SMS et RGPD en France : règles CNIL en 2026

TL;DR : En France, la prospection SMS B2C exige en principe un consentement explicite et préalable. En B2B, l'intérêt légitime peut être utilisé lorsque la sollicitation est en rapport avec la profession de la personne, sous réserve d'une information et d'une opposition simples. Chaque sollicitation doit identifier l'émetteur et permettre un refus facile. Attention à une confusion répandue : les plages horaires d'envoi ne viennent pas de la loi mais des opérateurs mobiles. Ce guide couvre les règles vérifiées en août 2026 et la documentation du consentement.

Source de référence : CNIL, prospection commerciale par courrier électronique et SMS, mise à jour du 10 juin 2026.

1. Cadre juridique : les textes qui s'appliquent

Le SMS marketing en France est encadré par une combinaison de textes :

L'article L34-5 du CPCE est le texte central pour la France. Il transpose la directive ePrivacy et pose le principe d'opt-in préalable pour la prospection par voie électronique (email, SMS, MMS). Il impose aussi deux mentions : des coordonnées valables pour demander l'arrêt des envois, et l'interdiction de dissimuler l'identité de l'émetteur.

Deux textes sont régulièrement invoqués à tort pour le SMS. Le dispositif d'opposition au démarchage téléphonique du code de la consommation (art. L223-1 et suivants, dispositif Bloctel) vise la prospection par téléphone, pas les SMS. Le décret n° 2022-1313 du 13 octobre 2022 encadre les jours et horaires des appels téléphoniques, pas des messages écrits. Nous y revenons en section 5.

2. Opt-in vs opt-out : quelle règle s'applique en France

2.1 Principe général : opt-in obligatoire en B2C

Pour un destinataire "personne physique" (particulier), le principe est l'opt-in. L'envoi de SMS marketing sans consentement préalable est interdit.

Ce consentement doit être :

• Obtenu avant le premier SMS
• Distinct du consentement email (les deux canaux doivent être consentis séparément)
• Documenté et prouvable (date, heure, source, formulaire utilisé)
• Librement révocable à tout moment (via STOP ou autre mécanisme simple)

2.2 Exemption pour clients existants (opt-out possible)

L'article L34-5 prévoit une exception : si la personne est déjà cliente, vous pouvez lui envoyer des SMS marketing concernant des produits ou services analogues à ceux déjà achetés, à condition :

• D'avoir collecté son numéro dans le cadre de la vente
• De lui avoir donné la possibilité de refuser dès la collecte
• De lui laisser la possibilité de se désinscrire à chaque envoi

Cette exemption "client" est souvent mal appliquée. Elle ne couvre pas :

• L'envoi de SMS sur des produits sans rapport avec l'achat initial
• L'envoi à des prospects qui n'ont jamais acheté
• L'envoi après un délai déraisonnable sans nouvelle interaction

Le piège le plus courant en e-commerce : la CNIL précise que la simple création d'un compte ne signifie pas qu'il y aura une commande. Un compte ouvert sans achat ne fait donc pas de la personne un client au sens de cette exemption.

2.3 B2B : l'exemption professionnelle

En B2B, le régime est différent, mais pas pour la raison qu'on lit souvent. L'article L34-5 ne crée aucun "opt-out des personnes morales" : son interdiction vise les coordonnées d'une personne physique. Un salarié ou un dirigeant reste une personne physique, même joint sur sa ligne professionnelle. Ce qui change, c'est la base légale : la CNIL admet que la prospection à l'égard de professionnels soit fondée sur l'intérêt légitime de l'organisme lorsque l'objet de la sollicitation est en rapport avec la profession de la personne démarchée.

En revanche, les lignes et adresses purement génériques rattachées à la personne morale (type contact@societe.fr) ne sont pas soumises à ces principes selon la CNIL. Concrètement :

Notre grille de contrôle avant un envoi B2B sans opt-in préalable. Seuls les points 1, 2 et 5 sont directement posés par la CNIL, les points 3 et 4 en découlent sur le plan opérationnel :

1. Le destinataire est une personne agissant dans le cadre de sa profession (pas un particulier)
2. L'objet de la sollicitation est en rapport avec sa profession
3. Le numéro utilisé est un numéro professionnel, pas une ligne personnelle
4. Le numéro a été collecté de façon licite et, s'il vient d'un tiers, la personne a été informée de cette utilisation
5. La personne peut s'opposer facilement, à la collecte et à chaque envoi

Ce que l'exemption B2B ne couvre pas :

• Envoyer un SMS à un numéro portable personnel d'un dirigeant (même s'il est aussi le gérant)
• Envoyer sur un sujet sans rapport avec l'activité professionnelle
• Continuer à envoyer après un refus explicite

Le numéro de mobile d'un professionnel identifié reste une donnée personnelle : le RGPD s'applique donc toujours, seule la base légale change, "intérêt légitime" (art. 6.1.f) plutôt que "consentement" (art. 6.1.a). Lorsque les données sont déjà en votre possession ou acquises auprès de tiers, la CNIL demande de vérifier que la personne a été informée de cette utilisation et qu'elle est en mesure de s'y opposer. La CNIL recommande de recueillir ce droit d'opposition par une case à cocher.

