Lois sur la confidentialité des e-mails : RGPD, CAN-SPAM, CCPA, CASL et vos droits

30 octobre 2026 · 30 min de lecture · Par Équipe éditoriale de VookMail

Le même e-mail publicitaire, envoyé au même moment par la même entreprise, peut être légal quand il atteint un lecteur dans l'Ohio et illégal quand il atteint un lecteur à Berlin ou à Toronto. Rien dans le message n'a besoin de changer. Ce qui diffère, c'est la localisation du destinataire et le fait que cette personne ait donné son accord à l'avance. Une boutique américaine peut en général écrire à un inconnu sans demander d'abord, à condition d'être honnête et de permettre de se désabonner, alors qu'au sein de l'UE et au Canada le même message exigerait généralement un consentement avant l'envoi.

Cette différence est le cœur des lois sur la confidentialité des e-mails. Le RGPD (GDPR) et les règles ePrivacy en Europe, ainsi que la CASL au Canada, fonctionnent sur le principe de l'opt-in, tandis que la loi américaine CAN-SPAM fonctionne sur celui de l'opt-out. À côté se trouvent des lois générales sur la vie privée, comme le RGPD et le CCPA californien, qui vous donnent des droits sur les données que les entreprises détiennent à votre sujet. Cet article donne des informations générales et ne constitue pas un conseil juridique. Les lois changent et varient selon les pays, et leur application dépend des faits : consultez les recommandations de l'autorité compétente ou parlez à un juriste qualifié pour une situation précise.

Un e-mail promotionnel, quatre issues

Prenons un exemple concret. Une petite boutique en ligne installée au Texas achète une liste d'adresses et envoie à tout le monde un e-mail « 20 % de réduction ce week-end ». Le message a un objet honnête, une adresse postale et un lien de désabonnement. Voici à peu près ce qui se passe pour des destinataires situés à différents endroits, en supposant que chaque loi s'applique à l'activité de la boutique sur place.

Destinataire en	Règle principale	Situation probable dans cet exemple
États-Unis	Loi CAN-SPAM	Le consentement préalable n'est pas exigé. Le message peut être conforme s'il respecte les règles de contenu et de désabonnement, même si les adresses obtenues par collecte automatisée posent d'autres problèmes
Allemagne (UE)	RGPD plus règles nationales ePrivacy, en Allemagne l'article 7 de la loi contre la concurrence déloyale (UWG)	Exige en général un consentement préalable. Des adresses achetées, sans relation client, ne remplissent pas l'exception du soft opt-in
Royaume-Uni	UK GDPR et article 22 du PECR	Exige en général un consentement préalable pour les abonnés particuliers, ou un soft opt-in que la boutique ne peut pas invoquer ici
Canada	CASL	Exige un consentement exprès ou implicite. Une liste achetée n'apporte normalement ni l'un ni l'autre, et la boutique doit pouvoir prouver le consentement

Cela montre aussi pourquoi le pays d'origine de l'expéditeur règle peu de choses. Une entreprise texane qui cible des clients dans l'UE peut relever du droit européen, et la CASL couvre les messages consultés sur des ordinateurs situés au Canada. Le lieu où une entreprise vend et celui où se trouvent ses destinataires comptent généralement plus que l'endroit où elle a son bureau.

Les lois en un coup d'œil

Loi	Où	Modèle de prospection	Application par	Sanction maximale annoncée
RGPD (GDPR)	UE et EEE ; aussi les organisations d'ailleurs qui ciblent ou surveillent des personnes sur place	Exige une base légale ; se lit avec les règles ePrivacy	Autorités nationales de protection des données et tribunaux	Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu
Directive ePrivacy	UE, par la loi nationale de chaque État membre	Opt-in pour les particuliers, avec un soft opt-in pour les clients existants	Régulateurs nationaux, qui varient selon les pays	Fixée par la loi nationale
UK GDPR et PECR	Royaume-Uni	Opt-in avec un soft opt-in, proche du modèle de l'UE	Le régulateur britannique de protection des données	17,5 millions de livres ou 4 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu
Loi CAN-SPAM	États-Unis	Opt-out	FTC, autres agences fédérales, procureurs généraux des États, fournisseurs d'accès à internet	Plus de 50 000 $ par e-mail en infraction, ajustés chaque année selon l'inflation
CCPA, modifié par le CPRA	Résidents de Californie et entreprises à but lucratif concernées	Pas de règle de consentement pour l'e-mail ; encadre la collecte, la vente et le partage	California Privacy Protection Agency et procureur général	Amendes par infraction, plus élevées pour les infractions intentionnelles et celles qui touchent des mineurs
CASL	Canada, y compris les messages envoyés de l'étranger et consultés sur place	Consentement exprès ou implicite avant l'envoi	CRTC, Bureau de la concurrence, Commissariat à la protection de la vie privée	Jusqu'à 10 millions de C$ par infraction pour les organisations, 1 million de C$ pour les particuliers

Une adresse e-mail est-elle une donnée personnelle ?

