Comment fonc­tionne la procédure de double opt-in (DOI) ?

Toute en­tre­prise qui envoie des news­let­ters ou des emails marketing doit au préalable obtenir le con­sen­te­ment des des­ti­na­taires. Une ins­crip­tion n’est ju­ri­di­que­ment sécurisée que si ce con­sen­te­ment peut être démontré de manière fiable, ce qui est gé­né­ra­le­ment assuré par un processus d’ins­crip­tion en deux étapes, à savoir la procédure double opt-in. Le RGPD précise en outre que les données per­son­nelles ne peuvent être traitées qu’en présence d’un con­sen­te­ment libre, spé­ci­fique, éclairé et explicite.

Qu’est-ce que le double opt-in ?

Le double opt-in est une procédure issue de l’email marketing, plus pré­ci­sé­ment du domaine de l’envoi de news­let­ters. Lorsqu’une personne s’inscrit à la liste de diffusion d’une en­tre­prise, elle doit ensuite avoir la pos­si­bi­lité de confirmer ou de révoquer cette ins­crip­tion.

La procédure de double opt-in est gé­né­ra­le­ment mise en œuvre au moyen d’un email de con­fir­ma­tion avec lien. Ce n’est qu’après avoir cliqué sur ce lien que l’ins­crip­tion devient effective. L’objectif est d’empêcher des tiers non autorisés d’inscrire des adresses email qui ne leur ap­par­tien­nent pas. Pour les en­tre­prises, le double opt-in permet ainsi de gérer les ins­crip­tions aux news­let­ters et de renforcer la pro­tec­tion contre les plaintes liées au spam.

Du confirmed opt-in au double opt-in

Par le passé, un confirmed opt-in était souvent jugé suffisant : un uti­li­sa­teur sai­sis­sait son adresse email sans con­fir­ma­tion sup­plé­men­taire. Avec la mul­ti­pli­ca­tion du spam et des abus, cette méthode s’est cependant révélée peu fiable. Aujourd’hui, dans le cadre juridique français :

• L’article L34-5 du Code des postes et des com­mu­ni­ca­tions élec­tro­niques impose l’obtention d’un con­sen­te­ment préalable, libre et explicite avant tout envoi de publicité élec­tro­nique.
• Les com­mu­ni­ca­tions élec­tro­niques non sol­li­ci­tées peuvent être con­si­dé­rées comme une atteinte aux droits des des­ti­na­taires et exposer les en­tre­prises à des sanctions ou à des mises en demeure.

Pour cette raison, la procédure de double opt-in s’est imposée depuis des années comme la méthode de référence et la plus sûre sur le plan juridique en France. Elle ne s’applique pas uni­que­ment au marketing de news­let­ters, mais aussi aux services SMS, aux no­ti­fi­ca­tions push ou au marketing d’ap­pli­ca­tions.

Une exception concerne la pros­pec­tion auprès de clients existants : les en­tre­prises peuvent envoyer des emails pu­bli­ci­taires à leurs clients existants sans con­sen­te­ment préalable, à condition que l’adresse email ait été collectée lors de l’achat et que les produits ou services proposés soient si­mi­laires à ceux déjà achetés. Il est toutefois impératif que les personnes con­cer­nées n’aient pas exprimé leur refus d’une telle uti­li­sa­tion, con­for­mé­ment au principe d’op­po­si­tion, et qu’elles aient été dûment informées de leur droit d’op­po­si­tion gratuit.

Quels sont les avantages et in­con­vé­nients de la procédure double opt-in ?

Le principal avantage de la procédure de double opt-in pour les news­let­ters et les emails marketing réside dans sa forte sécurité juridique au regard du droit français. Mais pourquoi parle-t-on d’une sécurité quasi totale ? Parce qu’elle n’est garantie que si les règles relatives à la con­cep­tion de l’email de con­fir­ma­tion sont stric­te­ment res­pec­tées. Celui-ci doit en effet répondre à des exigences précises afin de cons­ti­tuer une preuve valable du con­sen­te­ment, notamment au regard du RGPD et des re­com­man­da­tions de la Com­mis­sion nationale de l’in­for­ma­tique et des libertés (CNIL).