3. Mentions obligatoires dans les SMS marketing français

3.1 Ce que la loi impose dans chaque SMS

Chaque SMS marketing envoyé en France doit contenir :

Ce qui n'est pas obligatoire dans le corps du SMS :

• Les CGV ou mentions légales complètes (elles doivent être accessibles, pas dans le SMS)
• L'adresse du siège social
• Le numéro SIRET

3.2 STOP ou lien de désinscription : ce que votre type d'expéditeur autorise

La CNIL n'impose pas une formulation précise : elle exige que la personne puisse exprimer son refus "par un moyen simple" et sans frais. Un parcours complexe comme seul moyen de désinscription ne remplit pas cette condition.

Le point technique que la plupart des guides ratent : en France, l'expéditeur proposé par défaut dans Klaviyo est un identifiant de marque alphanumérique (branded sender ID), et un identifiant de ce type ne peut pas recevoir de message. Les mots-clés de réponse comme STOP n'y fonctionnent donc pas. Écrire "Répondez STOP" sur un envoi que vous ne pouvez pas recevoir crée un moyen de refus fictif.

Deux conséquences pratiques :

• Si votre expéditeur peut recevoir des réponses, le mot-clé STOP est le mécanisme le plus lisible pour le destinataire. La CNIL rappelle d'ailleurs que des opérateurs comme SFR et Bouygues proposent à leurs abonnés de répondre STOP à l'émetteur.
• Si votre expéditeur est un identifiant de marque, utilisez un lien de désinscription fonctionnel et ne promettez pas un STOP par réponse.

3.3 Identification de l'émetteur

L'identité de la marque doit apparaître dans le corps du message, pas uniquement dans l'ID expéditeur technique. C'est d'autant plus important en France que, selon Klaviyo, plusieurs petits opérateurs ne prennent pas en charge les identifiants de marque et les remplacent par un numéro local aléatoire : le destinataire ne voit alors plus qui l'écrit.

Bonne pratique : commencer le SMS par le nom de la marque, via un préfixe organisationnel appliqué à tous les envois vers la France.

Exemple : "Marque X : votre code promo -15 % expire ce soir. [lien] STOP pour se désabonner."

4. Recueil et documentation du consentement

4.1 Ce que vous devez être capable de démontrer

L'article 7 du RGPD met la charge de la preuve du consentement sur le responsable de traitement. La CNIL applique cette exigence en pratique : dans sa décision du 15 mai 2025 contre SOLOCAL MARKETING SERVICES, elle retient à la fois un manquement à l'article L34-5 du CPCE et un manquement à l'article 7 du RGPD, faute de pouvoir démontrer un consentement valable.

Notre grille opérationnelle, à défaut de liste officielle publiée par la CNIL :

1. La source : quel formulaire, quelle page, quel événement a généré le consentement
2. La date et l'heure : horodatage précis de l'opt-in
3. La formulation présentée : version du formulaire et de la mention affichée au moment de la collecte
4. L'identité : numéro de téléphone associé à ce consentement

Klaviyo couvre une partie de ces éléments par des propriétés natives du profil : horodatage du consentement SMS, méthode de consentement, identifiant et version du formulaire de collecte. La version du formulaire est le point le plus souvent négligé : sans elle, vous savez qu'une personne a coché une case, pas ce qu'elle a lu. Archivez donc vos versions de mention à côté de l'outil.

4.2 Durée de conservation du consentement

Le consentement SMS marketing ne dure pas indéfiniment. Le référentiel CNIL relatif à la gestion des activités commerciales, qui est un cadre de conformité et non un texte contraignant, retient pour la prospection électronique une conservation "jusqu'au retrait du consentement ou 3 ans à compter du dernier contact des personnes avec l'organisme".

Deux précisions du référentiel qui changent le calcul :

• Le point de départ est un contact émanant de la personne (une demande de documentation, un clic sur un lien dans un message). La simple ouverture d'un courriel ne devrait pas être comptée comme un contact.
• Au terme des trois ans, vous pouvez reprendre contact pour demander si la personne souhaite continuer à recevoir des sollicitations. En l'absence de réponse positive et explicite, il convient de supprimer les données ou de les archiver.