Selon l'article 4(1) du RGPD, une donnée personnelle est toute information se rapportant à une personne physique identifiée ou identifiable. Une adresse comme maria.lopez@example.com entre clairement dans cette définition. Une adresse moins évidente comme ml1987@example.com y entre généralement aussi, car elle appartient à une seule personne et peut être recoupée avec d'autres informations pour l'identifier. Une adresse partagée comme info@company.example n'est peut-être pas du tout une donnée personnelle, sauf si elle peut être rattachée à un individu.

Un e-mail contient bien plus de données personnelles que l'adresse elle-même. Il y a le contenu du message et ses pièces jointes. Il y a les métadonnées, c'est-à-dire l'expéditeur, les destinataires, les horaires, les objets et les adresses IP dans les en-têtes. Il y a les données d'engagement, comme le moment où vous avez ouvert un message et les liens sur lesquels vous avez cliqué. Il y a aussi les profils dérivés, comme les segments d'intérêts et les prédictions de ce que vous pourriez acheter ensuite.

Les termes américains diffèrent. Le CCPA parle d'« informations personnelles », définies largement pour inclure des identifiants comme les adresses e-mail, ainsi que les déductions tirées pour construire un profil. Le CAN-SPAM n'utilise aucune notion de ce genre, car ce n'est pas du tout une loi générale sur la vie privée. Il réglemente la façon d'envoyer les e-mails commerciaux et ne vous donne aucun droit de consulter ou de supprimer ce qu'une entreprise détient.

Europe : deux lois qui travaillent ensemble

De nombreux articles présentent le marketing en opt-in comme une règle du RGPD. L'exigence de consentement pour les e-mails de prospection vient en réalité d'une autre loi, la directive ePrivacy (directive 2002/58/CE), tandis que le RGPD définit ce que signifie un consentement valable et régit ce qu'il advient des données. Une directive étant transposée séparément dans chaque État membre, les détails diffèrent d'un pays de l'UE à l'autre. La France et l'Allemagne, par exemple, ont leurs propres dispositions nationales et les positions de leurs propres régulateurs.

L'article 13 de la directive ePrivacy

L'article 13 fixe le cadre de base. La prospection directe par e-mail auprès de particuliers exige un consentement préalable. Une exception étroite, généralement appelée soft opt-in, permet à une entreprise qui a obtenu votre adresse à l'occasion de la vente d'un produit ou d'un service de promouvoir ses propres produits ou services similaires, à condition que vous ayez eu la possibilité claire et simple de vous y opposer lors de la collecte de vos coordonnées et dans chaque message suivant. Les expéditeurs ne peuvent pas masquer ni dissimuler leur identité, et ils doivent fournir une adresse valable pour se désinscrire.

Les règles pour écrire à des entreprises varient. L'article 13(5) laisse aux États membres la possibilité de traiter différemment les personnes morales, si bien que certains étendent l'opt-in aux adresses d'entreprise et d'autres non. Les adresses professionnelles nominatives comme firstname.lastname@company.example restent des données personnelles au sens du RGPD, même là où la règle de prospection est plus souple.

Pixels espions

L'article 5(3) de la même directive exige un consentement pour stocker ou consulter des informations sur l'appareil d'un utilisateur, sauf si c'est strictement nécessaire à un service demandé par l'utilisateur. Il est surtout connu pour les bandeaux de cookies. Les lignes directrices 2/2023 du Comité européen de la protection des données sur le champ d'application technique de l'article 5(3) considèrent que les pixels espions des e-mails peuvent en relever. L'autorité française, la CNIL, est allée plus loin et a publié en avril 2026 une recommandation faisant du consentement la règle par défaut pour les pixels espions dans les e-mails, avec des exceptions limitées pour des finalités comme la sécurité. Attendez-vous à des différences d'un pays à l'autre et vérifiez la position de votre propre autorité. Le fonctionnement de la technologie elle-même est expliqué dans notre article sur les pixels espions dans les e-mails.

Ce qu'ajoute le RGPD

Le règlement général sur la protection des données s'applique depuis le 25 mai 2018. Il couvre les organisations établies dans l'UE et, selon l'article 3(2), il couvre aussi celles d'ailleurs qui offrent des biens ou des services à des personnes dans l'UE ou y surveillent leur comportement. Le considérant 23 donne des indices sur le ciblage : le simple fait d'avoir un site web accessible depuis l'Europe ne suffit pas, alors qu'utiliser la langue ou la monnaie d'un État membre pour y proposer des biens peut suffire. L'Islande, le Liechtenstein et la Norvège appliquent le RGPD par le biais de l'EEE.

Principes et bases légales

L'article 5 pose les principes. Une adresse collectée pour envoyer une confirmation de commande ne peut pas être simplement réutilisée à des fins sans rapport (limitation des finalités). Seules les données nécessaires doivent être collectées (minimisation des données), conservées pas plus longtemps que nécessaire (limitation de la conservation) et protégées. L'organisation doit aussi pouvoir démontrer qu'elle a respecté ces règles (responsabilité).

L'article 6 exige une base légale pour chaque utilisation. Pour l'e-mail, voici les plus courantes :

Contrat : envoyer votre confirmation de commande ou des notifications de compte.
Obligation légale : conserver des factures à des fins fiscales.
Consentement : s'abonner à une newsletter.
Intérêts légitimes : certaines mesures de sécurité et de prévention de la fraude, et dans des cas limités la prospection directe, mais seulement lorsque les règles ePrivacy autorisent le message lui-même.

