Pour envoyer des SMS marketing en France en conformité avec le RGPD, vous devez : collecter un opt-in explicite avant tout envoi commercial, identifier clairement votre marque dans chaque message, intégrer la mention STOP suivie d'un numéro non surtaxé, respecter les plages horaires légales (lundi-vendredi 8h-20h, samedi 10h-19h), et conserver les preuves de consentement. Deux exceptions permettent d'envoyer sans opt-in marketing : les clients existants pour des produits analogues, et les SMS transactionnels déclenchés par une action de l'utilisateur.
Qu'est-ce que le RGPD appliqué au SMS marketing ?
Le Règlement Général sur la Protection des Données (RGPD) est entré en vigueur le 25 mai 2018 dans toute l'Union Européenne. Pour les entreprises qui envoient des SMS à leurs clients ou prospects, il encadre précisément la manière dont les numéros de téléphone sont collectés, stockés et utilisés.
Le RGPD s'applique à toute entreprise qui traite des données personnelles de résidents européens — y compris les numéros de téléphone mobile, qui sont des données personnelles au sens légal. Il ne remplace pas la loi Informatique et Libertés ni les recommandations de la CNIL, il les complète et les renforce.
En pratique, le RGPD ajoute trois obligations concrètes par rapport à la réglementation antérieure : la traçabilité du consentement (vous devez pouvoir prouver qui a consenti, quand et comment), la limitation de la durée de conservation des données, et l'encadrement des sous-traitants comme Conexteo qui traitent les données pour votre compte.
L'opt-in SMS : ce qui est obligatoire et les 2 exceptions
La règle de base est simple : vous ne pouvez pas envoyer de SMS marketing à quelqu'un sans son accord préalable explicite. Cet accord — appelé opt-in — doit être libre, éclairé, spécifique et documenté. En clair : une case à cocher non pré-cochée dans un formulaire, avec une mention claire du type de communications que la personne accepte de recevoir.
Un accord oral, une case pré-cochée, ou un consentement "global" pour "les communications de nos partenaires" ne constituent pas un opt-in valide au sens du RGPD. En cas de contrôle CNIL, vous devez pouvoir présenter la preuve horodatée du consentement de chaque contact.
Les 2 exceptions à l'opt-in marketing
La réglementation (article L34-5 du Code des postes et communications électroniques, confirmé par la CNIL) prévoit deux situations où vous pouvez envoyer un SMS commercial sans opt-in marketing préalable :
- 1️⃣Client existant + produit analogue : si la personne est déjà cliente de votre enseigne et que le SMS concerne un produit ou service analogue à ce qu'elle a acheté. Exemple : un client qui a acheté un jean peut recevoir un SMS sur une nouvelle collection de vêtements, mais pas sur un produit entièrement différent (électroménager, par exemple). L'intérêt légitime doit être évident.
- 2️⃣SMS non commercial : si la prospection n'a pas de visée commerciale directe — par exemple, un SMS d'une association pour une collecte de dons, ou une notification de service public. Dans ce cas, l'opt-in marketing n'est pas requis, mais les autres règles RGPD s'appliquent.
| Type de SMS | ✅ Opt-in requis ? | Base légale |
|---|---|---|
| SMS marketing (promo, offre, événement) | Oui — obligatoire | Consentement explicite |
| Client existant, produit analogue | Non — exception légale | Intérêt légitime |
| SMS transactionnel (OTP, commande, RDV) | Non — acte contractuel | Exécution du contrat |
| SMS de prospection (nouveaux contacts) | Oui — absolument requis | Consentement explicite |
| SMS non commercial (association, service public) | Non — exception légale | Mission d'intérêt général |
Horaires légaux pour l'envoi de SMS marketing
L'article L34-5 du CPCE encadre strictement les plages d'envoi autorisées pour les SMS à visée commerciale. Ces restrictions ne s'appliquent pas aux SMS transactionnels (OTP, confirmation de commande, rappel de RDV), qui peuvent être envoyés à toute heure.
de 8h à 20h
de 10h à 19h uniquement
toute la journée
La plateforme Conexteo bloque automatiquement les envois programmés en dehors de ces plages horaires légales pour les campagnes marketing. Vous n'avez pas à gérer manuellement ces contraintes : une alerte s'affiche si vous tentez de programmer un envoi à une heure non autorisée.
La mention STOP : obligatoire dans tout SMS marketing
Tout SMS à caractère commercial doit obligatoirement comporter une mention permettant au destinataire de se désabonner. C'est une obligation légale, pas une option. Le format standard en France est "STOP au [numéro non surtaxé]", par exemple "STOP au 36184".
Les règles à respecter pour le STOP
- ✅ Numéro non surtaxé : le numéro de désabonnement ne doit entraîner aucun coût pour le destinataire au-delà du prix d'un SMS standard inclus dans son forfait.
- ✅ Traitement immédiat : une fois le STOP reçu, vous devez supprimer le contact de votre liste de diffusion dans les meilleurs délais. Aucun SMS marketing supplémentaire ne peut lui être envoyé.
- ✅ Conservation de la liste de désabonnés : vous devez conserver une liste noire des contacts STOP pour éviter de les réintégrer accidentellement lors d'une future importation de base.
- ✅ Mention dans chaque SMS : la mention STOP doit apparaître dans chaque message marketing, sans exception — même si le contact a déjà reçu des SMS de votre part par le passé.
