RGPD et SMS Marketing — Guide de conformité
Le Règlement Général sur la Protection des Données (RGPD, Article 6) impose des règles strictes pour les communications marketing par SMS. Le non-respect peut entraîner des amendes jusqu'à 4% du chiffre d'affaires annuel mondial.
Base légale du traitement
Le RGPD définit 6 bases légales. Pour les SMS marketing, la base principale est le consentement explicite. Pour les SMS transactionnels (OTP, confirmation de commande), la base peut être l'exécution d'un contrat.
Conditions du consentement valide (Article 4.11)
Le consentement doit être libre, spécifique, éclairé et univoque :
- Libre : L'accès au service ne peut pas être conditionné à l'acceptation des SMS marketing
- Spécifique : Un consentement distinct pour chaque type de communication (marketing, transactionnel, promotionnel)
- Éclairé : L'utilisateur doit comprendre exactement ce à quoi il consent — langage clair, sans jargon
- Univoque : Case décochée par défaut — le silence ou l'inaction ne constituent PAS un consentement
Gestion des opt-outs
- Inclure dans chaque SMS marketing :
"Répondez STOP pour vous désabonner"
- Traiter les demandes de désinscription dans les 24 heures maximum
- Conserver la liste de désabonnement pendant 3 ans minimum
- Le retrait du consentement doit être aussi simple que de le donner (RFC RGPD)
Pied de page SMS recommandé
[NomEntreprise] | SIRET : XXXXXXXXX
Répondez STOP pour vous désabonner
Politique de confidentialité : https://votresite.com/privacy
Durées de conservation
| Type de donnée | Durée minimale |
|---|
| Preuves de consentement | 3 ans (recommandé : 5-7 ans) |
| Logs de livraison | 6 à 12 mois |
| Liste de désabonnement | 3 ans après opt-out |
| Données client | Durée nécessaire à la finalité déclarée |
Checklist conformité SMS
- ☐ Consentement double opt-in pour les segments marketing
- ☐ Case décochée par défaut dans tous les formulaires
- ☐ Audit trail : timestamp, IP, texte exact du consentement
- ☐ Pas de SMS entre 21h00 et 8h00 (heure locale destinataire)
- ☐ Renouvellement du consentement toutes les 24 mois
- ☐ Données 100% first-party — pas d'achat de listes
- ☐ DPA (Data Processing Agreement) signé avec WebTic comme sous-traitant
Référence : Google a été condamné à une amende de 50 M€ par la CNIL française pour non-respect des exigences de consentement éclairé.
