Depuis janvier 2017, tout responsable marketing européen a entendu la même phrase en réunion : « de toute façon, le règlement ePrivacy va tout changer ».
Il ne changera rien. La Commission européenne a retiré sa proposition le 6 octobre 2025.
L’Observatoire législatif du Parlement européen affiche le statut de la procédure 2017/0003(COD) sans ambiguïté : « Procedure lapsed or withdrawn », dernier événement enregistré « Proposal withdrawn by Commission ».
Huit ans, et rien
La proposition devait remplacer la directive de 2002 par un règlement, c’est-à-dire par un texte d’application directe, identique dans les vingt-sept États membres.
Elle devait aussi trancher plusieurs questions restées ouvertes : le statut des cookies et de leurs équivalents, la place des communications électroniques modernes, l’articulation fine avec le RGPD.
Elle est morte au Conseil, après huit ans de négociations, sans jamais atteindre le stade du trilogue conclusif. Le retrait s’inscrit dans le programme de travail 2025 de la Commission, qui prévoyait d’abandonner plusieurs propositions bloquées ou jugées obsolètes.
Ce qui reste en vigueur, et pourquoi ce n’est pas neutre
Le texte européen applicable à la prospection par email reste donc la directive 2002/58/CE, dont l’article 13 paragraphe 1 pose le consentement préalable :
« L’utilisation de systèmes automatisés d’appel sans intervention humaine, de télécopieurs ou de courrier électronique à des fins de prospection directe ne peut être autorisée que si elle vise des abonnés ayant donné leur consentement préalable. »
Une directive, pas un règlement. La différence n’est pas une subtilité de juriste : elle décide de votre travail si vous envoyez dans plusieurs pays.
Un règlement s’applique tel quel partout. Une directive doit être transposée par chaque État, avec sa marge d’interprétation, ses définitions et son autorité de contrôle. Vingt-sept transpositions, vingt-sept versions du même principe.
En France, c’est l’article L.34-5 du code des postes et des communications électroniques, et la doctrine de la CNIL. En Allemagne, en Espagne ou en Italie, ce sont d’autres textes, d’autres autorités, et parfois d’autres réponses sur la même question.
Le retrait du règlement fige cette fragmentation pour longtemps. C’est sa conséquence principale, et la seule qu’il faille retenir.
Ce que le retrait ne fait pas
Il n’abroge rien. La directive reste opposable, les transpositions nationales aussi, et les autorités continuent de sanctionner sur ce fondement : la CNIL a prononcé une amende de 900 000 euros en mai 2025 pour manquement à l’article L.34-5.
Il ne libère rien non plus. Ceux qui attendaient un assouplissement resteront sur leur faim ; ceux qui attendaient un durcissement également. Le droit de l’email en Europe est celui de 2002, complété par le RGPD de 2016, et il le restera dans un avenir prévisible.
Il ne change pas davantage la répartition des rôles entre les deux textes. L’article 95 du RGPD dispose que celui-ci « n’impose pas d’obligations supplémentaires » là où la directive de 2002 pose déjà des obligations spécifiques ayant le même objectif. En pratique : la légalité du canal relève de la directive, le traitement des données relève du RGPD.
Le paradoxe de l’attente
Pendant huit ans, l’annonce d’un texte à venir a servi d’argument à deux populations opposées.
Aux prudents, pour justifier des dispositifs coûteux mis en place par anticipation d’un texte qui n’existait pas.
Aux imprudents, pour reporter des mises en conformité au motif que « tout allait changer bientôt ».
Les seconds ont perdu davantage, parce que le droit applicable pendant ces huit années n’a jamais cessé de l’être, et parce que les autorités n’ont pas suspendu leur activité en attendant Bruxelles.
La leçon dépasse ce dossier : un projet de texte n’est pas un texte, et une entreprise qui règle sa conduite sur des projets se trouve toujours en règle avec un droit imaginaire.
Ce que vous faites demain matin
Retirez de vos documents internes toute mention d’une échéance ePrivacy. Elles y sont encore, dans des feuilles de route et des supports de formation, et elles décrivent un monde qui n’existe pas.
Si vous envoyez dans plusieurs pays européens, faites l’inventaire de vos marchés et vérifiez la transposition applicable à chacun. L’exercice est fastidieux et sans surprise pour le principe général, mais les écarts se logent dans les détails : définition du client existant, sort des adresses professionnelles, délais.
Et pour la France, tenez-vous aux deux textes qui vous gouvernent réellement : l’article L.34-5 du CPCE pour la légalité de l’envoi, le RGPD pour la conservation et les droits des personnes. Ils sont stables, publics, et personne ne les remplacera de sitôt.
Sources
- Parlement européen, Observatoire législatif. Procédure 2017/0003(COD), Privacy and Electronic Communications. Statut : Procedure lapsed or withdrawn, retrait acté le 6 octobre 2025
- Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002, article 13
- Règlement (UE) 2016/679 (RGPD), article 95
- Code des postes et des communications électroniques, article L.34-5
- CNIL (délibération du 15 mai 2025). Prospection commerciale : sanction de 900 000 euros à l’encontre de la société SOLOCAL MARKETING SERVICES
LaFactory travaille l’emailing sur pièces : en-têtes, enregistrements DNS, journaux de rejet. Aucune promesse de taux d’ouverture, jamais. Contactez-nous pour un audit de délivrabilité.