Autre avantage : la con­fir­ma­tion en deux étapes permet de s’assurer que les des­ti­na­taires sont réel­le­ment in­té­res­sés par les emails marketing de l’en­tre­prise. Inonder des uti­li­sa­teurs de messages pu­bli­ci­taires sans leur accord a souvent l’effet inverse et nuit à l’image de l’en­tre­prise lorsque ces emails sont perçus comme du spam.

Les emails de con­fir­ma­tion pré­sen­tent cependant aussi des in­con­vé­nients. Ils cons­ti­tuent en effet une barrière sup­plé­men­taire à l’ac­qui­si­tion de nouveaux contacts. Les des­ti­na­taires peuvent changer d’avis ou sim­ple­ment oublier de cliquer sur le lien de con­fir­ma­tion. Pour y remédier, des in­ci­ta­tions telles que des bons de réduction ou des remises sont utilisées afin d’en­cou­ra­ger la fi­na­li­sa­tion de l’ins­crip­tion.

La mise en œuvre de la procédure implique également un effort ad­mi­nis­tra­tif et technique plus important. Néanmoins, la plupart des solutions lo­gi­cielles pro­fes­sion­nelles dédiées aux news­let­ters proposent des fonc­tion­na­li­tés pratiques per­met­tant de mettre en place le double opt-in pour les emails sans dif­fi­culté majeure.

Quelles sont les di­rec­tives pour les emails de con­fir­ma­tion ?

Afin qu’un email de con­fir­ma­tion ne soit pas lui-même assimilé à de la com­mu­ni­ca­tion illicite dans le cadre juridique, les en­tre­prises doivent respecter les règles suivantes :

• Absence de publicité ou de contenus com­mer­ciaux
• Contenu ex­clu­si­ve­ment consacré à la con­fir­ma­tion de l’ins­crip­tion
• Uti­li­sa­tion uni­que­ment des in­for­ma­tions standard col­lec­tées lors de l’ins­crip­tion

En outre, l’ensemble des étapes du processus doit être soig­neu­se­ment documenté :

• Date et heure de l’ins­crip­tion
• Adresse IP de la personne inscrite
• Contenu de l’email de con­fir­ma­tion
• Date et heure de la con­fir­ma­tion
• Adresse IP utilisée lors de la con­fir­ma­tion

Ces éléments de preuve sont in­dis­pen­sables pour démontrer, en cas de litige ou de contrôle, que le con­sen­te­ment a bien été donné con­for­mé­ment aux exigences du RGPD et aux re­com­man­da­tions de la CNIL.

Adresse mail sécurisée pour votre vie privée numérique

• Pro­tec­tion pro­fes­sion­nelle des données et de sécurité
• Chif­fre­ment des emails avec SSL/TLS
• Pro­tec­tion antivirus avec pare-feu et filtres anti-spam
• Sau­ve­gardes quo­ti­diennes, pro­tec­tion quo­ti­dienne

Voir les packs

Double opt-in lors de l’ins­crip­tion à une boutique en ligne

En France, la question du double opt-in lors de la création de comptes clients dans les boutiques en ligne revêt également une im­por­tance par­ti­cu­lière. La pratique et les re­com­man­da­tions des autorités de contrôle, notamment la CNIL, con­si­dè­rent qu’un email envoyé sans con­sen­te­ment préalable clair peut être qualifié de message non sollicité, même lorsqu’il est présenté comme un simple message de con­fir­ma­tion.

Ainsi, l’envoi d’un email invitant une personne à confirmer l’ouverture d’un compte client peut être in­ter­prété comme une com­mu­ni­ca­tion à caractère com­mer­cial si cette personne n’a jamais initié l’ins­crip­tion elle-même. Le point dé­ter­mi­nant réside dans l’absence d’un lien de con­fir­ma­tion explicite intégré à une véritable procédure de double opt-in. Sans cette étape de va­li­da­tion, l’email ne peut pas être considéré comme faisant partie d’un processus de con­sen­te­ment valable au sens du droit français et du RGPD.

