La protection des données pour les marketeurs : base légale, consentement et droits, du RGPD au Golfe

Cet article est une information générale, pas un avis juridique. Il éclaire la décision que prend chaque campagne qui touche un fichier clients : avons-nous le droit d'utiliser les données de cette personne pour cette finalité, sur quelle base, sur ce marché ?

• La base avant la donnée Le RGPD n'autorise un traitement que sur l'une de six bases légales ; en marketing, les deux bases réalistes sont le consentement et l'intérêt légitime¹.
• L'opposition l'emporte toujours Une personne peut s'opposer à tout moment à l'utilisation de ses données à des fins de prospection, et le traitement doit alors cesser¹.
• Le Royaume-Uni inscrit désormais dans la loi la prospection comme finalité pouvant relever de l'intérêt légitime, mais attend toujours une mise en balance³.
• La Californie fonctionne sur des droits d'opposition, et de nouveaux règlements en vigueur depuis le 1er janvier 2026 imposent des analyses de risques pour la vente ou le partage de données à des fins de publicité ciblée^6, 7.
• Le Golfe et l'Égypte L'Arabie saoudite exige le consentement pour la prospection et applique sa loi depuis septembre 2024^8, 9 ; l'Égypte a publié son règlement d'application en novembre 2025¹² ; celui des Émirats était toujours attendu en juin 2026¹¹.

Les messages électroniques ont en plus leurs propres règles de consentement, traitées dans consentement pour l'e-mail, le SMS et la messagerie.

Le RGPD s'applique aux organisations établies dans l'UE, mais aussi à celles qui, hors de l'UE, proposent des biens ou des services à des personnes qui s'y trouvent ou suivent leur comportement¹. Une marque de Riyad, du Caire ou de Dubaï qui cible des clients en France est concernée.

L'article 6 énumère six bases légales : le consentement, le contrat, l'obligation légale, les intérêts vitaux, la mission d'intérêt public et l'intérêt légitime¹. Trois comptent en marketing :

• Le contrat couvre ce qui est nécessaire pour fournir ce que la personne a acheté ou demandé : la confirmation de commande, le SMS de livraison. Pas la newsletter¹.
• Le consentement doit être libre, spécifique, éclairé et univoque, exprimé par un acte positif clair ; vous devez pouvoir le démontrer, et le retirer doit être aussi simple que le donner¹.
• L'intérêt légitime couvre un traitement nécessaire à un intérêt qui vous est propre, à condition que les intérêts et les droits de la personne ne prévalent pas. Les considérants du RGPD indiquent que la prospection peut être considérée comme un tel intérêt¹.

Deux autres règles pèsent sur le marketing. En ligne, le consentement d'un enfant ne vaut qu'à partir de 16 ans, ou d'un âge inférieur, jamais en dessous de 13 ans, si un État membre le prévoit¹. Et les amendes pour violation des principes fondamentaux atteignent 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu¹.

Les cookies et le traçage relèvent des règles ePrivacy, pas seulement du RGPD : stocker ou lire quoi que ce soit sur un terminal exige le consentement, sauf si c'est strictement nécessaire (ePrivacy, cookie). Dans son paquet numérique, la Commission européenne a proposé de transférer ces règles dans le RGPD lorsqu'il y a des données personnelles, avec un refus en un clic, l'obligation de respecter un choix pendant au moins six mois et des préférences réglées une fois, par exemple dans le navigateur¹⁴. C'est une proposition, pas une loi ; tant qu'elle n'est pas adoptée, les règles actuelles s'appliquent¹⁴.

Beaucoup d'équipes perdent du temps à débattre de la base une fois la campagne construite. Tranchez d'abord, finalité par finalité, et écrivez-le.

Le droit d'opposition. Lorsque les données servent à la prospection, y compris au profilage qui y est lié, la personne peut s'y opposer à tout moment et les données ne peuvent plus être utilisées à cette fin¹. Ce droit doit lui être présenté explicitement, au plus tard lors de la première communication¹. En pratique, il faut une liste d'opposition unique que lisent tous les canaux : e-mail, SMS, envois d'audiences aux régies, centres d'appels.

