Royaume-Uni : le PECR et le marketing par courrier électronique

Les Privacy and Electronic Communications Regulations (PECR) fixent les règles britanniques de la prospection directe par courrier électronique ; lorsque des informations personnelles sont utilisées, l’UK GDPR et le Data Protection Act 2018 s’appliquent en plus. L’ICO (l’autorité britannique) publie ces lignes directrices et en assure le respect. Comme la LCAP canadienne, et contrairement au CAN-SPAM américain, le PECR est un régime d’opt-in pour les abonnés individuels, assorti de deux exceptions dites « soft opt-in ».

Ceci n’est pas un avis juridique : vérifiez les sanctions et les seuils auprès de la source primaire (ci-dessous) et d’un conseil avant de vous y fier. Voir compliance/README.md.

Définitions clés

Prospection directe (direct marketing ; définition reprise du DPA et insérée dans le PECR par le Data Use and Access Act, 20 août 2025) : « la communication (par quelque moyen que ce soit) de matériel publicitaire ou marketing adressé à des personnes déterminées » ("the communication (by whatever means) of advertising or marketing material which is directed to particular individuals."). Elle couvre le marketing commercial et la promotion d’objectifs et d’idéaux. Les messages purement de service ou administratifs ne sont pas de la prospection directe, mais l’ajout de tout élément promotionnel à un message de service en fait de la prospection directe.

Courrier électronique (electronic mail) : « tout message textuel, vocal, sonore ou image envoyé sur un réseau public de communications électroniques, qui peut être stocké dans le réseau ou dans l’équipement terminal du destinataire jusqu’à ce que ce dernier le récupère, y compris les messages envoyés au moyen d’un service de messages courts » ("any text, voice, sound or image message sent over a public electronic communications network which can be stored in the network or in the recipient’s terminal equipment until it is collected by the recipient and includes messages sent using a short message service."). Cela couvre :

• l’email et le SMS ;
• les messages photo et vidéo ;
• les messages vocaux laissés sur une messagerie ;
• les messages dans les applications ;
• les messages directs (privés) sur les réseaux sociaux.

Cela ne couvre pas les publicités display ou les bannières en ligne, ni les publicités dans le fil des réseaux sociaux (même ciblées) : elles sont publiques et ne sont pas stockées pour un destinataire précis (d’autres règles du PECR, par exemple sur les technologies de stockage et d’accès, peuvent s’appliquer).

Sollicitée ou non sollicitée : la prospection n’est sollicitée que lorsqu’une personne demande expressément un message ou un type d’information précis (par exemple « envoyez-moi par email votre brochure d’été »). Tout le reste, y compris les relances adressées à cette personne, est non sollicité. La prospection sollicitée ne nécessite ni consentement ni soft opt-in.

Abonné (subscriber) : la personne ou l’organisation dont le nom figure sur la facture de la ligne téléphonique, de la connexion Internet ou de l’autre service de communications. Deux types :

• abonnés individuels : les personnes physiques, les entrepreneurs individuels, les sociétés de personnes ordinaires ;
• abonnés personnes morales : les organisations dotées de leur propre personnalité juridique (sociétés à responsabilité limitée, LLP, sociétés de personnes écossaises).

Le PECR s’applique même aux adresses génériques ou de rôle : il n’est pas nécessaire de connaître le nom du destinataire. Si des informations personnelles sont utilisées, le droit de la protection des données s’applique aussi.

Quelles règles s’appliquent à qui (B2B ou B2C)

Prudence avec le « B2B » : les entrepreneurs individuels et les sociétés de personnes ordinaires comptent comme des abonnés individuels, et les règles de consentement s’appliquent donc à eux. Et les adresses professionnelles des salariés de sociétés à responsabilité limitée restent des données personnelles : l’UK GDPR (y compris le droit absolu d’opposition) s’applique donc même lorsque le PECR n’exige pas de consentement.

Qui doit se conformer

Le PECR s’applique à quiconque envoie ou fait envoyer (instigates) de la prospection par courrier électronique. Faire envoyer comprend le fait d’encourager, d’inciter, de motiver ou de demander à quelqu’un d’autre de l’envoyer : si une autre organisation envoie de la prospection pour le compte d’une marque, les deux sont responsables (l’instigateur et l’expéditeur). Un service de webmail ou une plateforme d’envoi en masse qui ne fournit que la livraison technique n’est normalement pas responsable. Si un tiers envoie de la prospection en utilisant des informations personnelles pour le compte d’un expéditeur, un contrat écrit est requis, ainsi que des vérifications de conformité appropriées. Un abonné ne doit pas non plus permettre à d’autres d’utiliser sa ligne ou sa connexion pour enfreindre les règles.

Consentement

Le PECR reprend la norme de consentement de l’UK GDPR : « toute manifestation de volonté, libre, spécifique, éclairée et univoque, par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair » ("any freely given, specific, informed and unambiguous indication of the data subject’s wishes by which he or she, by a statement or by a clear affirmative action, signifies agreement.").

