Le consentement pour l'e-mail, le SMS et la messagerie : CAN-SPAM, TCPA, CASL, PECR et WhatsApp

Cet article est une information générale, pas un avis juridique. Il éclaire la question derrière chaque envoi : pouvons-nous écrire à cette personne, sur ce canal, pour cette finalité, et pouvons-nous le prouver ?

• Deux modèles Le droit américain de l'e-mail est un modèle d'opt-out : on peut écrire jusqu'à ce que la personne dise stop, si le message est honnête et identifié¹. Le Canada, le Royaume-Uni et l'UE appliquent l'opt-in à la prospection des particuliers : le consentement d'abord, avec des exceptions étroites^8, 9, 12.
• SMS et appels aux États-Unis relèvent du TCPA, qui a changé en 2025 et 2026 : la règle du consentement « un à un » a été annulée, la règle « revoke-all » est reportée au 31 janvier 2027, et les tribunaux ne sont plus tenus par la lecture de la FCC^3, 4, 6.
• Les plateformes ajoutent leurs règles WhatsApp exige un opt-in qui nomme l'entreprise et des modèles approuvés pour ouvrir une conversation^14, 15.
• La couche données s'applique toujours Savoir si l'on peut utiliser la donnée relève de la protection des données ; voir protection des données pour les marketeurs.

L'introduction à l'e-mail et l'introduction à la messagerie expliquent le fonctionnement de chaque canal, y compris les règles aux Émirats, en Arabie saoudite et en Inde.

Ce qui compte comme prospection. Sous CAN-SPAM, un message qui mêle contenu transactionnel et commercial est jugé selon sa finalité principale¹. L'ICO considère comme de la prospection un message de service qui fait aussi la promotion de quelque chose⁹. La bonne habitude : garder les messages de service sans promotion, et ne placer les offres que dans des messages couverts par un consentement.

Le choix prudent pour une marque qui envoie au-delà des frontières est l'opt-in partout : il satisfait la règle la plus stricte, garde des fichiers plus propres et évite de faire tourner deux systèmes de consentement. La suite explique où chaque règle mord.

États-Unis : CAN-SPAM. La loi vise tout e-mail commercial, y compris entre entreprises. Elle exige des en-têtes exacts, un objet fidèle au contenu, une mention claire du caractère publicitaire, une adresse postale valide et un moyen de se désinscrire ; les désinscriptions doivent être appliquées sous 10 jours ouvrés, et le mécanisme doit fonctionner au moins 30 jours après l'envoi¹. Confier l'envoi à une agence ou à une plateforme ne transfère pas la responsabilité, et les messages essentiellement transactionnels sont pour l'essentiel exemptés¹.

Canada : CASL. La loi canadienne anti-pourriel exige un consentement, exprès ou tacite, avant tout message électronique commercial, et chaque message doit identifier l'expéditeur et comporter un mécanisme de désabonnement⁸. Le consentement exprès n'expire pas mais peut être retiré ; le consentement tacite né d'un achat dure deux ans⁸. Le CRTC indique des sanctions maximales de 1 million de dollars pour une personne et de 10 millions pour une entreprise, par violation⁸.

Royaume-Uni : PECR. L'e-mail et le SMS de prospection aux particuliers exigent le consentement, sauf soft opt-in : coordonnées recueillies lors d'une vente ou d'une négociation, promotion de vos propres produits similaires, possibilité de refuser à la collecte et dans chaque message⁹. Les adresses d'entreprise peuvent être démarchées sans consentement, mais les entrepreneurs individuels et certaines sociétés de personnes comptent comme des particuliers⁹. Depuis le 5 février 2026, les associations caritatives ont leur propre soft opt-in, utilisable seulement pour les coordonnées recueillies depuis cette date¹⁰. Le Data (Use and Access) Act 2025 a porté les amendes PECR au niveau du UK GDPR¹¹. Voir soft opt-in.

Union européenne : ePrivacy. L'article 13 de la directive ePrivacy exige le consentement préalable pour la prospection par e-mail, SMS et automates d'appel, admet l'exception des clients existants pour des produits similaires, et interdit de dissimuler l'expéditeur ou d'omettre une adresse valable pour s'opposer¹². La Commission a retiré en février 2025 le projet de règlement ePrivacy : la directive et les lois nationales qui la transposent restent en vigueur¹³. Voir ePrivacy.

Pour la preuve, le double opt-in (un clic de confirmation) n'est pas exigé par ces textes, mais c'est le moyen le plus simple de montrer que l'adresse appartient à la personne qui a accepté.

Aux États-Unis, les appels et SMS de prospection envoyés au moyen de technologies automatisées exigent le consentement écrit exprès préalable du destinataire, et ce consentement peut être retiré^2, 7. Les règles ont vite bougé :

• Le retrait La décision de la FCC de 2024 prévoit qu'une personne peut retirer son consentement par tout moyen raisonnable, et que l'expéditeur doit l'appliquer sous 10 jours ouvrés ; un seul SMS de confirmation, sans prospection, est autorisé².
• Le consentement « un à un » Une règle qui aurait imposé un consentement donné à un seul vendeur à la fois, visant les sites de génération de leads, a été annulée par la cour d'appel du onzième circuit le 24 janvier 2025, qui a jugé que la FCC avait excédé ses pouvoirs³.
• Le « revoke-all » La règle selon laquelle un « stop » vaut pour tous les appels et SMS automatisés d'un expéditeur, même sur d'autres sujets, a de nouveau été reportée en janvier 2026, au 31 janvier 2027⁴. En 2026, la FCC a aussi proposé de laisser les expéditeurs désigner un moyen exclusif de retrait et demandé si sept jours ouvrés seraient un délai raisonnable⁵. Vérifiez le texte définitif avant de vous appuyer sur l'un ou l'autre.
• Qui interprète Le 20 juin 2025, dans McLaughlin Chiropractic v. McKesson, la Cour suprême a jugé que les tribunaux de district ne sont pas liés par les interprétations du TCPA par la FCC dans les procédures d'application, tout en leur devant la considération appropriée⁶. Attendez-vous à des divergences entre tribunaux.

