Opt-in SMS : comment collecter le consentement au sens du RGPD

Une case à cocher, deux lignes de mention légale, et l’affaire paraît réglée. Beaucoup d’annonceurs en restent là, jusqu’au jour où la CNIL demande à voir la preuve.

En mai 2025, la CNIL a sanctionné Solocal Marketing Services à hauteur de 900 000 euros. Deux manquements retenus : des consentements obtenus via des formulaires trompeurs, et l’incapacité à produire les formulaires de collecte utilisés par l’un de ses fournisseurs. Le second point mérite qu’on s’y attarde. L’entreprise n’a pas seulement mal collecté, elle n’a rien pu montrer.

Collecter un opt-in SMS ne se résume donc pas à afficher une case. Il faut construire une trace encore exploitable dix-huit mois plus tard. Cet article traite les deux volets, le formulaire et la preuve. Pour le cadre d’ensemble, notre guide sur le RGPD et les SMS en France reprend l’intégralité des obligations.

Ce que le RGPD appelle un consentement, appliqué au SMS

L’article 4.11 du RGPD définit le consentement comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».

Quatre adjectifs, quatre conditions cumulatives. Si une seule manque, le consentement tombe. Voici ce que chacune impose concrètement sur un formulaire de collecte de numéros mobiles.

Côté français, l’article L34-5 du Code des postes et des communications électroniques ajoute une couche. Il interdit la prospection directe par SMS vers une personne physique « qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen ». Les amendes administratives prévues montent à 75 000 euros pour une personne physique et 375 000 euros pour une personne morale, indépendamment des sanctions RGPD.

Le régime change en B-to-B. La CNIL admet que la prospection professionnelle repose sur l’intérêt légitime, à condition que la sollicitation concerne la profession du destinataire et qu’un droit d’opposition simple et gratuit figure dans chaque message. Attention, un numéro de mobile personnel utilisé dans un cadre professionnel reste une donnée de personne physique : la frontière est plus floue qu’en emailing, et la prudence commande de traiter le mobile comme du B-to-C dès qu’un doute existe.

Un consentement valable ne dispense pas du reste, d’ailleurs. Les horaires légaux d’envoi de SMS s’appliquent même à une base parfaitement opt-in.

Un opt-in email ne vaut pas opt-in SMS

C’est l’erreur la plus fréquente, et elle découle directement du critère de spécificité. Un contact qui a accepté de recevoir votre newsletter par email n’a pas accepté de recevoir vos offres sur son mobile. Le canal fait partie de l’information sur laquelle porte le consentement.

Cela vaut aussi dans l’autre sens, et pour les finalités. Un numéro collecté pour recevoir un suivi de livraison ne peut pas servir à envoyer une promotion. La finalité annoncée au moment de la collecte enferme l’usage.

Concrètement, un formulaire qui collecte email et mobile a besoin de deux cases distinctes, avec deux libellés distincts. C’est un peu moins élégant visuellement. Cela vous évite surtout de perdre l’intégralité de votre base SMS lors d’un contrôle.

Une exception sectorielle mérite d’être connue. La Charte Business Messaging de l’AF2M, dans son édition applicable depuis le 1er mars 2026, retient qu’un même opt-in vaut pour le SMS et le RCS. Les deux canaux passent par le même identifiant, le numéro de mobile, et par les mêmes routes opérateurs. Si vous vous interrogez sur le passage d’un canal à l’autre, nous avons détaillé les différences concrètes entre RCS et SMS ailleurs sur ce blog.

Ce que votre formulaire de collecte doit contenir

Passons au concret. Voici les éléments à vérifier ligne par ligne sur un formulaire web, une landing page ou un jeu-concours.

Une case à cocher dédiée, vide par défaut. Pas de case pré-cochée, la CNIL est explicite sur ce point et la Cour de justice de l’Union européenne l’a confirmé dans l’arrêt Planet49 en octobre 2019. Le silence ne vaut jamais accord.

