Opt-in et Opt-out : comment être en conformité ?

Le règlement général sur la protection des données (RGPD) impose de nombreuses règles aux entreprises qui collectent des données personnelles auprès du public et/ou de leurs clients. Parmi ces règles, on trouve celles relatives à l’opt-in et à l’opt-out. Ces termes, qui peuvent sembler flous, renvoient pourtant à une notion essentielle : le consentement. En effet, pour pouvoir adresser des messages commerciaux à vos clients potentiels, ces derniers doivent avoir accepté au préalable. Alors qu’est-ce que l’opt-in et l’opt-out ? Comment cela se matérialise concrètement ? Toutes les explications.

Qu’est-ce que l’opt-in ou l’opt-out ?

Pour comprendre l’opt-in et l’opt-out, une définition de chacun des termes s’impose.

Qu’est-que l’opt-in ?

L’opt-in est la pratique qui consiste à recueillir le consentement exprès d’une personne pour lui adresser un message publicitaire que ce soit par mail ou par SMS par exemple. En effet, l’envoi de tels messages marketing impose la récolte de données personnelles à l’instar de l’adresse mail ou du numéro de téléphone.

Il existe trois déclinaisons de l’opt-in :

• l’opt-in actif qui se formalise par une case à cocher par la personne qui confie ses données personnelles ;
• l’opt-in passif où la case est pré-coché. La personne doit donc décocher la case si elle ne souhaite pas recevoir les messages promotionnels de l’entreprise ;
• le double opt-in qui consiste à faire cocher la case de consentement, puis de réitérer son consentement en cliquant sur un lien présent dans un mail envoyé suite à l’inscription, afin de confirmer son adresse mail.

Qu’est-ce que l’opt-out ?

Dans le cadre de l’opt-out, la personne reçoit des messages publicitaires par défaut, à moins qu’elle ne s’y soit expressément opposée. Par conséquent, avec l’opt-out, la personne est réputée avoir donné son consentement jusqu’à ce qu’elle le retire. 

L’opt-out peut alors prendre deux formes :

• une case à cocher accompagnée d’une phrase formalisant le désaccord de la personne du type “je m’oppose à…” ou “je ne souhaite pas recevoir …” ;
• une inscription systématique sur la liste de diffusion de l’entreprise, et si la personne ne souhaite plus recevoir les informations, elle doit se désabonner.

Quand l’opt-in est-il obligatoire ?

Suite à l’adoption du RGPD, l’application de l’opt-in et de l’opt-out dans l’Union européenne a pu être plus difficile à comprendre. En effet, l’articulation entre le droit européen et le droit français n’est pas toujours évidente. Cependant, en matière d’opt-in et d’opt-out, la CNIL est venue préciser les règles applicables. Elle distingue ainsi les destinataires non professionnels (prospection BtoC) et les destinataires professionnels (prospection BtoB). 

Ainsi, l’opt-in est obligatoire pour l’envoi de messages commerciaux à des particuliers. Plus précisément, la loi impose l’utilisation de l’opt-in actif puisque la personne doit donner son accord de manière libre, spécifique, éclairée et univoque. Par conséquent, elle doit cocher la case “j’accepte de recevoir …”. Toutefois, ce principe connaît deux exceptions :

• la personne est déjà cliente de l’entreprise et le message envoyé concerne la promotion de produits ou de services similaires fournis par la même entreprise ;
• la prospection n’est pas de nature commerciale. Par exemple, il s’agit d’un message à but caritatif. 

Au contraire, pour les destinataires professionnels, l’opt-in n’est pas obligatoire. Il est ainsi possible de recourir à l’opt-out pour la prospection BtoC sous réserve que les conditions soient réunies :

• l’objet de la sollicitation doit être en rapport avec la profession de la personne démarchée (ex : email de prospection à un responsable informatique pour un logiciel) ;
• au moment de la collecte des données, la personne doit être informée que ces informations pourront être utilisées à des fins de prospection par voie électronique et elle doit pouvoir s’y opposer.

Dans tous les cas, le message de prospection doit indiquer l’identité de l’émetteur et doit inclure un moyen simple de s'opposer à la réception de nouvelles sollicitations.

Opt-in ou opt-out : comment obtenir le consentement des destinataires ?

Concrètement l’opt-in et l’opt-ou se présentent sous la forme de cases à cocher suivies respectivement de la mention J’accepte ou Je refuse. 

Par conséquent, si vous vous demandez comment obtenir le consentement de vos prospects, sachez que la pratique veut que cette case soit présente sous le formulaire de recueil des données. Par exemple, pour une newsletter, on peut retrouver le formulaire suivant : 

Ensuite, vous devez conserver la trace de ce consentement dans votre logiciel d’emailing ou dans le logiciel d’envoi automatisé de SMS. Cela se fait automatiquement en principe. C’est pourquoi, il est important de veiller à choisir des outils conformes à la réglementation.

Quelles sanctions en cas de non-respect des règles d’opt-in et d’opt-out ?

En cas de non-respect des règles d’opt-in et d’opt-out, la CNIL peut prononcer une peine d’amende administrative pouvant correspondre jusqu’à 4 % du chiffre d’affaires ou 20 millions d’euros. Il s’agit donc d’une sanction financière très lourde pour l’entreprise.

En outre, les sanctions peuvent être rendues publiques, ce qui peut fortement nuire à la réputation de l’entreprise.

FAQ

Quelle est la différence entre l'Opt-in et le double Opt-in ?

L’opt-in de manière générale consiste à obtenir le consentement exprès d’une personne afin de pouvoir utiliser ses données personnelles pour lui adresser des messages promotionnels. Il peut s’agir de cocher une case qui correspond à “J’accepte de recevoir” , c’est-à-dire à un opt-in actif. Mais il existe aussi le double opt-in qui va encore plus loin et qui se passe en deux étapes :

• la personne doit cocher la case pour donner son accord ;
• elle reçoit un mail dans lequel se trouve un lien pour confirmer son adresse mail. Elle doit impérativement cliquer dessus pour valider définitivement son inscription, et par conséquent son accord pour recevoir les messages prospectifs.

Quelles sont les principales obligations qu'impose le RGPD ?

De manière générale, le RGPD impose un traitement des données personnelles des utilisateurs raisonné. Ainsi, les entreprises doivent limiter le nombre d’informations qu’elles recueillent aux seules informations essentielles, de plus, elles doivent obtenir le consentement de la personne, et appliquer le droit de retrait.

Qu'est-ce que l'Opt-in passif ?

L’opt-in passif consiste à pré-cocher la case formalisant l’accord de la personne pour recevoir des messages publicitaires. Cette pratique n’est pas autorisée pour la prospection BtoC et ne peut être utilisée que sous certaines conditions en prospection BtoB. 

Principales sources législatives et réglementaires :

• Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016
• Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés
• Article L34-5 - Code des postes et des communications électroniques