SMS et réglementation en France : ce que dit la loi en 2026

La prospection par SMS reste un canal très réglementé en France. Trois textes en fixent le cadre, et la CNIL veille à leur application avec des sanctions parfois lourdes. Entre l’opt-in obligatoire en B-to-C, les horaires d’envoi définis par la Charte AF2M, l’obligation de mention STOP, la conservation limitée des données et l’identification de l’émetteur, le respect de la loi engage à la fois la responsabilité de l’annonceur et celle du routeur. Ce guide passe en revue chaque règle, avec les textes officiels, les durées à connaître et les sanctions récentes les plus parlantes. Il s’adresse aux équipes marketing, juridiques et opérationnelles qui veulent envoyer du SMS sans risque réglementaire.

Trois textes structurent le SMS marketing en France

Le SMS marketing relève de plusieurs corpus juridiques qui se complètent. À la base, la directive européenne ePrivacy de 2002 pose le principe du consentement préalable pour toute prospection électronique non sollicitée. Cette directive est transposée en droit français par l’article L.34-5 du Code des postes et des communications électroniques.

Le RGPD, entré en application en mai 2018, vient s’ajouter à ce socle. Son article 6 fixe les bases légales du traitement de données, dont le consentement et l’intérêt légitime. Son article 21 garantit le droit d’opposition, qui se traduit concrètement dans la mention STOP que vous croisez à la fin de chaque SMS commercial.

À côté de ces textes, la Charte Business Messaging de l’AF2M (Association Française du Multimédia Mobile) joue un rôle particulier. Ce n’est pas une loi, mais elle engage les opérateurs mobiles français et tous les routeurs SMS qui passent par eux. Sa version en vigueur depuis le 1er mars 2026 précise les horaires, les catégories d’envoi, les règles d’émetteur et le dispositif 33700 de signalement.

La CNIL est l’organe de contrôle. Elle publie ses délibérations, sanctionne les manquements et alimente une jurisprudence riche sur la prospection commerciale. La DGCCRF intervient sur les pratiques commerciales déloyales. Les opérateurs mobiles, eux, filtrent en bout de chaîne et peuvent bloquer un émetteur qui ne respecte pas la Charte AF2M.

Pour qui envoie du SMS, ces couches s’empilent dans un ordre logique. La loi définit le minimum, la Charte AF2M ajoute les règles techniques de filière, et chaque routeur applique ses propres garde-fous. Ne pas connaître ces trois étages expose à des risques réglementaires, financiers et opérationnels.

Opt-in : ce que change le statut B-to-C ou B-to-B du destinataire

La règle centrale, en France, c’est le consentement préalable du destinataire. L’article L.34-5 du CPCE l’écrit noir sur blanc : envoyer un SMS commercial à un particulier sans son accord est interdit. Ce consentement doit être libre, spécifique, éclairé et univoque. Il doit aussi pouvoir être prouvé.

En pratique, à chaque collecte de numéro mobile, vous devez demander explicitement à la personne si elle accepte de recevoir des SMS commerciaux, en le distinguant clairement de l’inscription au service ou à la newsletter. Une case précochée n’est plus valable depuis longtemps. Une mention noyée dans des CGU non plus.

Une exception existe : la « soft opt-in » pour les clients existants. Si le destinataire a déjà acheté un produit ou un service chez vous, vous pouvez lui envoyer des SMS pour des produits ou services analogues, à condition qu’il ait été informé au moment de la collecte et qu’il puisse s’y opposer simplement à tout moment. La CNIL admet cette exception dans sa fiche pratique sur la prospection par SMS.

En B-to-B, les règles changent. La CNIL admet que la prospection par SMS vers une adresse professionnelle, sur le numéro mobile professionnel d’une personne identifiée par sa fonction, puisse reposer sur l’intérêt légitime de l’expéditeur, à trois conditions :

• l’objet du message est en rapport avec la fonction professionnelle du destinataire
• le destinataire a été informé de la collecte de ses données
• il peut s’opposer simplement à recevoir ces messages

Ce régime ne dispense pas du droit d’opposition, ni de l’identification claire de l’expéditeur. Et il ne s’applique pas aux numéros mobiles personnels, même si vous les avez obtenus via LinkedIn ou un fichier acheté.

Le cas du fichier acheté à un courtier est particulièrement risqué. Si le formulaire de collecte d’origine ne mentionnait pas explicitement votre marque comme destinataire des données, le consentement ne vous appartient pas. Les délibérations CNIL sur Hubside.store et Foriou en 2024 portent précisément sur ce point : achat de fichiers, formulaires trompeurs, sanction six chiffres au bout du fil.