L'organisation professionnelle des opérateurs, la CTIA, ajoute ses propres attentes : un consentement par programme, la trace de chaque inscription, un appel à l'action qui nomme le programme, l'expéditeur, les éventuels frais et la façon de se désinscrire, et une réponse immédiate au mot « STOP »⁷.

Les plateformes posent des règles au-dessus de la loi, et les enfreindre peut coûter le numéro ou le compte.

WhatsApp. Les entreprises doivent obtenir un opt-in qui indique clairement leur nom ; il peut être recueilli sur un autre canal tant que le droit local est respecté, et Meta recommande de le demander séparément pour chaque catégorie de messages, comme les suivis de commande ou les offres¹⁴. Les conversations ouvertes par l'entreprise doivent utiliser un modèle de message approuvé, et l'entreprise doit respecter les demandes d'arrêt ou de blocage¹⁵.

Messenger, Instagram et Telegram partent surtout du message de la personne ; l'introduction à la messagerie détaille les fenêtres et les étiquettes de chaque plateforme.

La règle qui en découle : un opt-in e-mail n'est pas un opt-in SMS ou WhatsApp, et un consentement donné à une marque ne vaut pas pour ses partenaires^7, 14.

Un cas illustratif, pas une entreprise réelle. Un voyagiste envoie une newsletter aux États-Unis, au Canada, au Royaume-Uni et en France, et veut ajouter des offres par SMS et des suivis de réservation sur WhatsApp.

1. Relier finalités et canaux Suivis de réservation (service), offres (prospection), enquêtes (prospection dans la plupart des règles).
2. E-mail Un seul formulaire avec une case non cochée et un e-mail de confirmation sert les quatre pays ; il satisfait la CASL, les PECR et l'ePrivacy, et les règles de pied de page de CAN-SPAM s'appliquent toujours aux États-Unis^{1, 8, 9, 12}.
3. SMS Une case SMS distincte et non cochée, avec le nom du programme, la fréquence, les frais et la façon d'arrêter, comme l'attend la CTIA⁷ ; aux États-Unis, un consentement écrit au titre du TCPA².
4. WhatsApp Un troisième choix au nom de l'entreprise, par catégorie : « suivis de réservation » et, séparément, « offres »¹⁴ ; les suivis partent en modèles approuvés¹⁵.
5. Le départ Une réponse STOP, un lien de désinscription ou un « stop » tapé sur WhatsApp met à jour un registre de préférences unique que lisent tous les canaux, dans le délai le plus court applicable^1, 2.

• Cases précochées et consentement groupé Dans les modèles opt-in, le consentement est un acte clair et distinct^9, 12.
• Utiliser un opt-in e-mail pour le SMS ou WhatsApp Le consentement vaut par canal et par expéditeur^7, 14.
• Fichiers achetés ou loués La CTIA attend des expéditeurs qu'ils constituent leurs propres listes⁷ ; dans les modèles opt-in, le consentement recueilli par un tiers vous couvre rarement.
• Traiter les entrepreneurs individuels comme des sociétés au regard des PECR⁹.
• Des désinscriptions lentes Dix jours ouvrés sont un plafond, pas un objectif^1, 2.
• Croire les règles du TCPA stabilisées Revérifiez le « revoke-all » et le retrait avant 2027^4, 5.

Une check-list du consentement avant la prochaine campagne :

1. Auditer les formulaires : une case non cochée par canal et par finalité, dans chaque langue, au nom de l'entreprise.
2. Enregistrer chaque consentement dans le CRM ou un outil de gestion du consentement, avec les champs ci-dessus.
3. Relier un registre de préférences unique à l'e-mail, au SMS, à WhatsApp et aux centres d'appels, et vérifier qu'un STOP les atteint tous.
4. Contrôler chaque pied de page et chaque modèle : expéditeur, adresse, désinscription ; modèles WhatsApp approuvés et bien catégorisés.
5. Surveiller la délivrabilité : consentement et faibles plaintes vont ensemble ; voir délivrabilité.
6. Redemander l'accord des anciens fichiers : si vous ne pouvez pas montrer comment et quand le consentement a été recueilli, redemandez-le une fois ou cessez les envois.
7. Inscrire la revue à la check-list de lancement, et garder la check-list de communication de crise prête en cas d'envoi erroné.

Voir aussi la page e-mail et la page messagerie.

• États-Unis : le guide CAN-SPAM de la FTC¹ ; les décisions de la FCC de 2024 et 2026^2, 5 ; Venable³, Burr & Forman⁴ et Steptoe⁶ sur les changements de 2025–2026 ; les principes de messagerie de la CTIA⁷.
• Canada : les questions et réponses du CRTC sur la CASL⁸.
• Le Royaume-Uni et l'UE : l'ICO sur l'e-mail de prospection⁹, la soft opt-in caritative¹⁰ et la loi de 2025¹¹ ; la directive ePrivacy¹² et Lewis Silkin sur le règlement retiré¹³.
• Les plateformes : les recommandations de WhatsApp sur l'opt-in¹⁴ et sa Business Messaging Policy¹⁵.
• Plus tôt dans ce parcours : normes publicitaires et autorégulation, protection des données pour les marketeurs, transparence des influenceurs et des recommandations.