Votre CRM contient un nom, une adresse email et une séquence active. Le système sait quoi envoyer demain. Mais sait-il d’où vient le contact, pourquoi ce message peut partir et ce qui doit bloquer le suivant ?
Une automatisation devient fragile lorsqu’elle répète une décision non formalisée.
En 60 secondes
Une prospection automatisée fiable commence par une règle lisible : pour chaque message, votre CRM doit connaître sa finalité, son destinataire, son canal, la condition d’envoi, la preuve disponible et le mécanisme d’arrêt.
En pratique :
- ne confondez pas une adresse disponible avec une autorisation générale de communiquer ;
- classez chaque message comme commercial, transactionnel ou relationnel selon son objectif réel ;
- conservez la source, l’information fournie, la preuve utile et l’état d’opposition ;
- appliquez l’opposition dans tous les outils, pas seulement dans la plateforme d’emailing ;
- traitez les pixels de suivi comme une finalité distincte de l’envoi ;
- bloquez l’automatisation lorsque la règle ou la preuve est inconnue.
Ce cadre rend un workflow auditable. Il ne remplace pas un DPO ou un juriste lorsqu’une qualification juridique est nécessaire.
Dans cet article
- Un contact n’est pas une autorisation universelle
- Classer le message avant d’activer le scénario
- Ce qu’une fiche CRM auditable doit montrer
- Auditer les automatisations, les prestataires et le suivi
- Le contrôle en dix questions
- Quand suspendre et faire intervenir un spécialiste
1. Un contact n’est pas une autorisation universelle
Une même adresse peut entrer dans votre CRM après une demande de devis, un achat, un salon, une importation ou un enrichissement. Ces événements ne créent pas le même droit d’usage.
Quelqu’un qui demande un rendez-vous attend une réponse. Cela ne signifie pas qu’il accepte aussi une newsletter, une séquence de réactivation et le suivi individuel de ses ouvertures. La CNIL invite à regarder la relation réelle et l’objectif du message, pas seulement l’étiquette du CRM.
Lors d’une migration, un champ email_opt_in = true peut survivre alors que le texte présenté, la finalité, la date et le pays ont disparu. La donnée existe ; la décision n’est plus démontrable.
Une adresse professionnelle publique ou enrichie reste une donnée personnelle lorsqu’elle identifie quelqu’un. Sa disponibilité ne vaut pas permission générale pour toute campagne.
Avant d’automatiser, posez donc une question plus précise que « avons-nous son email ? » : qu’est-ce que cette personne pouvait raisonnablement attendre lorsque nous avons obtenu cette donnée ?
2. Classer le message avant d’activer le scénario
La CNIL distingue trois familles de communications électroniques selon leur finalité réelle. Un contenu présenté comme informatif peut rester promotionnel s’il vise une consommation ou une souscription.
| Type de message | Objectif principal | Exemple | Risque de mauvaise classification |
|---|---|---|---|
| Prospection commerciale | Promouvoir directement ou indirectement une offre, un service ou l’image de l’entreprise | Séquence de vente, offre de réactivation, newsletter destinée à générer un achat | Dissimuler une promotion dans un message présenté comme « information » |
| Transactionnel | Exécuter un service demandé, un compte ou une transaction | Confirmation, facture, réinitialisation de mot de passe, rappel de rendez-vous | Ajouter une offre commerciale significative à un message nécessaire |
| Relationnel | Accompagner un client dans l’usage du service, sans finalité promotionnelle directe | Alerte de sécurité, conseil d’utilisation, information de fonctionnement | Transformer progressivement l’accompagnement en vente additionnelle |
Pour les particuliers en France, la prospection commerciale électronique repose en principe sur le consentement préalable. Une exception encadrée peut concerner certains clients existants pour des offres similaires de la même entreprise, avec opposition simple dès la collecte puis dans chaque message.
En B2B, il n’est pas systématiquement requis en France si la sollicitation concerne l’activité professionnelle, que la personne est informée de l’origine et de la finalité, et qu’elle peut s’opposer simplement. Cela ne signifie pas « tout email professionnel est autorisé ».