Exigences lorsque vous demandez le consentement :

• Libre : un véritable choix, qui peut être refusé sans préjudice et qui est séparé des conditions générales ; faire de l’acceptation de la prospection une condition d’un achat ou d’un don a peu de chances d’être valable.
• Spécifique et éclairé : la demande doit nommer l’organisation et indiquer clairement qu’elle porte sur la prospection par courrier électronique ; « je souhaite recevoir du marketing » sans nommer le canal n’est pas assez spécifique. Demandez séparément pour chaque canal (email ou SMS).
• Univoque, par un acte positif clair : pas de cases précochées, pas de silence ni d’inaction.
• Enregistré : conservez qui, quand et comment, afin de pouvoir démontrer la validité.
• Non transférable : le consentement est propre à l’adresse ou au numéro communiqué ; il ne s’étend pas aux autres adresses de la personne.
• Révocable : il doit être facile de le retirer à tout moment ; le consentement vaut « pour le moment ».

Les soft opt-in

Deux exceptions limitées permettent d’adresser de la prospection non sollicitée par courrier électronique à des abonnés individuels sans consentement.

1. Le soft opt-in pour les produits et services (toute organisation, y compris les associations caritatives)

Les cinq conditions doivent toutes être remplies :

1. Vous avez obtenu vous-même les coordonnées du destinataire : directement. Pas par un tiers, pas même par une autre société de votre propre groupe. « Une liste de prospection de tiers conforme au soft opt-in, cela n’existe pas » ("There is no such thing as a third-party marketing list that is compliant with the soft opt-in.").
2. Dans le cadre de la vente ou de la négociation de la vente d’un produit ou d’un service : un achat effectif n’est pas requis ; les « négociations » supposent une manifestation active d’intérêt pour un achat (inscription à un essai gratuit, demande de devis, question sur un produit). La simple navigation sur un site web, ou une question sans rapport avec un achat, ne suffit pas.
3. Vous ne faites la promotion que de vos produits et services similaires : le critère est de savoir si, au vu des échanges précédents, les personnes s’attendraient raisonnablement à cette prospection. (Acheteur de produits d’épicerie, puis autres produits du supermarché : oui ; puis produits bancaires ou d’assurance de l’enseigne : non.) Ne couvre jamais les produits d’autres organisations. Les associations caritatives, les partis politiques et les autres organismes à but non lucratif ne doivent pas utiliser ce soft opt-in pour leurs campagnes ou leurs collectes de fonds, même auprès de soutiens existants.
4. Vous avez offert la possibilité de refuser ou de s’opposer lors de la collecte des coordonnées : une case d’opt-out bien visible sur le formulaire (ou une proposition orale) ; un opt-out enfoui dans une politique de confidentialité, ou proposé seulement dans un email de confirmation ultérieur, ne suffit pas.
5. Vous offrez un opt-out dans chaque message ultérieur : un lien de désabonnement clair ou une réponse directe ; pour les SMS, « envoyez STOP au [numéro] » ; gratuit, hors coût normal du message. Exiger un appel téléphonique, la création d’un compte ou la connexion à un centre de préférences n’est pas acceptable.

2. Le soft opt-in pour les finalités caritatives (associations caritatives uniquement), en vigueur depuis le 5 février 2026

Les six conditions doivent toutes être remplies :

1. Vous êtes une association caritative (selon la définition légale de chaque nation du Royaume-Uni).
2. Vous avez obtenu les coordonnées directement : pas par une filiale commerciale, une plateforme de collecte de fonds tierce ou tout autre intermédiaire.
3. Parce que la personne a manifesté son intérêt pour vos finalités caritatives, ou a offert ou apporté son soutien à ces finalités : par exemple en demandant des informations sur l’action de l’association, en faisant un don d’argent ou de biens, ou en faisant du bénévolat. Les interactions qui ne révèlent rien d’un intérêt pour les finalités caritatives (inscription au wifi invité, achat d’un café dans un café solidaire, demande d’aide d’urgence) ne suffisent pas. Certains achats manifestement effectués en tant que soutien (adhésion annuelle, parrainage d’un animal, tombola caritative, événements de collecte de fonds payants) peuvent suffire ; les achats accessoires ou de commodité, non.
4. La prospection a pour seul objet de servir vos finalités caritatives : solliciter des dons (d’argent ou de biens), recruter des bénévoles, ou informer sur des programmes, projets ou campagnes liés à la mission. Elle ne doit pas promouvoir d’autres organisations, y compris d’autres associations caritatives ou des sponsors commerciaux.
5. Opt-out proposé lors de la collecte (même norme que ci-dessus).
6. Opt-out proposé dans chaque message ultérieur (même norme que ci-dessus).

Calendrier : ce soft opt-in ne s’applique qu’aux coordonnées obtenues le 5 février 2026 ou après. Les coordonnées collectées auparavant sans consentement ne peuvent pas être utilisées sur ce fondement (sauf si elles sont collectées de nouveau après cette date avec un opt-out conforme).

