La question qui revient le plus souvent quand j'anime des ateliers email avec des équipes marketing, ce n'est pas « comment envoyer plus de newsletters ? ». C'est : « est-ce qu'on a le droit, là, tout de suite, d'écrire à cette liste qu'on a récupérée ? » Et dans 8 cas sur 10, la réponse honnête est non.
L'opt-in — le consentement préalable à recevoir des communications — est devenu le point de friction numéro un entre l'équipe growth et l'équipe juridique. Pas parce que la règle est compliquée. Parce qu'on la contourne en espérant que personne ne vérifie. Sauf que depuis le RGPD, la charge de la preuve a changé de camp : c'est à vous de démontrer que la personne a dit oui, pas à elle de prouver qu'elle n'a jamais accepté.
Je vais vous expliquer ce que ça change concrètement, où les entreprises se plantent, et comment je gère la mécanique du consentement sur mes propres projets — y compris les fois où je me suis trompé.
Points clés à retenir
- L'opt-in signifie que le destinataire a donné son accord avant l'envoi ; l'opt-out suppose qu'il doit se désinscrire pour ne plus rien recevoir.
- En prospection B2C, le consentement préalable est la règle en France. En B2B, une tolérance existe si le message concerne l'activité professionnelle du destinataire.
- Le double opt-in (confirmation par clic dans un email) est la seule méthode qui produit une preuve de consentement solide.
- Un consentement se périme, se retire, et doit être conservé avec sa date et son contexte.
- Les cookies et traceurs sont soumis à la même logique : pas de dépôt sans accord préalable.
L'opt-in, c'est quoi exactement (et pourquoi ça bloque tout le monde)
Définition sèche : l'opt-in est le fait, pour un internaute, de manifester son accord pour recevoir des sollicitations commerciales ou des informations de votre part. Sans cet accord, vous n'avez pas le droit d'envoyer.
Ce qui déroute, ce n'est pas la définition. C'est le mot « manifester ». Un formulaire pré-coché ne manifeste rien. Une case grisée que l'utilisateur ne peut pas décocher ne manifeste rien non plus. Un silence, une absence de réponse, un achat — rien de tout ça ne vaut consentement pour de la prospection.
Opt-in ou opt-out : quelle différence réelle ?
L'opposition est simple mais souvent mal comprise. En opt-in, la personne doit faire un geste positif pour entrer dans votre base. En opt-out, elle est dedans par défaut et doit faire un geste pour en sortir.
Le problème de l'opt-out, c'est qu'il transforme la boîte mail de vos prospects en dépotoir. Je l'ai vu sur un projet de e-commerce il y a quelques années : la base avait été constituée en important des adresses d'acheteurs sans case de consentement. Résultat des courses — 12 % de plaintes spam sur la première campagne, une délivrabilité massacrée pendant des semaines, et un prestataire d'emailing qui nous a gentiment demandé de nettoyer tout ça avant de continuer.
Avouons-le, le nettoyage nous a pris plus de temps que la campagne n'en aurait jamais rapporté.
Opt-in actif, opt-in passif : la nuance qui compte
Certains distinguent encore l'opt-in actif (case cochée par l'utilisateur) de l'opt-in passif (case pré-cochée qu'il peut décocher). Cette distinction a un intérêt historique, mais en pratique, côté français, la case pré-cochée est traitée comme une absence de consentement. Ne perdez pas de temps à chercher une astuce : il n'y en a pas.
- Case vide, non cochée par défaut → consentement valable si l'utilisateur clique.
- Case pré-cochée → consentement invalide.
- Case unique pour plusieurs finalités (newsletter + partenaires + profil) → invalide aussi, il faut un accord par finalité.
- Formulaire sans mention de la finalité → invalide.
Le double opt-in : la seule méthode dont je ne démords pas
Voici ma position, et je l'assume entièrement : si vous collectez des adresses pour de l'emailing, faites du double opt-in. Toujours. Même quand c'est pénible. Même quand votre patron trouve que ça fait fuir des inscrits.
Le principe : la personne remplit un formulaire, reçoit un email de confirmation, clique sur un lien, et c'est seulement à ce moment qu'elle entre dans votre base. Un inscrit en moins, oui. Mais un inscrit réel.
Pourquoi ça change vraiment la donne
Sur un projet de newsletter sectorielle que je gère depuis quelques années, je suis passé du simple au double opt-in. J'ai perdu environ 30 % des inscriptions au moment du basculement. Sur le papier, c'est une catastrophe.
Sauf que sur les douze mois suivants, le taux d'ouverture moyen est passé de 21 % à 34 %, et les désinscriptions ont chuté de moitié. Pourquoi ? Parce que la moitié des adresses « perdues » étaient des fautes de frappe, des adresses jetables, ou des gens qui avaient cliqué sans réfléchir. Elles ne servaient à rien, à part faire gonfler un chiffre dans un tableau de bord.
Et surtout, le double opt-in produit ce que le simple ne produit pas : une trace horodatée du consentement. C'est ça, le vrai argument. Le jour où on vous demande des comptes, vous avez un fichier avec une date, une adresse IP, et un clic.
| Critère | Simple opt-in | Double opt-in |
|---|---|---|
| Volume d'inscrits | Plus élevé (mais gonflé) | Plus faible, plus qualifié |
| Preuve de consentement | Faible (formulaire seul) | Solide (clic horodaté) |
| Qualité de la base | Adresses erronées fréquentes | Adresses vérifiées |
| Risque de plaintes spam | Plus élevé | Nettement réduit |
| Effort de mise en place | Minimal | Une automatisation à créer |
B2B ou B2C : la règle n'est pas la même, et c'est là que les gens se trompent
En prospection vers des particuliers, pas d'ambiguïté : il faut le consentement avant le premier message. Point.