Ce qui rend un consentement valable

L'article 4(11) définit le consentement comme libre, spécifique, éclairé et univoque, manifesté par un acte positif clair. Le considérant 32 précise que le silence, les cases précochées et l'inactivité ne comptent pas, et la Cour de justice de l'UE a confirmé le point sur les cases précochées dans l'affaire Planet49 de 2019 (C-673/17). L'article 7(3) prévoit que retirer son consentement doit être aussi simple que le donner : un abonnement en un clic ne devrait donc pas exiger une connexion et cinq pages pour l'annuler. L'article 7(1) impose à l'organisation de pouvoir démontrer le consentement, ce qui explique en partie pourquoi les expéditeurs sérieux utilisent des e-mails de confirmation en double opt-in, même si le RGPD ne nomme pas cette méthode.

Le couplage est un point faible fréquent. L'article 7(4) examine si un service a été subordonné à un consentement dont il n'a pas besoin. « Donnez-nous votre consentement à la prospection ou vous ne pourrez pas lire cette page » est le type de montage que les régulateurs scrutent de près, et la réponse peut varier selon le contexte.

Vos droits

Droit	Article	Ce qu'il vous donne	Exemple par e-mail
Information	13, 14	Qui traite vos données, pourquoi, pour combien de temps et qui les reçoit	Une notice de confidentialité liée à l'inscription à la newsletter
Accès	15	Une copie de vos données et le détail de leur utilisation, normalement gratuite	Demander à une boutique ce qu'elle détient lié à votre adresse, segments compris
Rectification	16	Correction des données inexactes	Corriger un nom mal orthographié
Effacement	17	Suppression dans les cas listés, comme des données devenues inutiles ou un consentement retiré	Supprimer votre profil d'un service que vous avez quitté
Limitation	18	Une pause dans l'utilisation pendant un litige	Arrêter le traitement le temps de vérifier l'exactitude
Portabilité	20	Les données que vous avez fournies, dans un format lisible par machine, lorsque le traitement repose sur le consentement ou un contrat	Exporter ses contacts depuis un fournisseur de messagerie
Opposition	21	Faire cesser un traitement fondé sur les intérêts légitimes ; absolu pour la prospection directe	Dire à une entreprise d'arrêter toute prospection
Réclamation et indemnisation	77, 82	Se plaindre auprès d'une autorité et demander réparation d'un préjudice	Signaler un expéditeur qui ignore votre opposition

L'article 12(3) donne un mois aux organisations pour répondre, prolongeable de deux mois supplémentaires pour les demandes complexes ou nombreuses, auquel cas elles doivent vous prévenir dans le premier mois. Elles peuvent demander une preuve d'identité raisonnable. Selon l'article 12(5), elles ne peuvent exiger des frais raisonnables ou refuser que lorsqu'une demande est manifestement infondée ou excessive.

Le droit de s'opposer à la prospection est le plus puissant de ces droits, et on l'oublie facilement. L'article 21(2) et (3) prévoit qu'une fois que vous vous opposez à la prospection directe, vos données ne doivent plus être traitées à cette fin. Contrairement aux autres oppositions, aucune mise en balance ne s'applique. Une entreprise peut conserver votre adresse dans une liste d'exclusion pour ne plus vous écrire, mais elle ne peut pas continuer à vous prospecter.

L'effacement, en revanche, a des limites. L'article 17(3) liste des exceptions, dont les obligations légales. Une boutique peut garder vos factures après avoir supprimé votre profil, et elle devrait vous le dire quand vous le demandez.

Notification des violations

L'article 33 impose à une organisation de notifier l'autorité de contrôle d'une violation de données personnelles dans les 72 heures suivant sa connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes. L'article 34 lui impose d'informer les personnes concernées dans les meilleurs délais lorsque le risque est élevé. C'est pourquoi vous avez parfois des nouvelles de services que vous avez quittés il y a des années. Si vous recevez un avis, notre guide sur ce qu'il faut faire après une fuite de données e-mail explique les étapes pratiques.

Un changement pourrait arriver. La proposition Digital Omnibus de la Commission européenne, publiée en novembre 2025, porterait notamment les 72 heures à 96 et limiterait la notification au régulateur aux violations à risque élevé. À la fin de 2026, elle reste une proposition dans le processus législatif, donc les règles actuelles s'appliquent toujours. Consultez le texte final si vous devez vous y fier.

Le Royaume-Uni : similaire, avec ses propres évolutions

Après le Brexit, le Royaume-Uni a conservé le RGPD dans son droit interne sous le nom de UK GDPR, à côté du Data Protection Act 2018. Les Privacy and Electronic Communications Regulations 2003 (PECR) portent les règles ePrivacy, et l'article 22 reprend le modèle d'opt-in et de soft opt-in de l'UE pour les abonnés particuliers.