À noter : la loi du 11 août 2026 (loi n° 2025-594) renforce encore l’opt-in pour le démarchage téléphonique et supprime le dispositif Bloctel. Bloctel ne s’appliquait pas au SMS, mais la philosophie générale tend vers un opt-in renforcé sur tous les canaux directs, et les contrôles vont s’intensifier sur l’ensemble de la prospection.

Les horaires d’envoi sont fixés par la Charte AF2M

Aucun texte de loi ne fixe d’horaires d’envoi explicites pour le SMS commercial. Ce sont la Charte AF2M et la pratique des opérateurs qui posent les bornes. La version 2026 de la Charte, en vigueur depuis le 1er mars, reprend le créneau qui s’est imposé dans la profession.

Concrètement, un SMS promotionnel envoyé à 22h sera filtré par certains opérateurs et générera des signalements 33700. Un SMS envoyé à 7h30 le matin idem. Le créneau utile commence en pratique vers 9h et s’arrête vers 20h pour la majorité des marques, qui se calent sur les heures de vie du destinataire.

Le SMS transactionnel échappe à ces contraintes parce qu’il répond à une action de l’utilisateur ou à un service rendu. Une confirmation de commande à 23h ne pose pas de problème. Un OTP à 6h non plus, si vous tentez de vous connecter à un service à cette heure-là. La distinction entre marketing et transactionnel se joue sur l’intention. Le transactionnel sert le service, le marketing sert l’annonceur.

Pour les rappels de rendez-vous (santé, beauté, automobile), la zone est grise. La CNIL considère qu’un rappel de rendez-vous initié par le client est transactionnel. S’il s’accompagne d’une offre commerciale, il bascule en marketing et redevient soumis aux horaires.

Mention STOP : la désinscription doit être immédiate, gratuite, accessible

Tout SMS commercial doit comporter une mention de désinscription. C’est l’application directe de l’article 21 du RGPD (droit d’opposition) et de l’article L.34-5 du CPCE (moyen simple et gratuit de s’opposer). En SMS, cette mention prend la forme du désormais classique « STOP au [numéro] » ou « STOP envoi » intégré dans le message.

Trois conditions encadrent cette mention :

1. Visibilité. La mention doit être lisible, pas masquée derrière un acronyme ou une phrase ambigüe. Elle compte dans les 160 caractères, ce qui en fait un poste de coût qu’il faut anticiper dès la rédaction.
2. Gratuité. Le STOP ne peut pas coûter au destinataire au-delà du tarif d’un SMS standard. Pas de numéro surtaxé, pas de procédure complexe.
3. Effet immédiat. Une fois le STOP reçu, le numéro doit être inscrit en liste d’opposition et ne plus recevoir aucun SMS commercial de l’expéditeur. Pas de délai de traitement, pas de relance « êtes-vous sûr », pas de message de confirmation tarifé.

La liste d’opposition se gère côté plateforme d’envoi. La plupart des routeurs sérieux automatisent ce traitement, mais c’est l’annonceur qui reste responsable du respect du STOP. Si vous changez de routeur, vous devez transférer la liste d’opposition. Si vous segmentez par campagne, vous devez vérifier qu’aucun numéro inscrit STOP ne ressort dans une autre liste.

Le 33700 complète ce dispositif. Un destinataire qui reçoit un SMS sans mention STOP, ou dont le STOP n’a pas été pris en compte, peut signaler le SMS au 33700 (gratuit, géré par l’AF2M en lien avec les opérateurs). Les signalements remontent aux opérateurs qui peuvent bloquer l’émetteur. On comptait 3,4 millions de signalements en 2023 selon les données AF2M.

L’émetteur d’un SMS doit être identifiable, pas de nom usurpé

Le destinataire doit pouvoir identifier qui lui parle. La règle est posée par le RGPD (information de la personne concernée) et précisée par la Charte AF2M dans son volet émetteur. Deux formats coexistent en France :

L’émetteur alphanumérique reste le format dominant en B-to-C parce qu’il porte directement la marque dans la liste de messages du destinataire. La Charte AF2M impose qu’il corresponde au nom commercial de l’annonceur ou à une marque dont il a la titularité. Pas d’usurpation de marque tierce, pas de nom générique trompeur du type « INFO » ou « URGENT ».