Les con­sé­quences pour le commerce en ligne en France peuvent être résumées comme suit :

• La création d’un compte client dans une boutique en ligne doit être ac­com­pag­née d’un mécanisme per­met­tant de démontrer le con­sen­te­ment, ce qui est gé­né­ra­le­ment assuré par une procédure de double opt-in.
• En l’absence de lien de con­fir­ma­tion explicite et d’une do­cu­men­ta­tion suf­fi­sante du con­sen­te­ment, les en­tre­prises s’exposent à des risques ju­ri­diques, notamment au regard du RGPD et des règles encadrant les com­mu­ni­ca­tions élec­tro­niques.

News­let­ter avec double opt-in : comment ça fonc­tionne ?

La procédure de double opt-in garantit qu’une ins­crip­tion provient bien de la personne concernée. Le dé­rou­le­ment est simple et suit gé­né­ra­le­ment les étapes suivantes :

1. Remplir le for­mu­laire : les uti­li­sa­teurs sai­sis­sent leur adresse email, et éven­tuel­le­ment d’autres in­for­ma­tions, dans le for­mu­laire d’ins­crip­tion à la news­let­ter avec double opt-in.
2. Recevoir l’email de con­fir­ma­tion : un email contenant un lien de con­fir­ma­tion est envoyé au­to­ma­ti­que­ment après l’ins­crip­tion. Il permet de vérifier que l’adresse indiquée ap­par­tient bien à la personne qui s’est inscrite.
3. Cliquer sur le lien de con­fir­ma­tion : l’ins­crip­tion n’est dé­fi­ni­ti­ve­ment activée qu’après le clic sur ce lien. Sans con­fir­ma­tion, aucun autre message n’est envoyé et la procédure de double opt-in pour la news­let­ter n’aboutit pas.
4. Recevoir un email de bienvenue : une fois la con­fir­ma­tion effectuée, un email de bienvenue est gé­né­ra­le­ment envoyé, par exemple avec un message d’accueil ou le premier contenu de la news­let­ter.
5. Do­cu­men­ta­tion du con­sen­te­ment : l’ensemble du processus, y compris la date, l’adresse IP et le contenu de l’email de con­fir­ma­tion, est consigné afin de pouvoir prouver qu’une ins­crip­tion valide a été réalisée via la procédure de double opt-in pour la news­let­ter.

En résumé : pas de demi-mesures avec le double opt-in

Un email marketing sérieux repose sur le con­sen­te­ment explicite de la personne des­ti­na­taire, con­for­mé­ment au cadre juridique français. Par dé­fi­ni­tion, le spam cor­res­pond à de la publicité non souhaitée. Toute en­tre­prise qui utilise des news­let­ters ou des emails marketing a donc intérêt à recourir sys­té­ma­ti­que­ment à la procédure de double opt-in afin de pouvoir démontrer ce con­sen­te­ment.

Il est essentiel d’éviter toute approche ap­proxi­ma­tive. La sécurité juridique n’est assurée que si les emails de con­fir­ma­tion sont conçus con­for­mé­ment aux règles et si l’ensemble des exigences ap­pli­cables, notamment celles issues du RGPD et des re­com­man­da­tions de la CNIL, est respecté. Il est fortement re­com­mandé de conserver les in­for­ma­tions clés, telles que l’adresse IP ainsi que la date et l’heure de l’ins­crip­tion et de la con­fir­ma­tion. En cas de litige ou de contrôle, ces éléments per­met­tent d’apporter ra­pi­de­ment la preuve d’un con­sen­te­ment valable et de répondre ef­fi­ca­ce­ment à toute con­tes­ta­tion.

Veuillez prendre con­nais­sance des mentions légales en vigueur sur cet article.