Le Data (Use and Access) Act 2025 a modifié une partie de ce tableau. Il a relevé l'amende maximale du PECR de 500 000 £ au niveau du UK GDPR, soit le plus élevé de 17,5 millions de livres ou 4 % du chiffre d'affaires mondial, ce changement étant annoncé comme effectif début 2026. Il a aussi créé une version du soft opt-in pour les associations caritatives, qui leur permet d'écrire aux personnes qui ont soutenu leur action ou s'en sont enquises, sous des conditions dont une possibilité de refus lors de la collecte. Le régulateur lui-même est en cours de refonte, l'Information Commissioner's Office devant être remplacé par une Information Commission, vous pouvez donc rencontrer l'un ou l'autre nom. Son site reste l'endroit où consulter les recommandations en vigueur, et il propose un outil pour signaler la prospection non sollicitée.

CAN-SPAM : ce qu'exige réellement la loi fédérale américaine

Le CAN-SPAM Act de 2003 est la principale loi fédérale américaine sur les e-mails commerciaux. Malgré son nom, il n'interdit pas la prospection non sollicitée. Il fixe les règles d'envoi de ces e-mails et donne aux destinataires le droit d'y mettre fin. La règle d'application de la FTC se trouve au 16 CFR Part 316, et l'agence publie à l'intention des entreprises un guide de conformité qui vaut la peine d'être lu en entier si vous envoyez des e-mails de prospection.

Quels messages sont concernés

Ce qui compte, c'est la finalité principale d'un message. Les messages commerciaux font la publicité ou la promotion d'un produit ou d'un service et sont entièrement couverts. Les messages transactionnels ou relationnels confirment une transaction, donnent des informations de garantie ou de sécurité, signalent des changements de compte ou d'abonnement, fournissent des informations d'emploi ou livrent des biens déjà achetés. Ils sont dispensés de la plupart des exigences mais ne doivent pas contenir d'informations de routage fausses ou trompeuses. Le courrier purement personnel échappe à la loi.

Il n'y a pas d'exception pour les e-mails entre entreprises. Un message promotionnel envoyé à une adresse professionnelle doit lui aussi être conforme, ce qui surprend les personnes habituées au traitement plus souple du B2B dans certains pays.

Les exigences

Les informations d'en-tête doivent être exactes. De, À, Reply-To et les données de routage doivent identifier correctement l'auteur du message.
Les objets ne doivent pas tromper sur le contenu.
Le message doit être clairement identifié comme une publicité, sauf si le destinataire a donné au préalable son consentement positif.
Il doit comporter une adresse postale physique valable, qui peut être une adresse de rue, une boîte postale enregistrée ou une boîte privée enregistrée.
Il doit expliquer clairement comment se désinscrire et proposer un moyen qui fonctionne, comme une adresse de réponse ou un lien.
Les désinscriptions doivent être respectées sous 10 jours ouvrables, et le dispositif doit continuer à fonctionner au moins 30 jours après l'envoi. Un expéditeur ne peut ni facturer des frais, ni demander d'informations personnelles au-delà d'une adresse e-mail et des préférences de désinscription, ni exiger d'autre démarche qu'une réponse ou la visite d'une seule page web.
Les adresses désinscrites ne peuvent être ni vendues ni transférées, sauf à une entreprise engagée pour aider à la conformité.
Une entreprise reste responsable de tous ceux qui envoient en son nom : engager une agence ne déplace donc pas l'obligation ailleurs.

Les e-mails commerciaux sexuellement explicites doivent porter la mention d'avertissement « SEXUALLY-EXPLICIT: » dans l'objet, selon une règle distincte de la FTC.

Pratiques aggravantes et application

La loi traite certaines pratiques comme des circonstances aggravantes, notamment la collecte d'adresses sur des sites web, la génération d'adresses par des « attaques par dictionnaire » qui combinent noms et lettres, et l'usage de scripts pour créer des comptes en masse afin d'envoyer du spam. Certaines pratiques trompeuses sont des infractions pénales.

Les destinataires n'ont aucun droit d'action individuel, l'un des points les plus mal compris de cette loi. L'application relève de la FTC, d'autres agences fédérales pour les secteurs réglementés, des procureurs généraux des États et des fournisseurs d'accès à internet. Vous pouvez signaler des infractions sur ReportFraud.ftc.gov. La FTC engage bien des poursuites : en 2024, elle a annoncé une sanction de 2,95 millions de dollars contre l'entreprise de caméras de sécurité Verkada, dans une affaire comprenant des accusations au titre du CAN-SPAM. La loi l'emporte aussi sur la plupart des lois des États qui réglementent spécifiquement les e-mails commerciaux, sauf lorsqu'elles interdisent la fausseté ou la tromperie.

Les SMS sont un sujet distinct

Les SMS publicitaires américains relèvent principalement du Telephone Consumer Protection Act, qui exige en général un consentement exprès préalable pour les SMS publicitaires automatisés. La logique d'opt-out de l'e-mail ne s'applique donc pas à votre numéro de téléphone, et un formulaire de paiement qui demande votre numéro demande un consentement distinct.

La Californie et les autres États américains

Le California Consumer Privacy Act est entré en vigueur en 2020 et a été substantiellement modifié par le California Privacy Rights Act à partir de 2023. C'est une loi générale sur la vie privée, qui concerne l'e-mail parce que votre adresse est une information personnelle et que les entreprises la partagent souvent à des fins publicitaires.