Utiliser les deux soft opt-in ensemble

Une association caritative peut s’appuyer sur les deux, mais elle doit : présenter des cases d’opt-out distinctes pour chacun lors de la collecte (uniquement lorsque les conditions de collecte de ce soft opt-in sont remplies) ; offrir dans chaque message un moyen de refuser chaque type ; n’inclure que du contenu de prospection autorisé par les soft opt-in invoqués ; et tenir un registre (indicateurs ou champs de préférence) de la base légale applicable à chaque personne.

Listes achetées

Pour envoyer de la prospection par courrier électronique à une liste achetée, louée ou sous licence, chaque personne de la liste doit avoir donné un consentement valable nommant expressément votre organisation (et non des « partenaires de confiance » ou une formule similaire), portant sur le moyen précis (email ou SMS), libre, spécifique, éclairé, univoque et enregistré (qui, quand, comment). Sinon, n’envoyez pas. Les soft opt-in ne peuvent jamais être utilisés avec des listes achetées, car ils exigent une collecte directe.

Coordonnées accessibles au public

Le fait qu’une adresse soit accessible au public (sites web, réseaux sociaux, annuaires) ne vaut pas consentement. La prospection non sollicitée auprès d’abonnés individuels, y compris les entrepreneurs individuels et les sociétés de personnes ordinaires, exige toujours un consentement ou un soft opt-in. Le scraping d’informations personnelles relève aussi du droit de la protection des données. (À comparer : la LCAP prévoit une catégorie de consentement implicite fondée sur la « publication bien en vue » ; le PECR, non.)

Parrainage et marketing viral

Encourager des personnes à transférer de la prospection fait de l’organisation un instigateur : aucune incitation n’est nécessaire, un encouragement actif suffit. Les soft opt-in ne peuvent pas être invoqués pour ces messages ; il faudrait un consentement valable de l’ami ou du proche destinataire, ce qui est peu envisageable en pratique, si bien que les programmes de parrainage par email assortis d’une incitation enfreignent généralement le PECR. Une organisation n’est pas responsable des messages que des personnes choisissent d’envoyer sans son encouragement (recommandations spontanées, partage d’une promotion, lien vers un site, demandes de parrainage personnelles).

Changements d’avis : retrait et opt-out

• Le consentement peut être retiré à tout moment ; toute nouvelle prospection exige alors un nouveau consentement.
• Refuser un soft opt-in met de même fin à la prospection sur ce fondement ; seul un nouveau consentement permet de la reprendre.
• Les opt-out s’appliquent par moyen de communication si la formulation le précise clairement (se désabonner des emails n’implique pas nécessairement l’arrêt des SMS).
• Le droit de la protection des données donne aux personnes un droit absolu de s’opposer à la prospection directe : aucun motif de refus n’est possible ; ne pas avoir refusé un soft opt-in ne prime pas sur ce droit.
• Tenez une liste « ne pas contacter » ou liste de suppression et vérifiez-la avant chaque envoi.
• Un message automatique confirmant un désabonnement et expliquant comment se réabonner est acceptable ; des rappels de préférences peuvent être de petits ajouts à des messages déjà envoyés, à condition de ne pas encourager à changer de choix.

Articulation du PECR et de l’UK GDPR

Lorsque des informations personnelles sont utilisées, les deux régimes s’appliquent. Le traitement doit être loyal, licite et transparent (informez les personnes, lors de la collecte, que de la prospection est prévue). Parmi les sept bases légales de l’UK GDPR, le consentement et l’intérêt légitime sont généralement pertinents :

• Si vous vous appuyez sur le consentement du PECR, la base légale est probablement le consentement.
• Si vous vous appuyez sur un soft opt-in, la base légale est probablement l’intérêt légitime ; réalisez une évaluation de l’intérêt légitime (finalité, nécessité, mise en balance). Lorsque les destinataires peuvent se trouver en situation de vulnérabilité (l’exemple de l’ICO : des bénéficiaires d’un soutien aux victimes de violences conjugales, qui pourraient être mis en danger si un conjoint voyait l’email), la mise en balance peut échouer et le soft opt-in ne devrait pas être utilisé.

Pixels de suivi : les règles de prospection par courrier électronique s’appliquent à l’email lui-même, pas aux pixels de suivi (heure d’ouverture, localisation, système d’exploitation). Les pixels relèvent des règles distinctes du PECR sur les technologies de stockage et d’accès, qui doivent aussi être respectées.

Enjeux pour la délivrabilité

Les conditions du consentement et du soft opt-in du PECR correspondent directement aux meilleures pratiques de délivrabilité : des adresses collectées directement auprès de clients ayant acheté récemment, un consentement granulaire par canal, des opt-out bien visibles, le désabonnement en un clic et les listes de suppression réduisent tous les plaintes et maintiennent l’engagement des listes, c’est-à-dire les principaux facteurs de réputation décrits dans Fondamentaux de la délivrabilité email. L’affirmation catégorique de l’ICO selon laquelle aucune liste achetée ne peut satisfaire au soft opt-in fait écho à la règle de délivrabilité selon laquelle les listes achetées détruisent la réputation d’expéditeur.