SMS et RGPD en France : règles CNIL en 2026

TL;DR : En France, la prospection SMS B2C exige en principe un consentement préalable, libre, spécifique, éclairé et univoque. En B2B, l'intérêt légitime peut être utilisé lorsque la sollicitation est en rapport avec la profession de la personne, sous réserve d'une information et d'une opposition simples. Chaque sollicitation doit identifier l'émetteur et permettre un refus facile. Les plages horaires d'envoi souvent citées viennent des opérateurs mobiles (selon Klaviyo), et les pages CNIL lues sur le SMS n'en mentionnent aucune. Ce guide couvre les règles relues en novembre 2026 et la documentation du consentement.

Source de référence : CNIL, prospection commerciale par courrier électronique et SMS, mise à jour du 10 juin 2026.

1. Cadre juridique : les textes qui s'appliquent

Le SMS marketing en France est encadré par une combinaison de textes :

L'article L34-5 du CPCE est le texte que la CNIL cite pour la prospection par voie électronique (courriel, SMS, MMS) : le consentement préalable est le principe pour les particuliers. La CNIL ajoute que chaque sollicitation doit permettre de connaître l'identité de l'organisation qui l'émet et d'exprimer un refus par un moyen simple.

À notre avis, le régime de la prospection téléphonique est régulièrement invoqué à tort pour le SMS. Selon la CNIL, il a changé le 11 août 2026 : l'article L. 223-1 du code de la consommation, issu de la loi du 30 juin 2025, impose désormais le consentement préalable des consommateurs pour la prospection par téléphone (hors automate d'appel), sauf exceptions (notamment un appel portant sur un contrat en cours). La CNIL traite le SMS-MMS sur une autre page, et précise que des règles spécifiques s'appliquent aux communications par téléphone. Nous y revenons en section 5.

2. Opt-in vs opt-out : quelle règle s'applique en France

2.1 Principe général : opt-in obligatoire en B2C

Pour un destinataire "personne physique" (particulier), le principe est l'opt-in. L'envoi de SMS marketing sans consentement préalable est en principe interdit, sauf exceptions décrites ci-dessous.

Ce consentement doit être :

• Obtenu avant le premier SMS
• Distinct du consentement email (règle de Klaviyo : consentement SMS recueilli séparément des autres canaux ; la CNIL exige un consentement spécifique)
• Documenté et prouvable (date, heure, source, formulaire utilisé)
• Librement révocable à tout moment (via STOP ou autre mécanisme simple)

2.2 Exemption pour clients existants (opt-out possible)

La CNIL décrit une exception : si la personne est déjà cliente, vous pouvez lui envoyer des SMS marketing concernant des produits ou services similaires à ceux déjà achetés, fournis par la même entreprise, à condition :

• De l'avoir informée de cette utilisation au moment de la collecte de son numéro
• De lui avoir donné la possibilité de s'y opposer facilement dès la collecte
• De lui laisser cette possibilité à chaque envoi

À notre avis, cette exemption "client" est souvent mal appliquée. Elle ne couvre pas :

• L'envoi de SMS sur des produits sans rapport avec l'achat initial, ou proposés par des partenaires
• L'envoi à des prospects qui n'ont jamais acheté

À notre avis, le piège le plus courant en e-commerce : la CNIL précise que la simple création d'un compte ne signifie pas qu'il y aura une commande. Un compte ouvert sans achat sur un site de commerce en ligne ne fait donc pas de la personne un client au sens de cette exemption. La CNIL relève toutefois, sur sa page consacrée aux communications électroniques, qu'un compte gratuit sur un site de presse en ligne peut, dans certains cas, être assimilé à une relation commerciale (exemple appuyé sur un arrêt de la CJUE du 13 novembre 2025).