Les autres droits. Les personnes peuvent demander l'accès à leurs données, leur rectification, leur effacement, leur portabilité, et ne pas faire l'objet de certaines décisions entièrement automatisées¹. Une équipe marketing doit savoir où vivent ses données pour répondre dans les délais.

Les données confiées aux régies. Envoyer un fichier clients pour créer une audience similaire ou pour du reciblage est un traitement comme un autre : il lui faut une base, il doit figurer dans l'information, et les oppositions doivent l'atteindre.

Le Royaume-Uni conserve sa propre version du RGPD, modifiée par le Data (Use and Access) Act 2025. La loi range la prospection parmi les finalités pouvant être considérées comme des intérêts légitimes³. Il ne s'agit pas de la nouvelle base des « intérêts légitimes reconnus », qui se passe de mise en balance : pour la prospection, l'ICO attend toujours une analyse d'intérêt légitime, et ses lignes directrices révisées le 23 mars 2026 précisent que les organisations qui s'appuient déjà sur l'intérêt légitime n'ont pas à changer de base³. Certains conseils considèrent toujours le consentement comme la bonne pratique pour la prospection auprès des consommateurs⁵.

Au Royaume-Uni, la prospection électronique relève aussi des Privacy and Electronic Communications Regulations (PECR), qui s'appliquent en plus du UK GDPR². La loi de 2025 a porté les amendes PECR au niveau de celles du UK GDPR⁴. Règle pratique : le UK GDPR dit si vous pouvez utiliser la donnée, les PECR disent si vous pouvez envoyer l'e-mail ou le SMS.

Il n'existe pas aux États-Unis de loi fédérale générale sur la vie privée applicable au marketing. La loi californienne, le CCPA modifié par le CPRA, donne aux consommateurs le droit de connaître, supprimer et corriger leurs données, et de s'opposer à leur vente ou à leur partage pour la publicité comportementale inter-contextes⁷. C'est un modèle d'opt-out : vous pouvez souvent utiliser la donnée jusqu'à ce que la personne dise stop, mais vous devez rendre ce stop facile, y compris en respectant les signaux d'opposition des navigateurs comme Global Privacy Control⁷.

De nouveaux règlements de la California Privacy Protection Agency, désormais appelée CalPrivacy, sont entrés en vigueur le 1er janvier 2026⁶. Ils imposent des analyses de risques notamment pour la vente ou le partage de données personnelles à des fins de publicité ciblée et pour le traitement de données sensibles^6, 7. Les règles sur les technologies de décision automatisée s'appliquent à partir du 1er janvier 2027, et seulement aux décisions importantes (crédit, logement, emploi, santé) ; la publicité comportementale a été retirée des déclencheurs dans le texte final⁶. Si vous faites du marketing dans tout le pays, vérifiez si les autres États où vivent vos clients ont leur propre loi.

Arabie saoudite. La loi sur la protection des données personnelles est entrée en vigueur le 14 septembre 2023, avec un délai de grâce d'un an qui a pris fin le 14 septembre 2024 ; le régulateur est l'Autorité saoudienne des données et de l'IA (SDAIA)⁸. Le règlement d'application exige le consentement pour traiter des données à des fins de publicité et de prospection, et un moyen simple de cesser de recevoir des messages à tout moment⁹. La SDAIA a mis en consultation un projet de modification du règlement d'application du 6 octobre au 5 novembre 2026¹⁰ : vérifiez le texte final.

Émirats arabes unis. La loi fédérale est le décret-loi fédéral n° 45 de 2021. En juin 2026, son règlement d'application n'avait toujours pas été publié, et une nouvelle autorité fédérale de l'intelligence artificielle et des données avait été créée, laissant ouverte la répartition du contrôle¹¹. Les zones franches financières, DIFC et ADGM, ont leurs propres régimes de protection des données¹¹. En attendant, alignez-vous sur votre marché le plus exigeant.

Égypte. La loi n° 151 de 2020 sur la protection des données personnelles a reçu son règlement d'application par le décret ministériel n° 816 de 2025, pris le 1er novembre 2025¹². Il organise l'octroi de licences aux responsables de traitement et aux sous-traitants par le Centre de protection des données personnelles, avec des redevances selon le nombre d'enregistrements, impose la notification des violations sous 72 heures et traite de la prospection électronique¹². Sa publication a ouvert un délai de mise en conformité d'un an, et le Centre a publié des lignes directrices, notamment sur la prospection électronique¹³.