Un libellé qui nomme le canal et la finalité. La CNIL propose une formulation du type « J’accepte que mon numéro de téléphone soit utilisé pour recevoir des offres par SMS ». Simple, lisible, sans ambiguïté sur ce qui va arriver.

L’identité du responsable de traitement. Le contact doit savoir qui va lui écrire. Une raison sociale suffit, à condition qu’elle corresponde à l’émetteur qui apparaîtra dans le SMS.

Les catégories de destinataires si vous transmettez les données. La CNIL rappelle qu’un consentement ne se transmet pas d’un organisme à l’autre. Si vos partenaires exploitent la base, annoncez au minimum leur secteur d’activité et leur nombre approximatif au moment de la collecte.

Une mention du droit de retrait. L’article 7.3 du RGPD impose qu’il soit aussi simple de retirer son consentement que de le donner. Le STOP dans le message y répond, encore faut-il l’annoncer.

Une séparation nette avec l’acceptation des conditions générales. Accepter des CGU ne vaut pas consentement à la prospection. Deux cases, deux actions.

Le point de vigilance porte sur la hiérarchie visuelle. Dans l’affaire Solocal, la CNIL a relevé des boutons de consentement surdimensionnés par rapport aux options de refus. Un « oui » en vert plein écran face à un « non » en gris minuscule fabrique un consentement qui n’est plus libre.

La preuve du consentement : ce qu’il faut réellement conserver

L’article 7.1 du RGPD pose la règle en une phrase : le responsable du traitement doit être « en mesure de démontrer que la personne concernée a donné son consentement ». La charge de la preuve pèse sur vous, pas sur le contact qui se plaint.

La plupart des plateformes stockent une date et un statut « opt-in : oui ». C’est insuffisant. Un statut ne prouve rien, il affirme. Ce qu’il faut, c’est un enregistrement reconstituant la scène de la collecte.

Le champ le plus souvent oublié, c’est le libellé exact. Vos formulaires évoluent, les mentions changent, et deux ans plus tard personne ne sait quel texte s’affichait à la date de collecte. Archivez chaque version datée du formulaire, ou stockez le libellé en clair dans l’enregistrement de preuve. C’est du stockage bon marché comparé à une amende.

Autre réflexe utile : conservez la preuve du retrait aussi longtemps que celle du consentement. Un contact qui a fait STOP et que vous re-sollicitez par erreur après un import, c’est exactement le scénario qui déclenche une plainte.

Les consentements collectés hors ligne

En boutique, sur un salon, au téléphone, la collecte est infiniment plus fragile. Aucune trace technique, aucun horodatage automatique, et souvent un vendeur pressé qui saisit un numéro entre deux clients.

L’accord oral n’est pas interdit, mais il est très difficile à démontrer. Une note dans le CRM indiquant « accord donné en caisse le 12 mars » ne pèse pas lourd face à un contact qui affirme le contraire.

La parade tient en un mécanisme simple : transformer l’accord hors ligne en preuve électronique. Envoyez immédiatement un SMS de confirmation demandant une réponse pour valider l’inscription. La réponse du contact, elle, est horodatée, journalisée par l’opérateur, et rattachée au numéro. Vous obtenez une trace incontestable, et vous nettoyez au passage les numéros mal saisis.

Pour la collecte papier, en salon notamment, numérisez les bulletins avec le libellé visible et rattachez le fichier à la fiche contact. Une photo de coupon lisible vaut mieux qu’une ligne de commentaire.

Combien de temps un consentement reste exploitable

Le RGPD ne fixe pas de durée de validité au consentement lui-même. En revanche, la CNIL encadre la conservation des données de prospection : les données d’un prospect non client se conservent en base active trois ans à compter du dernier contact émanant du prospect, ou jusqu’au retrait du consentement.