2.3 B2B : l'exemption professionnelle

En B2B, le régime est différent : la CNIL admet que la prospection à l'égard de professionnels soit fondée sur l'intérêt légitime de l'organisme lorsque l'objet de la sollicitation est en rapport avec la profession de la personne démarchée. À notre avis, un salarié ou un dirigeant reste une personne physique, même joint sur sa ligne professionnelle.

En revanche, les adresses génériques rattachées à la personne morale (type contact@societe.fr) ne sont pas soumises à ces principes selon la CNIL.

Notre grille de contrôle avant un envoi B2B sans opt-in préalable. Les points 1, 2 et 5, ainsi que l'information de la personne lorsque le numéro vient d'un tiers (point 4), sont directement posés par la CNIL ; le point 3 et le reste du point 4 en découlent sur le plan opérationnel :

1. Le destinataire est une personne agissant dans le cadre de sa profession (pas un particulier)
2. L'objet de la sollicitation est en rapport avec sa profession
3. Le numéro utilisé est un numéro professionnel, pas une ligne personnelle
4. Le numéro a été collecté de façon licite et, s'il vient d'un tiers, la personne a été informée de cette utilisation
5. La personne peut s'opposer facilement, à la collecte et à chaque envoi

Ce que l'exemption B2B ne couvre pas, à notre avis :

• Envoyer un SMS à un numéro portable personnel d'un dirigeant (même s'il est aussi le gérant)
• Envoyer sur un sujet sans rapport avec l'activité professionnelle
• Continuer à envoyer après un refus explicite

Le numéro de mobile d'un professionnel identifié reste une donnée personnelle : le RGPD s'applique donc toujours, seule la base légale change, "intérêt légitime" (art. 6.1.f) plutôt que "consentement" (art. 6.1.a). Lorsque les données sont déjà en votre possession ou acquises auprès de tiers, la CNIL demande de vérifier que la personne a été informée de cette utilisation et qu'elle est en mesure de s'y opposer. La CNIL recommande de recueillir ce droit d'opposition par une case à cocher.

3. Mentions obligatoires dans les SMS marketing français

3.1 Ce que la CNIL impose dans chaque SMS

Chaque SMS marketing envoyé en France doit contenir :

À notre avis, les pages CNIL lues ne listent pas d'autres mentions obligatoires dans le corps du SMS (CGV, adresse du siège, numéro SIRET). Faites valider les mentions propres à votre activité par votre conseil.

3.2 STOP ou lien de désinscription : ce que votre type d'expéditeur autorise

La CNIL n'impose pas une formulation précise : elle exige que la personne puisse exprimer son refus "par un moyen simple" et sans frais. Un parcours complexe comme seul moyen de désinscription ne remplit pas cette condition.

Le point technique à ne pas oublier : en France, l'expéditeur proposé par défaut dans Klaviyo est un identifiant de marque alphanumérique (branded sender ID), et un identifiant de ce type ne peut pas recevoir de message. Les mots-clés de réponse comme STOP n'y fonctionnent donc pas. Écrire "Répondez STOP" sur un envoi que vous ne pouvez pas recevoir crée un moyen de refus fictif.

Deux conséquences pratiques :

• Si votre expéditeur peut recevoir des réponses, le mot-clé STOP est, à notre avis, le mécanisme le plus lisible pour le destinataire.
• Si votre expéditeur est un identifiant de marque, utilisez un lien de désinscription fonctionnel et ne promettez pas un STOP par réponse.

3.3 Identification de l'émetteur

La CNIL exige que chaque sollicitation permette de connaître l'identité de l'organisation qui l'émet. Klaviyo propose trois façons de l'indiquer : un préfixe organisationnel en début de message, une mention de la marque dans le corps du texte, ou un identifiant d'expéditeur de marque dans un pays pris en charge (dont la France). À notre avis, nommer la marque dans le corps du message évite de dépendre de l'affichage de l'identifiant d'expéditeur.

Bonne pratique : commencer le SMS par le nom de la marque, via un préfixe organisationnel.

Exemple : "Marque X : votre code promo -15 % expire ce soir. [lien] STOP pour se désabonner."

