l'entreprise transmet les données sans recueillir de consentement à la prospection.** Dans ce cas, chaque **partenaire doit obtenir son propre consentement** avant de prospecter. Le premier contact du partenaire ne peut reposer sur l'**intérêt légitime** que si la personne a reçu au préalable une information suffisante sur l'étendue des sollicitations et sur les catégories de partenaires, et si le partenaire **limite la fréquence de ses contacts** afin d'éviter toute nuisance.

**Deux limites strictes :**
- **Le consentement ne se transmet pas en cascade.** Le consentement obtenu par un partenaire ne s'étend **pas** aux propres partenaires de celui-ci. Chaque acteur doit recueillir séparément le consentement pour toute transmission ultérieure. C'est le principe selon lequel « le consentement n'est pas transférable », tiré de l'[acquisition d'adresses](https://emailmarketing.net/fr/apprendre/gestion-des-listes/integrite-de-l-acquisition-des-adresses#the-core-principle-consent-is-not-transferable), appliqué à une chaîne.
- **Le partenaire destinataire doit informer la personne dans un délai d'un mois** à compter du premier contact, en indiquant notamment l'**identité de l'entreprise source** et les droits de la personne en matière de consentement et d'opposition (l'exigence de transparence de l'article 14 du RGPD).

**Enseignements pour un ESP :**
- Une formule comme « partagé avec nos partenaires » n'est valable pour la prospection électronique **que** si la liste des partenaires est exhaustive et présentée au moment du consentement. Le schéma d'affiliation et de co-inscription critiqué dans [Méthodes de consentement](https://emailmarketing.net/fr/apprendre/gestion-des-listes/methodes-de-consentement) est exactement ce que la CNIL restreint.
- Un ESP qui intègre une liste française constituée à partir de données transmises par des partenaires devrait vérifier **quel scénario** l'a produite : une preuve de consentement du scénario 1, ou une chaîne du scénario 2 dans laquelle cet expéditeur a recueilli son propre consentement. Une affirmation générale de « consentement partenaire », sans preuve qu'une liste exhaustive a été présentée lors de la collecte, n'est pas défendable.
- L'obligation du partenaire destinataire d'**indiquer la source dans un délai d'un mois** est une tâche concrète que le parcours de bienvenue ou de premier contact de l'ESP doit prendre en charge pour les contacts français issus de partenaires.

## Voir aussi

- [Australie : le Spam Act](https://emailmarketing.net/fr/apprendre/conformite/australie-spam-act-2003-et-application-par-l-acma), avec les règles de désabonnement et le bilan complet des sanctions de l'ACMA
- [France : les règles de la CNIL](https://emailmarketing.net/fr/apprendre/conformite/france-regles-de-la-cnil-sur-la-prospection-par-email), avec les règles de la prospection B2C et B2B et la recommandation de 2026 sur les pixels de suivi
- [Lois sur l'email en Asie-Pacifique](https://emailmarketing.net/fr/apprendre/conformite/lois-sur-le-marketing-par-email-en-asie-pacifique), sur le consentement et les sanctions de l'Unsolicited Electronic Messages Act néo-zélandais
- [Application des lois sur l'email](https://emailmarketing.net/fr/apprendre/conformite/application-des-lois-sur-l-email-lcap-et-can-spam), sur l'application de la LCAP et de CAN-SPAM, la responsabilité des intermédiaires et la collecte d'adresses comme violation aggravée
- [Intégrité de l'acquisition d'adresses](https://emailmarketing.net/fr/apprendre/gestion-des-listes/integrite-de-l-acquisition-des-adresses)
- [Méthodes de consentement et échelle de qualité des listes](https://emailmarketing.net/fr/apprendre/gestion-des-listes/methodes-de-consentement)
- [Vérification des clients](https://emailmarketing.net/learn/esp-operations/customer-vetting), sur le filtrage des clients dont les pratiques d'acquisition ou de consentement ne sont pas documentées