Votre CRM doit empêcher qu’un statut vague comme lead, client ou newsletter décide seul de l’envoi.
3. Ce qu’une fiche CRM auditable doit montrer
Il n’existe pas un schéma CRM universel imposé à toutes les entreprises. Voici un modèle opérationnel IZZY pour rendre la décision testable :
- Source et date. Formulaire, achat, événement, partenaire, import ou donnée publique.
- Relation. Prospect particulier, contact professionnel, client ou utilisateur.
- Marché et canal. Pays pertinent, email, SMS, téléphone, messagerie ou notification.
- Finalité. Commerciale, transactionnelle, relationnelle ou autre finalité documentée.
- Condition et état. Consentement, contrat, exception client, intérêt légitime documenté, opposition ou revue nécessaire.
- Preuve. Texte présenté, action, horodatage, origine, fournisseur et emplacement.
- Suivi. Choix distinct pour les pixels ou mécanismes comparables.
- Opposition ou retrait. Date, portée et blocage des futures audiences.
- Conservation. Règle de suppression, d’archivage ou de réévaluation.
- Responsable. Propriétaire de la campagne, des exceptions et de l’arrêt.
Ces éléments peuvent vivre dans plusieurs outils, mais ils doivent rester reliés et récupérables. Si la plateforme conserve la preuve et le CRM un booléen, documentez leur synchronisation.
Commencez avec une source et une séquence. Suivez la décision de la collecte au dernier message : le premier contrôle manquant apparaîtra plus vite qu’avec une « mise en conformité du CRM » abstraite.
4. Auditer les automatisations, les prestataires et le suivi
Dessinez la chaîne réelle, pas celle que l’équipe pense avoir :
source -> CRM -> segmentation -> déclencheur -> message -> prestataire -> suivi -> réponse ou opposition -> retour CRM
À chaque passage, demandez quelle donnée change et quel outil fait autorité. Les échecs vivent entre les plateformes : désinscription dans l’outil A, ancienne audience active dans l’outil B, import qui réactive le contact ou extension commerciale qui ignore l’opposition.
La CNIL recommande un mécanisme durable - par exemple une liste repoussoir - pour empêcher une nouvelle sollicitation après un import. Cette liste a une finalité dédiée et conserve seulement les données nécessaires. La CNIL recommande au moins trois ans pour l’information nécessaire à l’opposition ; ce n’est pas une durée universelle pour toute la fiche contact.
Inspectez les réglages prestataires : qui insère le pixel, reçoit les données et décide de leur usage ? Une intégration activée en un clic peut ajouter une finalité jamais validée.
Ne déduisez pas l’autorisation de suivre de celle d’envoyer. Dans sa recommandation 2026, la CNIL distingue certaines mesures de performance, personnalisations et créations de profils nécessitant le consentement de cas d’exemption encadrés. Demandez : quelle finalité, quelle information, quel choix, quelles données et quelle durée ?
Une mesure agrégée ou un indicateur métier peut suffire. Privilégiez réponse qualifiée, rendez-vous confirmé ou opportunité acceptée à l’activité facile à collecter.
5. Le contrôle en dix questions
Avant d’activer une séquence, vérifiez :
- Savons-nous d’où vient chaque contact et quand il a été collecté ?
- Avons-nous identifié le pays, le type de destinataire et le canal concerné ?
- L’objectif réel de chaque message est-il classé ?
- La condition retenue pour l’envoi est-elle documentée et encore valable ?
- L’information fournie à la personne correspond-elle à l’usage actuel ?
- La preuve utile est-elle récupérable sans demander au développeur d’explorer des sauvegardes ?
- Une opposition ou un retrait bloque-t-il tous les outils avant le prochain envoi ?
- Les pixels et autres suivis disposent-ils de leur propre finalité, configuration et preuve ?
- Les prestataires, imports et enrichissements respectent-ils les mêmes règles ?
- Une personne nommée peut-elle suspendre la campagne et expliquer la décision ?
Un « non » n’impose pas un nouveau CRM. Le correctif peut être un champ, une synchronisation, une exclusion par défaut, une information plus claire ou une validation avant activation.
