Une règle circule depuis vingt ans : le RGPD imposerait le double opt-in, ce message de confirmation que l’on envoie après une inscription et sur lequel il faut cliquer pour être vraiment inscrit.
Nous avons cherché le texte. Il n’existe pas.
Ni dans le RGPD, ni dans la directive ePrivacy, ni dans la doctrine publiée de la CNIL, ni dans les lignes directrices européennes. Le terme lui-même n’apparaît nulle part.
Ce que le RGPD exige, et rien de plus
Le consentement est défini à l’article 4, point 11 :
« « consentement » de la personne concernée, toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement »
Un acte positif clair. Une seule fois.
Le considérant 32 donne les exemples que le législateur avait en tête, et tous sont en une étape :
« Cela pourrait se faire notamment en cochant une case lors de la consultation d’un site internet, en optant pour certains paramètres techniques pour des services de la société de l’information ou au moyen d’une autre déclaration ou d’un autre comportement indiquant clairement dans ce contexte que la personne concernée accepte le traitement proposé. »
Et la phrase qui délimite l’interdit, laquelle ne parle jamais de confirmation :
« Il ne saurait dès lors y avoir de consentement en cas de silence, de cases cochées par défaut ou d’inactivité. »
Quant à l’article 7, il ne pose qu’une obligation, et elle porte sur la preuve : « le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement ».
Démontrer. Pas confirmer.
Ce que la CNIL recommande vraiment
La page de référence de la CNIL sur la prospection électronique, mise à jour le 10 juin 2026, contient une recommandation de forme, une seule :
« La CNIL recommande que le consentement préalable (pour le B to C) ou le droit d’opposition (pour le B to B) soit recueilli par le biais d’une case à cocher. L’utilisation d’une case pré-cochée est interdite en matière de recueil du consentement. »
Une case à cocher. Pas un second message.
Sur la preuve, la CNIL désigne un autre moyen, et il est cité nommément : « Les responsables du traitement peuvent notamment tenir un registre des consentements, qui peut s’insérer dans la documentation plus générale de l’organisme. »
Un registre. Pas une confirmation par courriel.
Notons enfin que la fiche pédagogique de la CNIL sur le sujet ne connaît que deux notions, l’opt-in et l’opt-out. Il n’existe pas de troisième catégorie dans sa doctrine publiée.
Ce que dit l’autorité européenne
Les lignes directrices du Comité européen de la protection des données sur le consentement, adoptées en mai 2020, tranchent la question au paragraphe 107 :
« It is up to the controller to prove that valid consent was obtained from the data subject. The GDPR does not prescribe exactly how this must be done. However, the controller must be able to prove that a data subject in a given case has consented. »
Le RGPD ne prescrit pas comment. C’est une obligation de résultat sur la preuve, laissée libre quant aux moyens.
Le paragraphe 108 donne l’exemple retenu par le Comité, et ce n’est pas davantage un message de confirmation : « the controller may keep a record of consent statements received, so he can show how consent was obtained, when consent was obtained and the information provided to the data subject at the time ».
Le mot « double opt-in » n’apparaît pas une seule fois dans ces lignes directrices. Ni en anglais, ni en français.
De l’autre côté de la Manche, l’ICO écrit de même : « There are several ways you can obtain consent for your electronic mail marketing. For example, you could use opt-in tick boxes or take the consent verbally. »
Le consentement peut être verbal. On est loin d’une exigence de double confirmation écrite.
Alors pourquoi tout le monde le recommande ?
Parce que c’est une bonne pratique. Simplement pas une bonne pratique juridique.
Le double opt-in résout trois problèmes techniques, et il les résout bien.
Il élimine les fautes de frappe, qui sont la première source d’adresses invalides dans une base auto-déclarée.
Il neutralise les inscriptions malveillantes. Une adresse inscrite par un tiers ne confirme jamais, donc n’entre jamais. C’est la parade la plus efficace au détournement de formulaire, celui-là même contre lequel Spamhaus recommande de protéger vos formulaires.
Et il fait sortir mécaniquement les adresses pièges, qui ne cliquent jamais nulle part.
Trois bénéfices de délivrabilité. Zéro obligation légale. Confondre les deux registres est précisément l’erreur que commettent les guides commerciaux, et elle a une conséquence : elle fait croire qu’une base en double opt-in est juridiquement protégée, ce qui est faux.
Ce qui est réellement sanctionné
Regardez ce que la CNIL reproche dans ses décisions récentes, et vous verrez que le double opt-in n’y figure jamais.
Ce qui est sanctionné, c’est l’incapacité à produire la preuve, l’apparence trompeuse des formulaires de collecte, la transmission à des partenaires sans base valable, et la conservation au-delà des durées admises.
Une entreprise qui pratique le double opt-in mais ne conserve pas la trace horodatée de l’inscription initiale n’a rien démontré. Une entreprise qui conserve un registre complet sans double opt-in a satisfait l’article 7.
La question n’est pas combien de clics. La question est : que pouvez-vous produire, trois ans plus tard, pour une adresse prise au hasard dans votre base ?
Ce que vous faites demain matin
Prenez dix adresses au hasard dans votre base et essayez de reconstituer, pour chacune, la date de collecte, le formulaire utilisé, le texte affiché à ce moment-là et la finalité acceptée.
Si vous y parvenez pour les dix, votre dispositif de preuve tient, avec ou sans double opt-in.
Si vous n’y parvenez pour aucune, ajouter une étape de confirmation demain ne réglera rien : vous aurez une preuve pour les futurs inscrits et toujours aucune pour la base existante.
Conservez le texte des formulaires, pas seulement les cases cochées. La CNIL juge l’apparence du formulaire, ce qui suppose de pouvoir montrer à quoi il ressemblait ce jour-là.
Et gardez le double opt-in si vous le pratiquez. Il ne vous protège pas juridiquement, mais il protège votre domaine, ce qui est une raison suffisante.
Sources
- Union européenne (27 avril 2016). Règlement (UE) 2016/679 (RGPD), articles 4.11 et 7, considérant 32
- CNIL (mise à jour le 10 juin 2026). La prospection commerciale par courrier électronique, SMS-MMS et automate d’appel
- CNIL. Conformité RGPD : comment recueillir le consentement des personnes ?
- EDPB (version 1.1, mai 2020). Guidelines 05/2020 on consent under Regulation 2016/679, paragraphes 106 à 108
- ICO. How do we comply with the PECR electronic mail marketing rules?
LaFactory travaille l’emailing sur pièces : en-têtes, enregistrements DNS, journaux de rejet. Aucune promesse de taux d’ouverture, jamais. Contactez-nous pour un audit de délivrabilité.