Formulaire d'inscription à la newsletter et RGPD : les règles à respecter

Un formulaire d'inscription à la newsletter paraît anodin : un champ e-mail, un bouton, c'est fait. C'est pourtant là que se joue la conformité de toute votre liste. Une adresse collectée sans consentement valable ne devrait pas recevoir vos campagnes, et c'est à vous de prouver que l'accord a bien été donné.

Voici les règles à respecter, ce que doit afficher le formulaire, et les erreurs les plus fréquentes.

Ce que dit la loi : consentement en B2C, information en B2B

En France, la prospection par e-mail est encadrée par le Code des postes et des communications électroniques (article L.34-5) et par le RGPD. La règle dépend de la personne à qui vous écrivez :

• Particuliers : il faut leur consentement préalable. Une seule exception : vos clients, pour des produits ou services analogues à ceux qu'ils ont déjà achetés chez vous, s'ils ont été informés et ont pu s'y opposer au moment de la collecte.
• Professionnels : le consentement n'est pas exigé si le message est en rapport avec leur profession. Ils doivent toutefois être informés de l'utilisation de leur adresse et pouvoir s'y opposer simplement.

Une newsletter ouverte à tous vise des particuliers comme des professionnels : partez du principe que le consentement est nécessaire.

Les critères d'un consentement valable

Le RGPD définit le consentement comme libre, spécifique, éclairé et univoque. Sur un formulaire, cela se traduit très concrètement :

• une case à cocher non cochée par défaut, ou un formulaire dont le seul objet est l'inscription ;
• un consentement distinct : l'inscription à la newsletter ne se confond pas avec l'acceptation des conditions générales ou d'une commande ;
• un objet précis : la personne sait ce qu'elle va recevoir (une newsletter mensuelle, des offres, des conseils) ;
• un retrait aussi simple que l'inscription : un lien de désinscription dans chaque e-mail.

Les informations à afficher près du formulaire

La personne doit savoir, au moment où elle s'inscrit, qui traite ses données et pourquoi. Une courte mention sous le formulaire suffit, avec un lien vers votre politique de confidentialité pour le détail :

• l'identité de votre entreprise ;
• la finalité : l'envoi de la newsletter, et éventuellement d'offres commerciales ;
• la durée de conservation ;
• les droits de la personne (accès, rectification, effacement, opposition) et la façon de les exercer ;
• la possibilité de se désinscrire à tout moment.

Exemple de mention : « En vous inscrivant, vous acceptez de recevoir notre newsletter mensuelle. Vous pouvez vous désinscrire à tout moment grâce au lien présent dans chaque e-mail. Vos données sont utilisées uniquement pour cet envoi et conservées jusqu'à votre désinscription. Pour en savoir plus et exercer vos droits, consultez notre politique de confidentialité. »

Ne demandez que l'essentiel

Le RGPD impose de ne collecter que les données nécessaires. Pour une newsletter, l'adresse e-mail suffit. Le prénom peut servir à personnaliser vos messages, mais rendez-le facultatif. Chaque champ obligatoire supplémentaire doit se justifier, et fait au passage baisser le nombre d'inscriptions.

Le double opt-in : recommandé, pas obligatoire

Avec le double opt-in, l'inscription n'est confirmée qu'après un clic sur un lien reçu par e-mail. Il n'est pas imposé en France, mais il présente trois avantages :

• il prouve que l'adresse appartient bien à la personne qui s'est inscrite ;
• il écarte les fautes de frappe et les adresses saisies par des robots ;
• il protège votre délivrabilité, en évitant d'écrire à des adresses piégées.

Vous perdez quelques inscrits qui ne confirment pas, mais votre liste gagne en qualité. Pour aller plus loin sur la délivrabilité, lisez notre guide SPF, DKIM et DMARC.

Gardez la preuve du consentement

En cas de contrôle ou de plainte, c'est à vous de démontrer que la personne a consenti. Conservez pour chaque inscription :

• la date et l'heure ;
• le formulaire utilisé et la page où il se trouvait ;
• le texte affiché au moment de l'inscription ;
• la confirmation, si vous pratiquez le double opt-in.

Un outil d'emailing qui enregistre ces informations automatiquement vous évite de les reconstituer après coup.

Désinscription et durée de conservation

Chaque e-mail doit contenir un moyen simple et gratuit de se désinscrire, et la demande doit être prise en compte rapidement. Gmail et Yahoo exigent en plus, depuis 2024, une désinscription en un clic pour les expéditeurs en volume.

Côté conservation, gardez les données tant que la personne reste inscrite. Pour un contact qui ne réagit plus à vos envois, la CNIL recommande une durée de trois ans à compter du dernier contact venant de lui. Un scénario de réengagement permet de faire ce tri sans y penser.

Les erreurs les plus fréquentes

• La case pré-cochée, qui ne vaut pas consentement.
• L'inscription forcée : abonner automatiquement à la newsletter toute personne qui télécharge un guide ou participe à un jeu. Prévoyez plutôt une case distincte et facultative.
• L'import d'un fichier acheté ou récupéré dont personne ne peut prouver l'origine du consentement.
• Une mention d'information absente ou renvoyant à une politique de confidentialité introuvable.
• Des données sans date : impossible de prouver quand et comment le contact s'est inscrit.

Ces repères sont généraux. Selon votre activité, validez vos formulaires avec votre DPO ou votre conseil.

Avec Sendly

Les formulaires Sendly se composent sans code, avec les champs et les cases de consentement dont vous avez besoin, puis se posent sur n'importe quel site, par un extrait de code ou l'extension WordPress. Chaque inscription crée le contact ou met à jour sa fiche, et peut envoyer un e-mail de bienvenue ou lancer un scénario. Vous pouvez ainsi construire une double validation : l'e-mail de confirmation part à l'inscription, et le scénario n'ajoute le contact à votre liste qu'après son clic. Les données restent dans votre instance dédiée, hébergée en France, et chaque e-mail comporte un lien de désinscription en un clic. Découvrez les formulaires de Sendly.