L'absence de mention STOP est une infraction passible d'une amende pouvant atteindre 75 000 € pour une personne morale selon l'article L39-1 du CPCE. La CNIL peut également infliger une sanction administrative distincte au titre du RGPD — jusqu'à 4 % du chiffre d'affaires mondial annuel.
Sur la plateforme Conexteo, la mention STOP est automatiquement ajoutée à la fin de chaque SMS marketing, avec notre numéro dédié de désabonnement. Les contacts qui répondent STOP sont immédiatement exclus de vos prochains envois, et votre liste noire est mise à jour en temps réel.
Collecte, stockage et durée de conservation des données
Le RGPD impose le principe de minimisation des données : vous ne collectez que les données strictement nécessaires à votre objectif, et vous ne les conservez pas au-delà de ce qui est justifié. Pour les numéros de téléphone collectés à des fins de SMS marketing, voici les règles à appliquer :
En tant qu'entreprise qui envoie des SMS via Conexteo, vous êtes le responsable de traitement : vous décidez pourquoi et comment les données sont utilisées. Conexteo est votre sous-traitant : nous traitons les données uniquement selon vos instructions et dans le respect du RGPD. Un accord de traitement des données (DPA) est disponible sur demande pour formaliser cette relation.
Identification de l'expéditeur : une obligation méconnue
Le RGPD et la loi française imposent que chaque SMS marketing identifie clairement son expéditeur. Le destinataire doit savoir immédiatement qui lui écrit. En pratique, cela se traduit par l'utilisation d'un Sender ID — le nom affiché en tête de votre SMS — qui doit correspondre à votre nom de marque ou à votre raison sociale.
Attention : tous les opérateurs téléphoniques ne prennent pas en charge le Sender ID personnalisé. Dans les cas où il n'est pas pris en charge, votre identité doit être clairement répétée dans le corps du message lui-même — généralement en début de texte, comme "CONEXTEO : Votre commande est expédiée…".
Le RCS résout définitivement ce problème. Le profil de marque RCS affiche votre logo, votre nom et une coche de vérification certifiée par Google — impossible à usurper. C'est l'une des raisons pour lesquelles le RCS offre une bien meilleure protection contre le phishing que le SMS classique, et pourquoi il rassure davantage vos destinataires.
La conformité RGPD, intégrée nativement dans la plateforme
Chez Conexteo, nous avons conçu la plateforme pour que vous n'ayez pas à gérer manuellement chaque contrainte réglementaire. La conformité est intégrée par défaut dans chaque fonctionnalité.
Questions fréquentes — RGPD et SMS marketing
Oui, dans deux cas précis. Si le contact est déjà client de votre enseigne et que le SMS concerne un produit ou service analogue à ce qu'il a acheté, vous pouvez l'envoyer sans opt-in marketing préalable au titre de l'intérêt légitime. De même, les SMS transactionnels (confirmation de commande, code OTP, rappel de RDV) ne nécessitent pas d'opt-in car ils font partie de l'exécution du contrat. Dans tous les autres cas, le consentement explicite est obligatoire.
La durée de conservation doit être justifiée et proportionnée à la finalité du traitement. Pour des numéros collectés à des fins de prospection commerciale, la CNIL recommande une durée maximale de 3 ans à compter du dernier contact actif. Chez Conexteo, nous conservons vos données 24 mois par défaut, avec possibilité de suppression anticipée à tout moment depuis votre espace client.
Dès qu'un contact répond STOP, il doit être immédiatement exclu de toutes vos futures campagnes marketing. Conexteo gère cela automatiquement : le numéro est ajouté à votre liste noire et ne peut plus recevoir vos SMS marketing, même si vous importez un nouveau fichier de contacts qui l'inclut. Cette exclusion est permanente sauf si le contact se réinscrit lui-même volontairement via un nouvel opt-in.
Depuis l'entrée en vigueur du RGPD en 2018, le régime des déclarations préalables à la CNIL a été supprimé pour la grande majorité des traitements courants. Vous n'avez plus à déclarer votre fichier de contacts SMS. En revanche, vous devez tenir un registre interne des activités de traitement, qui documente l'ensemble de vos traitements de données personnelles. Ce registre doit pouvoir être présenté en cas de contrôle de la CNIL.
Oui, à condition que la base de données soit opt-in mobile explicite — c'est-à-dire que chaque contact a consenti spécifiquement à recevoir des communications commerciales par SMS de la part d'entreprises tierces. La source de collecte, la date et la formulation du consentement doivent être traçables. Conexteo travaille exclusivement avec des fournisseurs de bases de données certifiés RGPD. Méfiez-vous des bases low-cost dont la conformité n'est pas documentée.
Conexteo est votre sous-traitant au sens du RGPD. Cela signifie que nous traitons les données personnelles de vos contacts (leurs numéros de téléphone) uniquement selon vos instructions et pour votre compte. Vous restez le responsable de traitement : c'est vous qui décidez de la finalité (envoyer des SMS marketing) et des moyens (via la plateforme Conexteo). Un accord de traitement des données (DPA) formalisant cette relation est disponible sur demande.
Envoyez vos campagnes SMS en toute conformité
La plateforme Conexteo intègre nativement toutes les exigences RGPD. Vous vous concentrez sur vos campagnes, nous gérons la conformité.