Pour la segmentation des contacts inactifs et la gestion de l'hygiène de liste, voir notre guide segmentation Klaviyo.

4.3 Durée de conservation des données personnelles

Le référentiel ne fixe pas de durée chiffrée pour les logs techniques d'envoi : il demande de prévoir un système de journalisation et de protéger les informations journalisées, la durée relevant de votre analyse de risque et du délai de prescription.

4.4 Opt-in double : faut-il le mettre en place ?

Le double opt-in SMS (confirmation par SMS après inscription) n'est pas légalement obligatoire en France : ni l'article L34-5 ni les pages CNIL sur la prospection électronique n'imposent une confirmation par message. Klaviyo le présente comme une bonne pratique, privilégiée en Allemagne, en Autriche et en Suisse pour démontrer que le consentement a été correctement obtenu.

Ce qu'il apporte :

• Une preuve renforcée du consentement (le destinataire a confirmé activement)
• Un numéro de téléphone valide et actif (filtre les erreurs de saisie)

Son inconvénient est mécanique : toute personne qui ne confirme pas sort de la liste. Mesurez ce taux sur vos propres formulaires avant d'arbitrer, plutôt que sur un benchmark générique.

Attention en France : une confirmation qui suppose une réponse du destinataire ne fonctionne pas avec un identifiant de marque, qui ne reçoit pas de message. Le double opt-in doit alors passer par un lien de confirmation.

Pour la mise en place technique du double opt-in dans Klaviyo, voir SMS Klaviyo marketing France.

5. Règles d'envoi : horaires et fréquences

5.1 Horaires d'envoi : une contrainte opérateur, pas une règle de l'article L34-5

C'est l'erreur la plus répandue sur le sujet, y compris dans des guides sérieux. L'article L34-5 du CPCE ne contient aucune plage horaire, aucun jour interdit. Les pages CNIL sur la prospection par SMS et MMS non plus.

Les horaires que tout le monde cite viennent en réalité de deux sources distinctes, qu'il ne faut pas mélanger :

1. Les quiet hours des opérateurs mobiles français. Klaviyo documente pour la France les fenêtres suivantes, appliquées par les opérateurs eux-mêmes :

Klaviyo est explicite sur la nature de cette contrainte : elle est appliquée par les opérateurs, pas par la loi. Vous pouvez être légalement autorisé à envoyer un dimanche, vos messages ne seront pas distribués, et un envoi répété hors fenêtre expose vos autres messages à un filtrage.

2. Le décret n° 2022-1313 du 13 octobre 2022, qui encadre les jours, horaires et fréquence du démarchage. Il fixe une fenêtre bien plus étroite (10h-13h et 14h-20h, du lundi au vendredi, hors jours fériés) mais il vise la sollicitation "par voie téléphonique", c'est-à-dire les appels vocaux. Il ne s'applique pas aux SMS. Le citer pour justifier une règle SMS est une erreur fréquente.

5.2 Fréquence

Aucune limite légale de fréquence n'est fixée pour le SMS en France : le décret de 2022 qui plafonne les sollicitations à quatre par mois concerne les appels téléphoniques, pas les SMS.

Ce qui vous encadre en pratique, c'est le comportement des destinataires et le filtrage opérateur. Suivez donc votre propre taux de désinscription par campagne et par segment plutôt qu'un seuil générique : c'est sa progression, comparée à votre historique, qui signale une fréquence devenue excessive.

6. Sanctions CNIL récentes liées aux SMS

6.1 Ce que dit le bilan CNIL 2025

Plutôt qu'un florilège d'amendes anonymisées invérifiables, deux chiffres et une décision publiée.

Le bilan des sanctions publié par la CNIL pour 2025 :

La décision de référence pour la prospection électronique reste celle du 15 mai 2025 : 900 000 € d'amende contre SOLOCAL MARKETING SERVICES, pour avoir démarché des prospects par SMS et courrier électronique sans consentement valable et transmis leurs données à des partenaires sans base légale. La CNIL y retient un manquement à l'article L34-5 du CPCE et un manquement à l'article 7 du RGPD, la société ne pouvant pas démontrer le consentement. Les formulaires des courtiers en données présentaient un bouton d'acceptation nettement plus visible que l'option de refus. La sanction s'accompagne d'une injonction de cesser la prospection sans consentement valable, sous astreinte de 10 000 € par jour de retard passé un délai de neuf mois.

Deux enseignements pour un e-commerçant : la responsabilité remonte à celui qui envoie, et un design de formulaire déséquilibré suffit à invalider le consentement.