Ne compensez pas une règle inconnue par davantage d’automatisation.
6. Quand suspendre et faire intervenir un spécialiste
Suspendez l’activation et demandez une analyse qualifiée lorsque :
- la base ou l’exception juridique reste discutée ;
- plusieurs pays ou régimes sectoriels sont concernés ;
- des données sensibles, des mineurs ou des personnes vulnérables entrent dans le workflow ;
- l’enrichissement ou le scraping rend la provenance incertaine ;
- le fournisseur réutilise les données ou les signaux pour ses propres finalités ;
- le scoring, le profilage ou une décision automatisée produit un effet important ;
- le suivi individuel est nécessaire mais son cadre n’est pas établi ;
- personne ne peut démontrer l’information, le choix ou la prise en compte de l’opposition.
IZZY peut cartographier la collecte, les champs, les déclencheurs, les prestataires, les preuves et les chemins d’arrêt. Un DPO, un juriste ou un spécialiste sectoriel doit conserver la décision juridique finale lorsque le contexte l’exige.
Conclusion : automatiser une décision, pas une ambiguïté
Votre CRM doit savoir pourquoi un message part, quelle preuve soutient la décision et quel événement doit l’arrêter.
Commencez avec une source, une audience et une séquence. Classez les messages, reliez les preuves, testez l’opposition et inspectez les prestataires. Si la règle reste inconnue, n’envoyez pas automatiquement.
L’automatisation devient utile lorsqu’elle accélère une décision explicite. Sinon, elle accélère seulement une dette invisible.
Apportez une campagne. Nous suivrons le chemin complet.
Apportez une source de leads, les champs CRM, les messages, l’automatisation, la désinscription et le suivi. En 30 minutes, nous pouvons donner une lecture bornée : pilote possible, correction ciblée, analyse spécialisée ou automatisation prématurée.
Découvrez Smart Lead Conversion, la version produit de ce travail. Nous ne promettons ni conformité ni hausse de conversion à partir d’un appel.
Si vos visiteurs ne deviennent jamais des demandes exploitables, commencez par le diagnostic du parcours d’acquisition. Si l’IA prend des décisions dans le workflow, utilisez la checklist de gouvernance IA du pilote à la production.
Questions fréquentes
Pas sans conditions. La CNIL ne le demande pas systématiquement si la sollicitation concerne l’activité professionnelle, que la personne est informée de l’origine et de la finalité, et qu’elle peut s’opposer simplement. Vérifiez toujours le contexte et le canal.
Non. Lorsqu’il est requis, le consentement doit être libre, spécifique, éclairé et univoque. Reliez le choix à une finalité, au texte présenté, à une action positive et à une preuve. Une case précochée ne suffit pas.
Un message nécessaire au service demandé ne suit pas le même régime qu’une prospection. S’il contient une promotion significative, il peut être requalifié. Séparez les contenus et faites valider les cas ambigus.
Non. La CNIL distingue des finalités nécessitant le consentement et des exemptions encadrées. L’autorisation d’envoyer ne vaut pas automatiquement autorisation de mesurer l’ouverture individuelle.
Leur visibilité ne les rend pas librement réutilisables. Documentez source, attentes raisonnables, information, canal, finalité et mécanisme d’opposition ou de consentement.
Sources officielles
- CNIL - Communications électroniques aux prospects et clients, 10 juin 2026
- CNIL - Prospection par email, SMS-MMS et automate d’appel, 10 juin 2026
- CNIL - Utiliser une liste repoussoir, 10 juin 2026
- CNIL - Recommandation relative aux pixels de suivi, adoptée le 12 mars 2026
- CNIL - Réutilisation des données publiquement accessibles
- France Num - Prospection commerciale et RGPD par canal, 12 mars 2026
- CEPD - Le consentement au titre du RGPD, synthèse 2026
- Règlement général sur la protection des données - texte officiel
Sources et liens contrôlés le 22 juillet 2026. Cet article fournit des informations opérationnelles générales. Il ne constitue pas un conseil juridique, une analyse de conformité de votre organisation ni une prévision de résultats commerciaux.