Un cas illustratif, pas une entreprise réelle. Un site marchand basé à Dubaï vend à des clients aux Émirats, en Arabie saoudite, en France et en Californie. Il veut utiliser l'historique d'achat pour envoyer des offres personnalisées par e-mail et charger son fichier clients sur un réseau social pour créer une audience similaire.

1. Lister les finalités E-mails de commande (contrat) ; offres personnalisées (prospection) ; envoi du fichier (prospection et profilage).
2. France Le RGPD s'applique parce que le site cible des personnes dans l'UE¹. L'e-mail de prospection aux particuliers exige le consentement au titre des règles ePrivacy, sauf exception pour les clients existants ; l'envoi du fichier exige une base, une mention dans l'information et une voie d'opposition¹.
3. Arabie saoudite Le consentement est requis pour la prospection⁹ ; le site le recueille au paiement, case non cochée, avec un choix par canal.
4. Californie Le partage du fichier avec une plateforme pour la publicité ciblée ouvre un droit d'opposition, et une analyse de risques est désormais requise^6, 7.
5. Un seul standard Plutôt que quatre parcours, le site applique partout la règle la plus stricte (un consentement distinct et tracé pour la prospection) et une liste d'opposition unique alimente tous les canaux.

• Choisir la base une fois la campagne construite Tranchez par finalité et consignez-le¹.
• Noyer le consentement dans les conditions générales. Il doit être spécifique et libre¹.
• Voir l'intérêt légitime comme une échappatoire Il exige une mise en balance écrite, et l'opposition prime^1, 3.
• Oublier les envois d'audiences Une opposition qui arrête l'e-mail mais pas la régie n'est pas respectée¹.
• Croire qu'une loi sans règlement est une loi sans dents La loi émirienne est en vigueur¹¹ ; l'Arabie saoudite contrôle⁸.
• Ignorer les interfaces trompeuses dans les écrans de consentement. Refuser doit être aussi simple qu'accepter.

Une check-list à passer cette semaine avec vos partenaires données et juridique :

1. Cartographie des données ce que vous détenez, d'où cela vient, où cela se trouve, quels outils et partenaires le reçoivent. Une plateforme de données clients ou un CRM est souvent le point de départ.
2. Registre des finalités une ligne par finalité marketing, avec sa base légale, les marchés couverts et la preuve.
3. Preuves du consentement qui, quand, où, quel libellé, quels canaux ; un outil de gestion du consentement pour les cookies et les préférences.
4. Une seule liste d'opposition pour les oppositions et les retraits, lue par l'e-mail, le SMS, les centres d'appels et les envois d'audiences.
5. Des mentions d'information dans chaque langue de vos marchés, qui citent les envois aux régies et le profilage.
6. Un contrôle par marché pour chaque pays du plan, avec les dates ci-dessus, et la check-list de lancement pour la validation.
7. Un plan en cas de violation l'Égypte attend une notification sous 72 heures¹² ; entraînez-vous avec la check-list de communication de crise.

À lire aussi : l'introduction au CRM et à la fidélisation, les données first-party et la page opérations marketing.

• Le droit : le RGPD sur EUR-Lex¹ ; le paquet numérique de la Commission¹⁴.
• Le Royaume-Uni : les lignes directrices de l'ICO sur la prospection électronique² et sur les PECR après la loi de 2025⁴ ; la DMA sur les lignes directrices révisées relatives à l'intérêt légitime³ ; Mayer Brown sur la loi⁵.
• La Californie : Skadden sur les règlements définitifs⁶ et la note du Future of Privacy Forum⁷.
• Le Golfe et l'Égypte : Latham & Watkins⁸ et Clyde & Co^9, 10 sur l'Arabie saoudite ; Morgan Lewis sur les Émirats¹¹ ; Al Tamimi¹² et CMS¹³ sur l'Égypte.
• La suite du parcours : transparence des influenceurs et des recommandations, consentement pour l'e-mail, le SMS et la messagerie.