Elle s'applique aux entreprises à but lucratif exerçant en Californie qui remplissent au moins l'un de trois critères : un chiffre d'affaires annuel brut supérieur à un seuil ajusté selon l'inflation (il était au départ de 25 millions de dollars, et l'ajustement 2025 du régulateur l'a fixé à 26 625 000 $) ; l'achat, la vente ou le partage des informations personnelles de 100 000 consommateurs ou foyers californiens ou plus par an ; ou la réalisation d'au moins la moitié du chiffre d'affaires annuel en vendant ou partageant des informations personnelles.

Les entreprises concernées doivent respecter ces droits :

Savoir ce qui est collecté, auprès de qui, pourquoi et avec quelles catégories de tiers cela est partagé.
Supprimer les informations personnelles collectées à votre sujet, avec des exceptions comme finaliser une transaction ou respecter des obligations légales.
Corriger les informations personnelles inexactes.
Refuser la vente ou le partage. Le « partage » couvre spécifiquement la communication à des fins de publicité comportementale intercontextuelle, ce qui peut inclure le téléversement de listes d'e-mails de clients vers des plateformes publicitaires.
Limiter l'utilisation des informations personnelles sensibles, catégorie qui comprend le contenu du courrier, des e-mails et des SMS, sauf si l'entreprise en est le destinataire.
Ne pas subir de discrimination pour avoir exercé ces droits, même si les entreprises peuvent proposer des avantages financiers déclarés, comme des programmes de fidélité.

Les demandes de connaissance, de suppression et de correction doivent recevoir une réponse sous 45 jours calendaires, prolongeables de 45 jours supplémentaires avec notification. Les refus de vente ou de partage ont un délai plus court selon la réglementation, 15 jours ouvrables au maximum. Les entreprises doivent aussi traiter un signal de préférence de refus comme Global Privacy Control, envoyé par votre navigateur ou une extension, comme un refus valable de la vente et du partage.

La California Privacy Protection Agency, aussi appelée CalPrivacy, et le procureur général font appliquer la loi. Les particuliers ne peuvent agir en justice que pour certaines violations de données causées par un manquement à l'obligation de maintenir une sécurité raisonnable, avec des dommages-intérêts légaux par consommateur et par incident. Les Californiens disposent aussi d'un outil distinct au titre du Delete Act : la Delete Request and Opt-out Platform (DROP) leur permet d'envoyer une seule demande de suppression aux courtiers en données enregistrés, et ceux-ci devaient commencer à traiter ces demandes en août 2026.

De nombreux autres États, dont la Virginie, le Colorado, le Connecticut, le Texas et l'Oregon, ont adopté des lois générales sur la vie privée avec des droits globalement similaires. Les détails et les seuils diffèrent, et la plupart n'offrent aucun droit d'action individuel : consultez la page du procureur général de votre État.

CASL : le régime strict du Canada

La loi canadienne anti-pourriel est en grande partie en vigueur depuis le 1er juillet 2014 et compte parmi les lois de prospection par e-mail les plus strictes au monde. Elle couvre les messages électroniques commerciaux, e-mails et SMS compris, envoyés à des ordinateurs situés au Canada ou consultés sur ceux-ci.

Un expéditeur a besoin d'un consentement exprès ou, dans des situations précises, d'un consentement implicite. L'exemple le plus connu de consentement implicite est une relation commerciale existante, comme un achat dans les deux années précédentes ou une demande de renseignements dans les six mois précédents. Chaque message doit identifier l'expéditeur et donner ses coordonnées. Chaque message doit aussi comporter un mécanisme de désabonnement qui reste valable au moins 60 jours après l'envoi, et les demandes doivent être traitées sous 10 jours ouvrables.

Les sanctions peuvent atteindre 10 millions de C$ par infraction pour les organisations et 1 million de C$ pour les particuliers. Le droit d'action privé prévu par la loi, qui aurait permis aux particuliers d'agir en justice, a été suspendu par le gouvernement en 2017 avant son entrée en vigueur. Les Canadiens peuvent signaler le pourriel via le Centre de notification des pourriels, qui fait partie du programme fédéral de lutte contre le pourriel.

Ailleurs, en bref

La Spam Act 2003 australienne exige le consentement, l'identification de l'expéditeur et un dispositif de désabonnement fonctionnel, et les demandes doivent être respectées sous cinq jours ouvrés. L'Australian Communications and Media Authority la fait appliquer. La LGPD brésilienne est une loi générale dans l'esprit du RGPD, appliquée par l'autorité nationale ANPD, avec des droits d'accès, de correction, de suppression et d'information sur le partage. Le Digital Personal Data Protection Act 2023 de l'Inde instaure un traitement fondé sur le consentement, et ses règles, notifiées en novembre 2025, s'introduisent progressivement sur 18 mois, de sorte que la plupart des obligations opérationnelles ne sont pas encore en vigueur. La loi fédérale suisse révisée sur la protection des données s'applique depuis septembre 2023 et est très proche des principes du RGPD.

Si votre pays n'est pas cité ici, il peut tout de même avoir une loi pertinente. Votre autorité nationale de protection des données ou de la consommation est l'endroit où vérifier.