Pour les SMS commerciaux, l’émetteur ne peut pas être un numéro mobile personnel et ne doit pas non plus servir de réponse possible. Un destinataire qui répond à un émetteur alphanumérique ne peut pas joindre la marque. C’est précisément pour cette raison que la mention STOP redirige vers un numéro court dédié.

Pour les SMS transactionnels, les règles sont plus souples. Un OTP peut transiter via un émetteur générique, à condition que le contenu du message identifie sans ambiguïté le service. Une notification de livraison peut afficher le nom du transporteur, et ainsi de suite.

Les opérateurs filtrent en bout de chaîne. Un émetteur alphanumérique non déclaré ou un nom suspect peut être réécrit en numéro long, voire bloqué. Un routeur sérieux gère cette déclaration avec les opérateurs en amont, et c’est l’un des points qui distinguent une plateforme française avec routes premium d’une route low-cost étrangère.

Conservation des données : les durées que la CNIL recommande

Le RGPD impose de ne conserver les données personnelles que le temps nécessaire à la finalité du traitement. La CNIL traduit ce principe dans son référentiel « gestion des activités commerciales », qui pose des durées de référence pour les bases marketing.

Le « dernier contact actif » est une notion clé. Un prospect qui n’a pas ouvert votre dernier SMS, n’a pas cliqué, n’a pas répondu, est considéré comme inactif. Au bout de 3 ans, vous devez soit le recontacter pour confirmer son intérêt avec une demande de réengagement, soit supprimer ses données.

La preuve du consentement est le point le plus souvent négligé. En cas de contrôle CNIL, vous devez pouvoir démontrer que telle personne, à telle date, a accepté de recevoir vos SMS via tel canal. Cela implique de conserver l’horodatage, le canal de collecte (formulaire web, point de vente, application), et la version exacte du formulaire utilisée à ce moment-là, parce qu’un texte de mention peut évoluer dans le temps.

La liste d’opposition, elle, doit survivre à tout. Même si vous changez de plateforme d’envoi, même si vous arrêtez une campagne, même si vous fusionnez avec une autre entité, les numéros qui ont fait STOP doivent rester en opposition. C’est la règle, sans exception possible.

Sanctions CNIL : montants, motifs, exemples récents

Le RGPD prévoit, à son article 83, des sanctions pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel, le montant le plus élevé étant retenu. En pratique, les sanctions sur la prospection SMS oscillent entre 100 000 et 2 millions d’euros, selon le volume de personnes affectées, la récidive et la coopération avec l’autorité.

Quelques cas récents donnent la mesure :

• Solocal Marketing Services, mai 2025 : 900 000 €. Courtier en données, prospection SMS et email sans consentement valide, des millions de personnes affectées. Source : délibération CNIL publiée sur cnil.fr.
• Hubside.store, avril 2024 : 525 000 €. Prospection téléphonique et SMS sur des fichiers achetés, formulaires trompeurs, chaîne de consentement défaillante. Délibération SAN-2024-004.
• Foriou, janvier 2024 : 310 000 € (environ 1 % du chiffre d’affaires de la société). Même schéma : achat de fichiers, formulaires ne mentionnant pas Foriou parmi les destinataires possibles. Délibération SAN-2024-003.
• EDF, novembre 2022 : 600 000 €. Manquements sur la prospection commerciale et le droit d’opposition, SMS et emails non stoppés malgré les demandes des destinataires.
• Carrefour France, 2020 : 2,25 millions d’euros, plus 800 000 € pour Carrefour Banque. Plusieurs manquements RGPD dont la non-prise en compte des oppositions à la prospection SMS et email.

Le bilan CNIL 2024 affiche 87 sanctions prononcées pour un total cumulé de 55,2 millions d’euros, dont 69 en procédure simplifiée, contre 24 en 2023. Le motif « prospection commerciale » figure dans le top 3 des manquements sanctionnés, aux côtés de la non-coopération et des atteintes aux droits des personnes.

Le pattern est clair. Les sanctions ne tombent pas sur des usages marginaux, elles tombent sur des chaînes de consentement floues : fichiers achetés, formulaires trompeurs, STOP non honorés. Sur ces trois points, vous savez exactement où concentrer vos contrôles internes.

Pour aller plus loin sur les bonnes pratiques opérationnelles, le guide du SMS marketing couvre la stratégie, la rédaction et la mesure de campagnes conformes.