« Dernier contact émanant du prospect » mérite qu’on s’y arrête, parce que la nuance change tout. Il s’agit d’une action du contact, un clic, une demande de devis, une réponse. Pas de votre dernier envoi. Une base à laquelle vous écrivez tous les mois sans jamais obtenir de réaction ne se régénère pas toute seule.

Le cas du client actif est différent, ses données se conservent le temps de la relation commerciale augmenté des délais légaux applicables. Et si vous changez de finalité, si vous décidez par exemple d’exploiter pour de la prospection des numéros collectés pour du service après-vente, le compteur ne se prolonge pas : il faut un nouveau consentement.

Une base héritée ou douteuse : par où commencer

Fusion, changement de prestataire, migration de CRM, fichier récupéré d’une filiale. Beaucoup d’équipes marketing héritent d’une base dont personne ne sait comment elle a été constituée. La question n’est pas théorique, elle se pose tous les jours.

Commencez par trier en trois lots. Les contacts dont la preuve est complète et vérifiable partent en exploitation normale. Ceux dont la preuve est partielle, un horodatage sans libellé par exemple, forment une zone grise à isoler. Ceux dont aucune trace n’existe se suppriment, sans état d’âme : les conserver ne vous apporte qu’un risque.

Reste le paradoxe de la zone grise. Envoyer un SMS de reconfirmation à des contacts dont le consentement est incertain, c’est déjà de la prospection. Vous ne pouvez pas vous appuyer sur une base légale douteuse pour aller chercher une base légale propre. La sortie passe par un autre canal, un email si l’opt-in email est solide, un courrier, ou une occasion de contact entrante comme un passage en boutique ou un appel au service client. À défaut, la suppression reste la seule option défendable.

Un opt-in SMS conforme, au fond, se résume à deux gestes. Demander clairement, et garder la preuve de ce qu’on a demandé. Le premier prend cinq minutes sur un formulaire. Le second se prépare en amont, dans la structure de vos données, et c’est celui qui manque presque toujours quand la CNIL pose la question.

Questions fréquentes sur l’opt-in SMS

Le consentement recueilli pour l’email couvre-t-il le SMS ?

Non. Le consentement doit être spécifique, et le canal fait partie de ce qui est annoncé au contact. Un accord donné pour une newsletter par email ne permet pas d’envoyer des SMS commerciaux. Prévoyez deux cases distinctes sur vos formulaires.

Le double opt-in est-il obligatoire pour le SMS en France ?

Aucun texte ne l’impose. Le simple opt-in suffit dès lors qu’il est libre, spécifique, éclairé et univoque, et que vous en conservez la preuve. Le double opt-in reste recommandé pour les collectes hors ligne ou par téléphone, où la preuve électronique fait défaut.

Que faire si un contact conteste avoir donné son consentement ?

Vous devez produire la preuve, c’est la charge du responsable de traitement selon l’article 7.1 du RGPD. Si votre enregistrement contient l’horodatage, le libellé affiché et l’origine de la collecte, la contestation se traite en quelques minutes. Sinon, cessez immédiatement les envois vers ce numéro.

Combien de temps peut-on conserver un numéro de mobile collecté ?

Pour un prospect non client, la CNIL retient trois ans à compter du dernier contact émanant de la personne. Pour un client, la durée suit la relation commerciale. Le retrait du consentement met fin à la conservation en base active dans tous les cas.

Les SMS transactionnels ont-ils besoin d’un opt-in ?

Non, un message strictement fonctionnel, confirmation de commande, code de validation, alerte de livraison, ne relève pas de la prospection commerciale. Le piège consiste à glisser une offre promotionnelle dans un message transactionnel : il bascule alors dans le régime de la prospection et exige un consentement.

Un consentement SMS permet-il d’envoyer du RCS ?

La Charte Business Messaging de l’AF2M, applicable depuis mars 2026, retient qu’un même opt-in vaut pour le SMS et le RCS. Les deux canaux s’adressent au même numéro de mobile et empruntent les mêmes routes opérateurs. Votre libellé de collecte gagne malgré tout à rester générique sur la nature du message.