RGPD et emailing : ce qu'une PME belge doit vraiment faire

L’essentiel : L’emailing d’entreprise n’est ni un far west ni un champ de mines. En Belgique, tout dépend de à qui vous écrivez. Vers un particulier, il faut son consentement (opt-in). Vers un professionnel, vous pouvez souvent vous appuyer sur l’intérêt légitime, à condition qu’il puisse se désinscrire facilement. Dans tous les cas, quelques règles simples s’appliquent : une désinscription en un clic, une information claire, et une durée de conservation raisonnable. Voici de quoi y voir net. Ceci n’est pas un avis juridique, mais un repère pratique.

L’emailing n’est ni interdit ni sans règles

Beaucoup de dirigeants de PME oscillent entre deux idées fausses. La première : « le RGPD a tué l’emailing, on n’a plus le droit d’écrire à personne. » La seconde, à l’opposé : « j’ai récupéré des adresses, j’envoie, on verra bien. » Les deux vous mettent en difficulté, l’une en vous privant d’un canal utile, l’autre en vous exposant à une plainte.

La réalité est plus simple qu’elle n’en a l’air. L’emailing reste parfaitement légal en Belgique. Il obéit juste à des conditions, et ces conditions dépendent d’abord d’une question : écrivez-vous à un particulier ou à un professionnel ?

La vraie ligne de partage : particulier ou professionnel

C’est le point que la plupart des articles noient dans le jargon, alors qu’il structure tout le reste.

Quand vous écrivez à un particulier, à une adresse personnelle, pour lui vendre quelque chose, la règle est le consentement préalable. La personne doit avoir dit oui, activement, avant de recevoir votre message. On appelle ça l’opt-in.

Quand vous écrivez à un professionnel, dans le cadre de son activité, la règle est plus souple. La prospection entre entreprises peut généralement s’appuyer sur l’intérêt légitime plutôt que sur le consentement explicite, à condition que le message ait un lien avec l’activité du destinataire et qu’il puisse s’opposer facilement. On est alors dans une logique d’opt-out : vous pouvez écrire, mais la porte de sortie doit être grande ouverte.

Attention à une confusion fréquente : une adresse professionnelle nominative, comme prenom.nom@societe.be, reste une donnée personnelle. Le RGPD s’applique. C’est le régime plus souple du B2B qui change, pas le fait d’être soumis au règlement.

Vers un particulier : le consentement, et le double opt-in

Pour une newsletter grand public ou une liste de clients particuliers, le consentement doit être libre, spécifique, éclairé et démontrable. Ce dernier mot est le plus important. En cas de contrôle, ce n’est pas au plaignant de prouver qu’il n’a pas consenti, c’est à vous de prouver qu’il a consenti.

C’est là que le double opt-in prend tout son sens. La personne s’inscrit, reçoit un email de confirmation, et clique pour valider. Vous obtenez ainsi une preuve datée et horodatée de son accord. Ce n’est pas une obligation légale stricte, mais c’est la meilleure façon de dormir tranquille. Une case pré-cochée sur un formulaire, à l’inverse, ne vaut pas consentement.

Il existe une exception utile : le client existant. Si quelqu’un vous a déjà acheté un produit ou un service, vous pouvez lui écrire pour des offres similaires, à condition de lui avoir laissé la possibilité de refuser dès le départ et dans chaque message. C’est ce qu’on appelle le soft opt-in.

Vers un professionnel : l’intérêt légitime et l’opt-out

Pour la prospection B2B, l’intérêt légitime vous permet d’écrire sans consentement préalable, mais ce n’est pas un blanc-seing. Trois conditions tiennent l’ensemble.

Le message doit avoir un lien logique avec l’activité de la personne. Proposer un service de téléphonie à un gérant d’entreprise, oui. Lui envoyer une promotion sans rapport, non. La personne doit avoir été informée de l’utilisation de ses données, ce qui suppose une mention claire et un lien vers votre politique de confidentialité. Et elle doit pouvoir s’opposer simplement et gratuitement, dans chaque envoi.

Il faut aussi pouvoir tracer d’où viennent vos adresses. Une demande directe, un annuaire professionnel public, les coordonnées affichées sur un site d’entreprise sont des sources défendables. Un fichier acheté à un prestataire opaque l’est beaucoup moins. Le jour où quelqu’un vous demande où vous avez eu son adresse, mieux vaut avoir la réponse.

Ce que chaque email doit contenir

Quel que soit le destinataire, certains éléments doivent figurer dans vos envois. Votre identité, clairement, pour qu’on sache qui écrit. Un lien de désinscription visible et fonctionnel, qui marche vraiment et immédiatement, pas un formulaire qui demande de se reconnecter à un compte. Et une information sur la manière dont la personne peut exercer ses droits sur ses données.

La désinscription mérite une attention particulière, parce que c’est le point le plus regardé et le plus facile à rater. Elle doit être aussi simple que l’inscription. Un clic, et c’est terminé. Toute friction ajoutée à cette étape se retourne contre vous, en plainte comme en réputation.

Combien de temps garder les données

Le RGPD n’impose pas une durée chiffrée universelle, mais un principe : vous ne conservez les données que le temps nécessaire à la finalité pour laquelle vous les avez collectées.

Concrètement, une adresse inactive depuis des années, qui n’ouvre jamais rien, n’a pas de raison de rester dans votre liste. La nettoyer n’est pas seulement une bonne pratique de conformité, c’est aussi une bonne pratique d’emailing tout court : une liste propre délivre mieux qu’une liste gonflée d’adresses mortes. La conformité et l’efficacité vont ici dans le même sens.

Les erreurs qui transforment un envoi en plainte

Dans la pratique, les plaintes ne viennent presque jamais du simple fait d’avoir écrit. Elles viennent de trois erreurs évitables.

La désinscription qui ne fonctionne pas, ou qui oblige à recréer un compte pour partir. C’est le déclencheur numéro un : quelqu’un veut sortir, n’y arrive pas, et se plaint. Le lien doit marcher du premier coup, sans condition.

L’adresse dont on ne sait plus d’où elle vient. Si vous ne pouvez pas dire comment une personne s’est retrouvée dans votre liste, vous ne pouvez pas justifier votre base légale. Une liste sans traçabilité est une liste à risque.

Et l’envoi à des particuliers sans consentement, en se croyant couvert par le régime B2B. Ramasser des adresses personnelles ici et là et les traiter comme de la prospection entre entreprises, c’est précisément le cas de figure qui expose le plus.

Ma propre configuration, concrètement

Je ne vais pas vous expliquer comment faire sans vous dire ce que je fais moi-même. Chez Digitis, l’emailing tourne sur une plateforme open source que j’héberge en Europe. Les données de contacts restent sur mon infrastructure, dans l’Union européenne, et ne partent pas nourrir un serveur américain.

La désinscription en un clic est intégrée nativement, avec l’en-tête technique qui permet aux messageries comme Gmail ou Outlook d’afficher leur propre bouton de désabonnement en haut du message. C’est un détail que peu de gens regardent, et pourtant c’est exactement ce que les grandes messageries attendent aujourd’hui pour considérer un expéditeur comme sérieux. Je raconte d’ailleurs pourquoi j’ai quitté un outil d’emailing commercial pour cette solution dans un article dédié.

La conformité RGPD n’est pas une couche qu’on ajoute à la fin. Elle est plus facile à tenir quand elle est intégrée à l’outil dès le départ : données en Europe, désinscription propre, traçabilité du consentement. C’est toute la logique de notre emailing souverain, pensé pour une PME belge qui veut communiquer sans se demander, à chaque envoi, si elle est en règle.