4. Recueil et documentation du consentement

4.1 Ce que vous devez être capable de démontrer

L'article 7 du RGPD met la charge de la preuve du consentement sur le responsable de traitement. La CNIL applique cette exigence en pratique : dans sa décision du 15 mai 2025 contre SOLOCAL MARKETING SERVICES, elle retient à la fois un manquement à l'article L34-5 du CPCE et un manquement à l'article 7 du RGPD, le premier pour un consentement non libre et univoque, le second pour une preuve du consentement non apportée.

Notre grille opérationnelle, à défaut de liste officielle publiée par la CNIL :

1. La source : quel formulaire, quelle page, quel événement a généré le consentement
2. La date et l'heure : horodatage précis de l'opt-in
3. La formulation présentée : version du formulaire et de la mention affichée au moment de la collecte
4. L'identité : numéro de téléphone associé à ce consentement

Klaviyo demande de conserver une trace de la date et du mode de consentement de chaque personne. À notre avis, la version de la mention affichée est le point le plus souvent négligé : sans elle, vous savez qu'une personne a coché une case, pas ce qu'elle a lu. Archivez donc vos versions de mention à côté de l'outil.

4.2 Durée de conservation du consentement

Le consentement SMS marketing ne dure pas indéfiniment. Le référentiel CNIL relatif à la gestion des activités commerciales, qui est un cadre de conformité et non un texte contraignant, retient pour la prospection électronique une conservation "jusqu'au retrait du consentement ou 3 ans à compter du dernier contact des personnes avec l'organisme".

Deux précisions du référentiel qui changent le calcul :

• Le point de départ est un contact émanant de la personne (une demande de documentation, un clic sur un lien dans un message). La simple ouverture d'un courriel ne devrait pas être comptée comme un contact.
• Au terme des trois ans, vous pouvez reprendre contact pour demander si la personne souhaite continuer à recevoir des sollicitations. En l'absence de réponse positive et explicite, il convient de supprimer les données ou de les archiver.

Pour la segmentation des contacts inactifs et la gestion de l'hygiène de liste, voir notre guide segmentation Klaviyo.

4.3 Durée de conservation des données personnelles

Le référentiel ne fixe pas de durée chiffrée pour les logs techniques d'envoi : il demande de prévoir un système de journalisation et de protéger les informations journalisées, la durée relevant de votre analyse de risque et du délai de prescription.

4.4 Opt-in double : faut-il le mettre en place ?

Les pages CNIL lues sur la prospection électronique n'imposent pas de confirmation par message : à notre avis, le double opt-in SMS (confirmation par SMS après inscription) n'est donc pas obligatoire en France. Il peut servir à démontrer que le consentement a été correctement obtenu.

Ce qu'il apporte :

• Une preuve renforcée du consentement (le destinataire a confirmé activement)
• Un numéro de téléphone valide et actif (filtre les erreurs de saisie)

Son inconvénient est mécanique : toute personne qui ne confirme pas sort de la liste. Mesurez ce taux sur vos propres formulaires avant d'arbitrer, plutôt que sur un benchmark générique.

Attention en France : une confirmation qui suppose une réponse du destinataire ne fonctionne pas avec un identifiant de marque, qui ne reçoit pas de message. Le double opt-in doit alors passer par un autre mécanisme, par exemple le code à usage unique saisi dans le formulaire d'inscription (Smart Opt-in chez Klaviyo, avec un plan SMS payant).

Pour la mise en place technique du double opt-in dans Klaviyo, voir SMS Klaviyo marketing France.

5. Règles d'envoi : horaires et fréquences

5.1 Horaires d'envoi : une contrainte opérateur selon Klaviyo

Les pages CNIL lues sur la prospection par SMS et MMS ne mentionnent aucune plage horaire ni aucun jour interdit.