Pourquoi se désabonner n'arrête pas vos reçus

On demande souvent pourquoi refuser la prospection d'une boutique laisse arriver ses e-mails de commande. Les lois séparent volontairement les deux, et c'est aussi pourquoi un expéditeur ne peut pas échapper aux règles de prospection en appelant simplement quelque chose un message de service.

Type	Exemples	RGPD et ePrivacy	CAN-SPAM	CASL
Transactionnel	Reçus, suivi d'expédition, réinitialisations de mot de passe, alertes de sécurité	Exige une base légale, généralement le contrat ou les intérêts légitimes, et non un consentement à la prospection	Dispensé de la plupart des règles ; pas de fausses informations de routage	Les catégories listées sont dispensées de consentement mais exigent quand même l'identification de l'expéditeur et le contenu de désabonnement
Prospection	Soldes, newsletters promotionnelles, recommandations de produits	Consentement ou soft opt-in ; droit d'opposition absolu	Autorisé sans consentement ; toutes les exigences s'appliquent	Consentement exprès ou implicite requis
Mixte	Une confirmation de commande avec une grande bannière promotionnelle	La partie promotionnelle peut exiger un consentement à la prospection	Jugé selon la finalité principale, en regardant l'objet et la place du contenu	Peut être considéré comme commercial s'il promeut des produits

Toutes les règles que vous rencontrez ne viennent d'ailleurs pas d'un législateur. Depuis 2024, Google et Yahoo exigent des expéditeurs en masse qu'ils prennent en charge le désabonnement en un clic via le mécanisme de la RFC 8058, et qu'ils traitent les demandes sous deux jours. C'est une condition de bonne délivrabilité fixée par les fournisseurs de messagerie, sans force légale, mais qui arrête en pratique certains expéditeurs plus vite que les 10 jours ouvrables de la loi.

Faire valoir vos droits, pas à pas

1. Arrêtez la prospection

Utilisez le bouton de désabonnement que votre application de messagerie affiche à côté de l'expéditeur, qui s'appuie sur l'en-tête List-Unsubscribe. S'il n'y en a pas, utilisez le lien en pied de page d'un message légitime. Ne le faites qu'avec des expéditeurs que vous reconnaissez, car un lien dans un spam manifeste peut mener n'importe où, et le signalement est alors la meilleure réponse. Notez la date. Avec le CAN-SPAM et la CASL, les e-mails devraient cesser sous 10 jours ouvrables. Dans l'UE et au Royaume-Uni, une opposition devrait prendre effet sans délai, même si les régulateurs acceptent généralement un court délai de traitement.

2. Découvrez ce qu'une entreprise détient

Envoyez une demande d'accès de la personne concernée au titre du RGPD, ou une demande de connaissance au titre du CCPA. De nombreuses entreprises proposent un formulaire ou un portail de confidentialité, et l'utiliser peut accélérer les choses. Sinon, un court message comme ce modèle suffit :

Objet : Demande d'accès à des données personnelles
Je demande l'accès aux données personnelles que vous détenez à mon sujet en vertu de l'article 15 du RGPD [ou : en vertu du California Consumer Privacy Act]. Mon adresse e-mail dans vos fichiers est [adresse]. Veuillez me fournir une copie des données, les finalités du traitement, les catégories de destinataires avec lesquelles vous les avez partagées, la durée de conservation prévue et la source des données si elles n'ont pas été collectées auprès de moi. J'attends votre réponse dans le délai légal.

Envoyez-le depuis l'adresse que l'entreprise a en dossier, au contact confidentialité indiqué dans sa politique de confidentialité, et gardez-en une copie avec la date. Attendez-vous à une vérification d'identité. Elle est légitime, mais elle doit rester proportionnée. Une boutique qui demande un scan de passeport pour répondre à une demande portant sur une adresse de newsletter mérite qu'on la questionne.

3. Demandez la suppression

Si vous avez cessé d'utiliser un service, demandez l'effacement au titre de l'article 17 du RGPD ou la suppression au titre du CCPA. L'entreprise peut conserver des documents qu'elle est tenue de garder, comme des factures, et une adresse dans une liste d'exclusion pour ne pas vous écrire par erreur. Il est raisonnable de demander ce qu'elle garde et pourquoi.

4. Refusez la vente et le partage dans les États américains

Cherchez un lien du type « Do Not Sell or Share My Personal Information » ou « Your Privacy Choices », ou activez Global Privacy Control dans un navigateur ou une extension qui le prend en charge. Les Californiens peuvent utiliser DROP pour les courtiers en données enregistrés.

5. Montez d'un cran si vous n'arrivez à rien

UE et EEE : déposez une plainte auprès de votre autorité nationale de protection des données. Le Comité européen de la protection des données les liste toutes.
Royaume-Uni : déposez une plainte auprès du régulateur britannique de protection des données après avoir d'abord saisi l'organisation, ou signalez la prospection non sollicitée via son outil en ligne.
États-Unis : signalez les e-mails commerciaux trompeurs ou non conformes sur ReportFraud.ftc.gov. Pour les problèmes de CCPA, déposez une plainte auprès de la California Privacy Protection Agency ou du procureur général.
Canada : signalez au Centre de notification des pourriels.