La Charte AF2M Business Messaging : ce qu’elle ajoute à la loi

L’AF2M, l’Association Française du Multimédia Mobile, regroupe les opérateurs mobiles français et les acteurs du marché du SMS Business. Sa Charte Business Messaging fixe les règles techniques et déontologiques que tous les routeurs SMS qui passent par les opérateurs doivent appliquer. La version en vigueur depuis le 1er mars 2026 introduit plusieurs renforcements :

• Catégorisation des envois. Promotionnel, transactionnel, fonctionnel, alerte. Chaque catégorie a ses règles propres en matière d’horaire, d’émetteur et d’opt-in.
• Émetteur alphanumérique encadré. Déclaration obligatoire auprès des opérateurs, vérification du droit d’usage de la marque, lutte contre l’usurpation.
• Horaires précisés. 8h-21h30 pour le promotionnel, sept jours sur sept avec tolérance dimanche.
• Mention STOP renforcée. Mot-clé exact, prise en compte immédiate, traçabilité.
• Service 33700 intégré. Tous les opérateurs membres l’alimentent et y répondent.

Cette Charte n’a pas force de loi. Elle a en revanche une force opérationnelle redoutable. Un annonceur ou un routeur qui ne la respecte pas voit ses émetteurs bloqués, ses messages filtrés, ses comptes coupés. Les opérateurs n’ouvrent pas le robinet pour un acteur qui ne signe pas la Charte.

D’où une réalité pratique. Tout routeur SMS qui prétend faire du B-to-C en France passe nécessairement par cette Charte, même si l’annonceur final ne l’a jamais lue. C’est l’une des raisons pour lesquelles les routes premium françaises sont plus chères que les routes low-cost étrangères. Elles intègrent ce coût de conformité, et elles évitent à l’annonceur l’angle mort réglementaire qu’une route grise peut créer.

Questions fréquentes sur la réglementation du SMS en France

Est-il légal d’envoyer des SMS publicitaires sans consentement ?

Non, pas en B-to-C. L’article L.34-5 du Code des postes et des communications électroniques impose le consentement préalable, libre, spécifique et éclairé du destinataire. Une exception existe pour vos clients existants, sur des produits ou services analogues. En B-to-B vers une adresse professionnelle, le consentement n’est pas requis si l’envoi est en rapport avec la fonction du destinataire et qu’il peut s’opposer simplement.

Quels sont les horaires légaux pour envoyer des SMS marketing ?

Aucun horaire n’est fixé par la loi, mais la Charte AF2M et la pratique opérateur cadrent les envois entre 8h00 et 21h30, sept jours sur sept. Les dimanches et jours fériés sont tolérés sans être recommandés. Les SMS transactionnels (OTP, livraison, alerte) ne sont pas soumis à ces horaires.

Bloctel s’applique-t-il aux SMS marketing ?

Non. Bloctel concerne le démarchage téléphonique vocal, pas le SMS. La protection contre les SMS non sollicités passe par la mention STOP obligatoire et le service de signalement 33700. La loi du 11 août 2026 supprime Bloctel et impose un opt-in renforcé pour le démarchage téléphonique, sans modifier le régime du SMS.

Peut-on envoyer des SMS marketing en B-to-B sans consentement préalable ?

Oui, sous conditions. La CNIL admet l’intérêt légitime comme base légale lorsque le SMS est envoyé sur un numéro mobile professionnel d’une personne identifiable par sa fonction, en lien avec son activité, et avec la possibilité de s’opposer simplement. Cela ne s’applique pas aux numéros personnels, même obtenus via LinkedIn ou un courtier en données.

Le SMS transactionnel est-il soumis aux mêmes règles que le SMS marketing ?

Non, ses contraintes sont allégées. Pas d’opt-in marketing requis, pas de restriction d’horaire, pas de mention STOP obligatoire. En revanche, les règles RGPD générales restent applicables : information du destinataire, base légale (exécution du contrat ou intérêt légitime), conservation limitée. Attention au glissement, un SMS transactionnel qui contient une offre commerciale bascule en marketing et perd ses exemptions.

Quelles sanctions risque-t-on en cas de non-conformité ?

Le RGPD prévoit jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial. Les sanctions effectives sur la prospection SMS oscillent entre 100 000 et 2 millions d’euros. Les motifs récurrents sont l’achat de fichiers sans consentement valable, les formulaires de collecte trompeurs et la mention STOP non honorée.

Comment prouver le consentement en cas de contrôle CNIL ?

Conservez pour chaque destinataire la date du consentement, le canal utilisé (formulaire web, point de vente, application), le contenu exact de la mention présentée à ce moment-là, et un horodatage technique vérifiable. Sans cette traçabilité, le consentement est juridiquement fragile, même s’il a effectivement été donné.