Les horaires souvent cités viennent, à notre avis, de deux sources distinctes, qu'il ne faut pas mélanger :

1. Les quiet hours des opérateurs mobiles français. Klaviyo documente pour la France les fenêtres suivantes, appliquées par les opérateurs eux-mêmes :

Klaviyo précise que cette contrainte est appliquée par les opérateurs. D'après Klaviyo, vous pouvez être légalement autorisé à envoyer un dimanche sans que vos messages soient distribués, et les opérateurs peuvent filtrer vos autres messages si vous continuez à envoyer hors fenêtre.

2. Le régime de la prospection téléphonique. Selon la CNIL, lorsque le consentement des consommateurs a été recueilli, la prospection commerciale par téléphone (hors automate d'appel) est autorisée du lundi au vendredi, de 10h à 13h et de 14h à 20h, et interdite en dehors de ces créneaux sauf consentement du consommateur. Cette page vise la prospection par téléphone (hors automate d'appel) ; la CNIL traite le SMS-MMS sur une page distincte, qui ne mentionne pas ces créneaux. À notre avis, le citer pour justifier une règle SMS est une erreur, mais faites confirmer ce point par votre conseil.

5.2 Fréquence

Les pages CNIL lues sur la prospection par SMS et MMS ne fixent pas de limite de fréquence.

Ce qui vous encadre en pratique, c'est le comportement des destinataires et le filtrage opérateur. Suivez donc votre propre taux de désinscription par campagne et par segment plutôt qu'un seuil générique : c'est sa progression, comparée à votre historique, qui signale une fréquence devenue excessive.

6. Sanctions CNIL récentes liées aux SMS

6.1 Ce que dit le bilan CNIL 2025

Plutôt qu'un florilège d'amendes anonymisées invérifiables, deux chiffres et une décision publiée.

Le bilan des sanctions publié par la CNIL pour 2025 :

Nous retenons la décision du 15 mai 2025 : 900 000 € d'amende contre SOLOCAL MARKETING SERVICES, pour avoir démarché des prospects par SMS et courrier électronique sans consentement valable et transmis leurs données à des partenaires sans base légale. La CNIL y retient un manquement à l'article L34-5 du CPCE et un manquement à l'article 7 du RGPD, le second pour une preuve du consentement non apportée. Les formulaires des courtiers en données présentaient un bouton d'acceptation nettement plus visible que l'option de refus. La sanction s'accompagne d'une injonction de cesser la prospection sans consentement valable, sous astreinte de 10 000 € par jour de retard passé un délai de neuf mois. Par délibération du 17 septembre 2026, la CNIL a clôturé cette injonction (page du 24 septembre 2026).

Deux enseignements pour un e-commerçant : la responsabilité remonte à celui qui envoie, et un design de formulaire déséquilibré suffit à invalider le consentement.

6.2 Les erreurs à éviter, d'après la CNIL

D'après les pages CNIL sur la prospection commerciale, le référentiel de gestion des activités commerciales et la décision SOLOCAL MARKETING SERVICES :

1. Absence d'opt-in préalable : envoi SMS à des listes achetées ou collectées sans case à cocher explicite
2. Case pré-cochée : la CNIL indique que l'utilisation d'une case pré-cochée est interdite pour recueillir le consentement
3. Absence de moyen de refus : la CNIL indique que chaque sollicitation doit permettre d'exprimer un refus par un moyen simple
4. Design déséquilibré : bouton d'acceptation nettement plus visible que l'option de refus, retenu contre SOLOCAL MARKETING SERVICES
5. Conservation excessive : garder des numéros sans contact depuis plus de 3 ans, au-delà de ce que retient le référentiel

6.3 Risques en dehors des amendes CNIL

Les sanctions CNIL ne sont pas le seul risque :