Gardez des preuves simples : la date de votre demande, une copie de celle-ci, une copie de la réponse s'il y en a une, et des exemples de messages qui ont continué d'arriver avec leurs en-têtes complets. Les régulateurs ne peuvent pas traiter toutes les plaintes, donc une plainte individuelle peut ne pas donner de résultat rapide, mais elle s'ajoute au dossier contre un récidiviste.

Ce que ces lois ne couvrent pas

Le spam criminel est la lacune la plus évidente. Quelqu'un qui vend de faux médicaments depuis un serveur détourné ignore toutes les règles ci-dessus, et c'est pourquoi un filtre anti-spam et le bouton de signalement de votre fournisseur font plus contre ce courrier que n'importe quel texte de loi. Repérer et signaler ce genre de fraude est une compétence pratique, et aucun régulateur ne peut le faire à votre place.

Votre correspondance personnelle est elle aussi pour l'essentiel hors de ces règles. Un mot personnel à des amis n'est pas un e-mail commercial, et le RGPD prévoit une exemption pour les activités strictement personnelles ou domestiques à l'article 2(2)(c). L'accès des forces de l'ordre aux boîtes e-mail relève de lois distinctes, comme le Stored Communications Act américain et les lois nationales de surveillance, qui méritent leur propre explication.

Enfin, la plupart de ces lois lient des organisations d'un certain type ou au-delà d'une certaine taille. Une petite boutique californienne sous les seuils du CCPA doit tout de même suivre le CAN-SPAM mais n'a aucune obligation au titre du CCPA. Une organisation à but non lucratif peut échapper au CCPA tout en restant soumise au RGPD lorsqu'elle écrit à des personnes en Europe. Regardez toujours qui est l'expéditeur avant de supposer quelles règles s'appliquent.

Où se place une adresse jetable ?

Une adresse e-mail jetable est une boîte temporaire qui ne demande aucune inscription et supprime ses messages après peu de temps. Nous ne connaissons aucune loi, parmi les régimes ci-dessus, qui interdise d'en utiliser une pour protéger sa vie privée, et le faire suit la même logique que l'obligation de minimisation des données que le RGPD impose aux organisations. Si un site n'a pas besoin d'une relation durable avec vous, vous pouvez décider de ne pas en proposer, tant que ses conditions le permettent. Les règles et les conditions varient : il s'agit donc d'une observation générale, sans garantie pour un cas particulier.

Les usages ordinaires comprennent la réception d'un téléchargement ponctuel ou le test de votre propre site, avec ses e-mails d'inscription et de confirmation. VookMail est l'un de ces services. Une adresse est prête dès le chargement de la page, vous pouvez appuyer sur Nouveau pour saisir un nom d'utilisateur sur l'un des plus de 30 domaines ou utiliser le bouton jaune « Aléatoire » pour en obtenir une aléatoire, et les messages, les pièces jointes et les adresses sont supprimés au bout d'environ un jour. La façon dont il traite les données est exposée dans la politique de confidentialité, et la page de méthodologie explique comment le courrier de ses domaines parvient à un prestataire de distribution via les enregistrements MX et est transmis en HTTPS.

Plusieurs limites s'appliquent :

Des services peuvent refuser les adresses jetables, et beaucoup ont de bonnes raisons de le faire. Notre article sur les raisons pour lesquelles des sites bloquent les e-mails jetables les explique. Quand un site en refuse une, respectez-le et utilisez une adresse permanente ou un alias.
Quiconque connaît ou devine une adresse temporaire peut ouvrir cette boîte : elle vous protège de la liste de diffusion d'une entreprise, mais n'offre aucune confidentialité aux messages. Une adresse aléatoire est le choix le plus sûr.
La banque, l'administration, la santé et les principaux comptes sociaux exigent une adresse que vous contrôlerez toujours, car ils envoient des avis juridiquement importants et des messages de récupération.
L'abus n'est pas protégé. La fraude, le harcèlement, l'usurpation d'identité ou le contournement d'un bannissement peuvent avoir des conséquences juridiques quelle que soit l'adresse utilisée, et nos conditions générales les interdisent.
Les demandes d'exercice de droits exigent une adresse stable. Une entreprise vous vérifiera généralement par l'adresse enregistrée : si vous pensez vouloir exercer plus tard vos droits RGPD ou CCPA, une adresse permanente vous sert mieux.

Si vous envoyez vous-même des e-mails

Une newsletter ou une petite boutique en ligne vous place de l'autre côté de tout cela. Si vos lecteurs sont internationaux, l'approche pratique consiste à vous conformer à la règle la plus stricte qui s'applique à votre public. La liste ci-dessous est une base, et un véritable contrôle de conformité dépend de votre pays et de vos clients.