6.2 Les erreurs les plus sanctionnées

D'après les pages CNIL sur la prospection commerciale et la décision SOLOCAL MARKETING SERVICES :

1. Absence d'opt-in préalable : envoi SMS à des listes achetées ou collectées sans case à cocher explicite
2. Case pré-cochée : formulaire avec consentement SMS coché par défaut (invalide sous RGPD)
3. Consentement groupé : une seule case pour email + SMS + téléphone (il faut des cases séparées)
4. Absence de moyen de refus : SMS marketing sans STOP fonctionnel ni lien de désinscription
5. Non-respect des refus : continuer à envoyer après un opt-out
6. Design déséquilibré : bouton d'acceptation nettement plus visible que l'option de refus, retenu contre SOLOCAL MARKETING SERVICES
7. Conservation excessive : garder des numéros sans contact depuis plus de 3 ans

6.3 Risques en dehors des amendes CNIL

Les sanctions CNIL ne sont pas le seul risque :

• Filtrage opérateur : Klaviyo indique que les opérateurs français peuvent filtrer vos autres messages si vous continuez à envoyer en dehors des fenêtres autorisées
• Rejet par la plateforme d'envoi : Klaviyo considère que les listes achetées, issues d'affiliation ou de génération de leads ne constituent pas un consentement SMS valable
• Injonction sous astreinte : au-delà de l'amende, la CNIL peut ordonner l'arrêt de la prospection sous astreinte journalière, comme dans la décision SOLOCAL MARKETING SERVICES
• Réputation marque : un SMS reçu sans consentement génère une image négative durable

7. Checklist compliance SMS France 2026

Avant de lancer une campagne SMS :

Pour la partie deliverability et configuration technique du canal email en complément, voir deliverability email guide anti spam et SPF DKIM DMARC configuration DNS. Côté email, la CNIL a également précisé le régime applicable aux traceurs dans les courriels, qui obéit à une logique de consentement distincte de celle de l'envoi.

Pour intégrer ces pratiques dans une stratégie CRM globale visant 35 % du CA en email et SMS, voir lifecycle marketing 35 pourcent CA.

FAQ

Un consentement email vaut-il aussi pour le SMS ?
Non. Le consentement doit être spécifique : une case à cocher email ne couvre pas les SMS. Klaviyo impose d'ailleurs la même règle côté outil, l'opt-in SMS devant être distinct de l'opt-in email, sans case commune.

Peut-on envoyer des SMS marketing à une liste achetée ?
Non. Une liste achetée ne permet pas de démontrer un consentement libre, spécifique, éclairé et univoque au profit de votre marque. C'est précisément ce que la CNIL a sanctionné en mai 2025 dans la décision SOLOCAL MARKETING SERVICES. Klaviyo refuse également les listes achetées, d'affiliation ou de génération de leads comme consentement SMS valable.

Le consentement oral (téléphone) est-il valable pour les SMS ?
Le consentement doit résulter d'une action positive et spécifique, et vous devez pouvoir le démontrer à tout moment. Un recueil oral est très difficile à documenter à ce niveau de preuve, faute de trace de la formulation présentée. A éviter en pratique.

Un client qui n'a pas répondu STOP depuis 5 ans : peut-on continuer à lui envoyer des SMS ?
Le référentiel CNIL retient trois ans à compter du dernier contact émanant de la personne. Au-delà, vous pouvez la recontacter pour lui demander si elle souhaite continuer à recevoir vos sollicitations ; sans réponse positive et explicite, il faut supprimer ou archiver les données.

Comment gérer un contact qui répond STOP puis demande à se réinscrire ?
Il peut se réinscrire librement via votre formulaire d'opt-in. Le STOP annule le consentement précédent, mais un nouveau consentement libre peut être recueilli à tout moment. Dans Klaviyo, cela se gère via le formulaire SMS consent.

La CNIL peut-elle contrôler une petite boutique e-commerce ?
Oui. La CNIL traite les plaintes quelle que soit la taille de l'entreprise. Son arsenal ne se limite pas à l'amende : sur 259 décisions rendues en 2025, elle a prononcé 83 sanctions mais adressé 143 mises en demeure. Une mise en demeure reste la porte de sortie la plus courante, sans qu'elle soit garantie.

Faut-il un DPO (délégué à la protection des données) pour envoyer des SMS marketing ?
Pas obligatoire pour la plupart des e-commerces (sauf traitement à grande échelle de données sensibles). Mais documenter vos traitements dans un registre des activités de traitement est obligatoire pour toute entreprise, quelle que soit sa taille.

Charlotte Rodrigues, CRM Lead chez Deliver

Votre conformité SMS et email n'est pas à jour ? Réservez un audit avec notre équipe.