Vos droits : consentement et retrait

Si une marque veut suivre si vous ouvrez ses e-mails, elle a dans la plupart des cas besoin de votre consentement au préalable. Cette page explique à quoi ce consentement doit ressembler pour être valide, et ce qui doit se passer lorsque vous le retirez.

Ce qui rend le consentement valide

Selon la définition du RGPD, que les règles ePrivacy reprennent, le consentement doit être :

• Libre — non conditionné à la réception d’un service auquel vous avez droit, et non regroupé de sorte que vous ne puissiez pas refuser le suivi séparément.
• Spécifique — rattaché à une finalité définie. « Nous pouvons traiter vos données » n’est pas spécifique ; « nous mesurons si vous ouvrez notre newsletter afin de constituer des profils d’engagement » l’est.
• Éclairé — vous devez savoir qui vous suit, à quelle fin, et comment retirer votre consentement.
• Univoque — donné par un acte positif clair. Les cases pré-cochées et le silence ne comptent pas.

Un consentement obtenu par des interfaces trompeuses (dark patterns) — un énorme bouton « Accepter » à côté d’un lien « Gérer » dissimulé — repose sur des bases fragiles.

Le retrait doit être aussi facile que le consentement

C’est le principe que la recommandation 2026 de la CNIL souligne le plus. Si donner son consentement a pris un clic, le retirer doit prendre à peu près un clic aussi. Concrètement :

• Pas de marathon de ré-authentification. Vous ne devriez pas avoir à vous connecter, à répondre à des questions de sécurité ou à « contacter le support ».
• Pas de nouvelle saisie de l’e-mail. On ne devrait jamais vous demander de taper votre adresse dans un formulaire pour vous désinscrire. Le lien personnel dans le pied de page de l’e-mail vous identifie déjà — le redemander créerait un nouveau moyen de sonder qui figure sur une liste, ce qui constitue en soi un risque pour la vie privée.
• Une action claire. Un seul clic sur le lien personnel devrait retirer le consentement.

Le retrait doit réellement fonctionner — même sur les anciens e-mails

Le retrait du consentement n’a aucun sens si les pixels déjà présents dans votre boîte de réception continuent d’appeler leur serveur. Un retrait effectif signifie que :

• Les pixels dans les e-mails déjà distribués cessent d’enregistrer les ouvertures.
• Les liens réécrits cessent d’enregistrer les clics (ou cessent d’exister).
• L’expéditeur ne se contente pas de « prendre note » de votre retrait pour les campagnes futures tout en continuant de suivre l’ancien contenu.

Y parvenir est une responsabilité côté serveur pour l’expéditeur : les points d’accès qui servent les pixels et traitent les redirections de clics doivent vérifier votre préférence actuelle et cesser de comptabiliser dès que vous avez retiré votre consentement.

Comment exercer ce droit

1. Ouvrez un e-mail récent de la marque et faites défiler jusqu’au pied de page.
2. Suivez le lien de préférences personnelles / de désabonnement. Il vous identifie de manière sécurisée — rien à taper.
3. Retirez votre consentement d’un seul clic. Cela doit prendre effet immédiatement.

Vous pouvez aussi vérifier, avant même de cliquer, si un message prend en charge une désinscription propre en un clic à l’aide de notre Vérificateur de désabonnement et d’en-têtes.

Si cela ne fonctionne pas

Si un expéditeur rend le retrait difficile, l’ignore, ou continue de suivre d’anciens courriers après votre désinscription, il s’agit d’un manquement à la conformité. Vous pouvez le signaler à l’expéditeur et, en dernier recours, saisir votre autorité nationale de protection des données (en France, la CNIL).