Recueillez le consentement avec une case non cochée ou une action d'inscription explicite, et enregistrez quand et comment il a été donné.
Envisagez le double opt-in, qui vous donne une preuve du consentement et écarte les fautes de frappe et les fausses inscriptions.
Reliez une notice de confidentialité claire partout où vous collectez des adresses.
Séparez les flux transactionnels et de prospection, et ne glissez pas de promotions dans les reçus.
Indiquez l'identité de votre organisation et une adresse postale valable dans chaque e-mail de prospection.
Prenez en charge le désabonnement en un clic avec les en-têtes List-Unsubscribe et List-Unsubscribe-Post, et traitez rapidement les désinscriptions.
Tenez une liste d'exclusion pour que les adresses désinscrites ne soient jamais réimportées.
N'achetez pas de listes. Une liste achetée échoue aux tests de consentement dans les pays en opt-in, et elle tend à provoquer des plaintes et des rebonds qui nuisent à votre délivrabilité partout.
Déclarez le suivi des ouvertures et des clics, et vérifiez si les pays de vos lecteurs exigent un consentement pour cela. La France a désormais des recommandations spécifiques à ce sujet.
Fixez des durées de conservation et supprimez les données des abonnés inactifs dont vous n'avez plus besoin.
Ayez une procédure pour répondre aux demandes d'accès, de suppression et de correction dans un délai d'un mois (RGPD) ou de 45 jours (CCPA).
Testez le parcours d'inscription et de désabonnement avec une boîte neuve avant le lancement, pour voir ce que voit un abonné.

Croyances qui posent problème

« Si une adresse est publique, je peux lui faire de la prospection. » Dans les systèmes en opt-in, une adresse visible publiquement ne vaut pas consentement à elle seule. Avec le CAN-SPAM, collecter des adresses sur des sites web est une circonstance aggravante. La publication ne règle tout simplement pas la question.

« Se désabonner ne fait que confirmer mon adresse aux spammeurs. » Cela vaut pour le spam manifeste d'expéditeurs inconnus, où le signalement est le meilleur choix. Avec un expéditeur légitime, se désabonner est la bonne démarche, et la loi oblige l'expéditeur à la respecter.

« Le RGPD ne concerne que les entreprises de l'UE. » L'article 3(2) atteint les organisations d'ailleurs qui ciblent ou surveillent des personnes dans l'UE ou l'EEE. La manière dont les régulateurs le font appliquer contre une entreprise sans présence en Europe est une autre question, et en pratique cela peut être difficile.

« Le CAN-SPAM me permet de poursuivre les spammeurs. » Il ne donne pas ce droit aux particuliers. D'autres lois peuvent aider dans des situations particulières, et les lois des États contre la tromperie peuvent échapper à la primauté fédérale : un juriste peut donc vous dire si quelque chose s'applique à votre cas.

« Supprimer mon compte supprime toutes mes données. » Les entreprises peuvent légalement conserver certains documents, comme l'historique des transactions à des fins fiscales. Elles devraient l'expliquer quand vous le demandez.

« Les e-mails transactionnels ne sont pas réglementés. » Ils échappent à de nombreuses règles de prospection, mais ils exigent quand même une base légale au titre du RGPD et ne doivent pas être trompeurs.

Réponses courtes aux questions courantes

Une entreprise peut-elle m'écrire si je ne me suis jamais inscrit ?

Cela dépend de l'endroit où vous êtes. Aux États-Unis, en général oui, à condition de respecter le CAN-SPAM et de s'arrêter quand vous vous désinscrivez. Dans l'UE, au Royaume-Uni et au Canada, un e-mail de prospection exige généralement votre consentement ou relève d'une exception étroite pour les clients existants.

Une entreprise hors d'Europe doit-elle répondre à ma demande RGPD ?

Si elle offre des biens ou des services à des personnes dans l'UE ou l'EEE, ou y surveille leur comportement, le RGPD peut lui être applicable. L'article 27 exige aussi en général d'une telle entreprise qu'elle désigne un représentant dans l'UE, dont les coordonnées devraient figurer dans sa notice de confidentialité. La possibilité de faire appliquer la demande en pratique est une question distincte.

Ai-je des droits CCPA si je vis hors de Californie ?

Le CCPA protège les résidents de Californie. Certaines entreprises étendent des choix similaires à tout le monde, et de nombreux autres États ont leurs propres lois : cela vaut donc quand même la peine de demander.

En combien de temps le désabonnement doit-il fonctionner ?

Dix jours ouvrables au maximum avec le CAN-SPAM et la CASL, cinq jours ouvrés en Australie, et sans délai injustifié dans l'UE et au Royaume-Uni en pratique. Les gros expéditeurs qui utilisent Gmail et Yahoo sont aussi censés agir sous deux jours d'après les règles de ces fournisseurs.

Le suivi des ouvertures est-il légal ?

Aux États-Unis, le CAN-SPAM ne le traite pas directement. Dans l'UE, les régulateurs considèrent de plus en plus que les pixels espions des e-mails relèvent de l'article 5(3) de la directive ePrivacy, et la CNIL française traite désormais le consentement comme la règle par défaut. Ailleurs, cela dépend du droit national.

Où puis-je lire les lois elles-mêmes ?

Le RGPD et la directive ePrivacy sont sur EUR-Lex. La FTC publie le guide de conformité du CAN-SPAM, le régulateur californien et le procureur général publient des recommandations sur le CCPA, et le gouvernement du Canada tient un site sur la CASL. Ces sources officielles sont celles sur lesquelles s'appuyer, car cet aperçu ne peut refléter que le droit tel que nous le comprenions au moment de sa rédaction.