Vers des professionnels, c'est plus souple. Un message peut être envoyé à une adresse professionnelle sans accord préalable si il est en lien direct avec l'activité du destinataire — et à condition de lui offrir un moyen simple de refuser. Je précise « en lien direct » : envoyer une offre de vacances à une adresse @entreprise.com, ça ne rentre pas dans la tolérance.
J'ai fait l'erreur une fois. Une campagne B2B sur une liste achetée, un fichier de « décideurs » à peine vérifié. Taux de plainte à 4 % — le seuil au-delà duquel la plupart des plateformes d'envoi commencent à sérieusement regarder votre compte. Le fichier était pourri, la moitié des adresses n'existaient plus, et ceux qui restaient n'avaient jamais entendu parler de nous. Leçon retenue : une liste achetée n'est jamais une liste consentante.
Et les cookies, dans tout ça ?
La même logique s'applique aux traceurs déposés sur un site. Pas de dépôt de cookie non strictement nécessaire sans accord préalable de l'internaute. Un bandeau qui continue à charger les scripts tant que la personne n'a pas cliqué n'est pas conforme, même s'il affiche un joli bouton « Refuser ».
J'ai audité le site d'un client l'an dernier : le bandeau s'affichait bien, mais trois scripts analytics se chargeaient avant tout clic. Le développeur avait simplement oublié de conditionner l'appel. Ça arrive plus souvent qu'on ne croit.
Opt-in bancaire et opt-in recrutement : deux cas qu'on m'interroge souvent
Deux domaines reviennent régulièrement dans mes échanges, et tous les deux illustrent bien pourquoi l'opt-in n'est pas qu'une histoire de newsletter.
Qu'est-ce que l'opt-in en banque, et que signifie « opt in Caisse d'Épargne » ?
Dans le secteur bancaire, l'opt-in désigne l'accord que le client donne pour que ses données soient utilisées à des fins commerciales — recevoir des offres de crédit, d'assurance, de produits d'épargne — ou pour que sa banque transmette certaines informations à des partenaires. Les enseignes du groupe BPCE, dont la Caisse d'Épargne, fonctionnent comme la plupart des banques françaises : le client coche ou décoche des cases dans son espace personnel ou lors d'un rendez-vous, et peut modifier ses choix à tout moment.
Ce qui m'agace, c'est le flou entretenu autour de ces cases. Beaucoup de clients ne savent pas qu'ils peuvent les décocher, et encore moins où. Si vous êtes dans ce cas, cherchez dans votre espace client la rubrique « données personnelles » ou « préférences de contact » : c'est là que ça se joue.
Opt-in en recrutement : pourquoi c'est un sujet
Un candidat qui postule, est-ce qu'il accepte pour autant d'entrer dans votre vivier de talents ? Non. Ce sont deux finalités distinctes. La candidature autorise le traitement de la candidature. La constitution d'une CVthèque pour de futurs postes nécessite un accord séparé, idéalement avec une durée de conservation annoncée.
J'ai vu des ATS (les logiciels de gestion de candidatures) configurés avec une case unique « J'accepte que mes données soient conservées ». Problème : les données sont conservées pour quoi, combien de temps, et qui y a accès ? Une case fourre-tout ne vaut pas grand-chose.
Gérer le consentement dans la durée, pas juste au moment du clic
Le point que presque personne n'anticipe : un consentement n'est pas un état, c'est un processus. Il naît, il vit, il peut mourir.
- La preuve. Conservez pour chaque contact la date, l'heure, la source (quel formulaire, quelle page) et le texte exact de la case cochée. Sans le libellé, la date ne prouve rien.
- Le retrait. Chaque envoi doit contenir un lien de désinscription fonctionnel. Et une désinscription doit être immédiate, pas « traitée sous 30 jours ».
- Le re-consentement. Si vous changez de prestataire, de finalité, ou si vous voulez réactiver une base dormante, il faut redemander l'accord. J'ai relancé une base de 40 000 contacts dormants avec une campagne de re-consentement : 9 % de retours positifs. Le reste, poubelle. Et c'est très bien ainsi.
- Les mineurs. En dessous de 16 ans, le consentement doit venir du titulaire de l'autorité parentale pour les services en ligne. Rarement vérifié, souvent problématique sur les newsletters jeunesse.
Bref, la mécanique est exigeante. Mais elle a un effet secondaire délicieux : elle fait le tri. Une base consentante, c'est une base qui répond, qui clique, qui achète. Une base importée, c'est du volume qui coûte de l'argent en envois et qui abîme votre réputation d'expéditeur.
Je pose la question à chaque fois qu'on me demande un audit : préférez-vous 10 000 adresses qui vous lisent, ou 100 000 qui vous ignorent — quand elles ne vous signalent pas comme indésirable ? La réponse arrive vite, une fois qu'on a compris que le refus de consentement n'est pas un obstacle à contourner. C'est le seul indicateur de qualité qui ne se truque pas.
