Marketing SMS conforme RGPD et LCEN — opt-in, opt-out

Règle 1 — Consentement préalable pour le B2C

Tout SMS à caractère promotionnel adressé à un particulier (B2C) requiert un consentement préalable libre, spécifique, éclairé et univoque (article L.34-5 du CPCE + RGPD). Concrètement, le consentement doit :

• Être recueilli par une case à cocher non pré-cochée (l'opt-in passif est interdit)
• Mentionner explicitement le canal SMS ("j'accepte de recevoir des SMS commerciaux de [marque]")
• Identifier l'expéditeur (la marque qui va envoyer)
• Décrire le type de messages (offres, promotions, nouveautés)
• Indiquer comment se désinscrire à tout moment
• Ne pas être conditionné à l'accès au service principal (le "oui pour le SMS = condition pour acheter" est nul)

Règle 2 — Le B2B est plus souple, mais pas libre

Pour la prospection B2B (à destination d'un professionnel sur son numéro professionnel), le consentement préalable n'est pas requis si le message porte sur l'activité professionnelle de la personne contactée. C'est l'"opt-out différé" : vous pouvez envoyer, mais vous devez offrir un opt-out simple à chaque envoi ("STOP au 36XXX") et l'honorer immédiatement. Toutefois, dès que vous contactez un numéro de mobile personnel d'un professionnel (gérant TPE, indépendant), la frontière se brouille — par prudence, traitez-le comme du B2C avec opt-in.

Règle 3 — STOP et HELP obligatoires

Tout SMS marketing doit inclure une mention courte d'opt-out :

• "STOP au 36XXX" ou équivalent, sur chaque message envoyé
• Le mot-clé STOP doit être traité dans la minute par la plateforme
• Un SMS de confirmation "vous êtes désinscrit" est envoyé immédiatement (gratuit pour le destinataire)
• HELP / AIDE renvoie un message indiquant l'identité de l'expéditeur et le moyen de désinscription
• Après opt-out, plus aucun SMS marketing au numéro — re-recueillir un consentement requiert de repasser par le parcours complet

Règle 4 — Horaires et fréquence

Les SMS marketing ne peuvent être envoyés ni la nuit, ni le dimanche, ni les jours fériés (code des postes et communications électroniques + bonnes pratiques sectorielles). Plage autorisée recommandée : 8h-20h du lundi au samedi (hors jours fériés). Au-delà, la CNIL et la DGCCRF qualifient régulièrement les envois nocturnes ou dominicaux comme une infraction caractérisée. Côté fréquence, il n'y a pas de plafond légal, mais les opérateurs (Orange, SFR, Bouygues, Free) filtrent automatiquement les envois en masse au-delà de 4 SMS par mois par destinataire.

Règle 5 — Conserver la preuve du consentement

En cas de plainte ou de contrôle, vous devez pouvoir produire, pour chaque destinataire, la preuve du consentement : date et heure du recueil, formulaire utilisé (capture d'écran), version du texte de consentement à ce moment-là, IP du formulaire de saisie. Sans cette preuve, l'amende est quasi-systématique. Le délai de prescription RGPD est de 5 ans — conservez les consentements au moins ce temps-là, par exemple en archivant les logs du formulaire.

Sanctions et contrôles

Les SMS non conformes exposent à plusieurs niveaux de sanction :

• Sanction administrative CNIL : jusqu'à 4 % du CA mondial ou 20 M€ (le plus élevé). En pratique, les amendes PME se situent entre 10 k€ et 500 k€.
• Sanction pénale article L.34-5 CPCE : amende jusqu'à 750 € par SMS non conforme
• Action en concurrence déloyale par un concurrent visé par la prospection
• Action collective de consommateurs (rare mais possible)
• Réputation : les listes publiques de spammers SMS sont consultées par les agrégateurs et les opérateurs