• Filtrage opérateur : Klaviyo indique que les opérateurs français peuvent filtrer vos autres messages si vous continuez à envoyer en dehors des fenêtres autorisées
• Rejet par la plateforme d'envoi : Klaviyo considère que les listes achetées, issues d'affiliation ou de génération de leads ne constituent pas un consentement SMS valable
• Injonction sous astreinte : au-delà de l'amende, la CNIL peut ordonner l'arrêt de la prospection sous astreinte journalière, comme dans la décision SOLOCAL MARKETING SERVICES
• Réputation marque : à notre avis, un SMS reçu sans consentement génère une image négative durable

7. Checklist compliance SMS France 2026

Avant de lancer une campagne SMS :

Pour la partie deliverability et configuration technique du canal email en complément, voir deliverability email guide anti spam et SPF DKIM DMARC configuration DNS. Côté email, la CNIL a également précisé le régime applicable aux traceurs dans les courriels, qui obéit à une logique de consentement distincte de celle de l'envoi.

Pour intégrer ces pratiques dans une stratégie CRM globale voir lifecycle marketing 35 pourcent CA.

FAQ

Un consentement email vaut-il aussi pour le SMS ?
En principe non. Le consentement doit être spécifique : une case à cocher qui ne mentionne que l'email ne couvre pas les SMS. Klaviyo impose d'ailleurs la même règle côté outil, l'opt-in SMS devant être distinct de l'opt-in email, sans case commune.

Peut-on envoyer des SMS marketing à une liste achetée ?
À notre avis, en principe non : une liste achetée ne permet généralement pas de démontrer un consentement libre, spécifique, éclairé et univoque au profit de votre marque, et la CNIL rappelle que l'entreprise qui utilise des données achetées doit s'assurer elle-même que les personnes ont exprimé un consentement valide. C'est le type de pratique que la CNIL a sanctionné en mai 2025 dans la décision SOLOCAL MARKETING SERVICES (données achetées auprès de courtiers de données). Klaviyo refuse également les listes achetées, d'affiliation ou de génération de leads comme consentement SMS valable.

Le consentement oral (téléphone) est-il valable pour les SMS ?
Le consentement doit résulter d'une action positive et spécifique, et vous devez pouvoir le démontrer à tout moment. Un recueil oral est très difficile à documenter à ce niveau de preuve, faute de trace de la formulation présentée. A éviter en pratique.

Un client qui n'a pas répondu STOP depuis 5 ans : peut-on continuer à lui envoyer des SMS ?
Pour la prospection électronique fondée sur le consentement, le référentiel CNIL retient trois ans à compter du dernier contact émanant de la personne (pour un client, la durée de la relation commerciale puis trois ans). Au-delà, vous pouvez la recontacter pour lui demander si elle souhaite continuer à recevoir vos sollicitations ; sans réponse positive et explicite, il faut supprimer ou archiver les données.

Comment gérer un contact qui répond STOP puis demande à se réinscrire ?
Il peut se réinscrire librement via votre formulaire d'opt-in. Le STOP annule le consentement précédent, mais un nouveau consentement libre peut être recueilli à tout moment.

La CNIL peut-elle contrôler une petite boutique e-commerce ?
Oui, à notre avis : rien dans les pages lues n'exclut les petites structures, et la CNIL indique qu'une plainte peut lui être adressée si un organisme ne respecte pas ces règles. Son arsenal ne se limite pas à l'amende : sur 259 décisions en 2025, elle a prononcé 83 sanctions et adressé 143 mises en demeure. À notre avis, une mise en demeure est plus fréquente qu'une sanction, sans que cela soit garanti dans votre cas.

Faut-il un DPO (délégué à la protection des données) pour envoyer des SMS marketing ?
Cet article ne détaille pas les critères de désignation d'un DPO : rapprochez-vous de votre conseil ou de la CNIL. Sur le registre, la CNIL indique que l'obligation de le tenir concerne tous les organismes, quelle que soit leur taille, avec une dérogation limitée pour les organismes de moins de 250 salariés.

Charlotte Rodrigues, CRM Lead chez Deliver

Votre conformité SMS et email n'est pas à jour ? Réservez un audit avec notre équipe.