À compter du 11 août 2026, une entreprise ne peut plus appeler un consommateur à des fins commerciales sans consentement préalable, sauf exception liée à l’exécution d’un contrat en cours. Beaucoup de directions commerciales envisagent donc de déplacer leurs campagnes vers le SMS. Ce changement de canal n’est pourtant pas une échappatoire : un SMS qui promeut un produit, un service ou l’image d’une marque relève déjà de la prospection électronique et obéit à un régime propre. Pour un particulier, l’accord préalable demeure la règle. Pour un professionnel, l’entreprise peut parfois invoquer son intérêt légitime, mais seulement si le message concerne son activité, si l’information a été donnée et si l’opposition reste simple.
Avant d’importer un fichier, d’activer un scénario automatisé ou de confier les envois à une plateforme, l’annonceur doit donc répondre à des questions concrètes : qui a collecté le numéro, pour quelle finalité, avec quelle mention, à quelle date, au profit de quelles marques et par quel moyen le refus sera-t-il exécuté ? La mention STOP ne répare pas un consentement absent. Le présent guide expose les règles, les preuves à conserver, les clauses à imposer au prestataire et les premières mesures à prendre lorsqu’une plainte, un signalement au 33700 ou un contrôle survient.
I. SMS commercial : faut-il le consentement du destinataire avant l’envoi ?
A. Prospection SMS auprès d’un particulier : opt-in, client existant et message non commercial
La première qualification porte sur le contenu réel du message. Un SMS constitue une prospection directe s’il vise à promouvoir, directement ou indirectement, un bien, un service ou l’image d’une entreprise. Une réduction, une invitation à découvrir une offre, un lien vers une vente privée, la relance d’un panier accompagnée d’un avantage, une proposition de rendez-vous commercial ou la mise en avant d’une nouvelle gamme entrent normalement dans cette catégorie. Le fait de rédiger le texte comme une information, une enquête ou un message de service ne change rien si sa finalité véritable est commerciale.
Le socle français est l’article L. 34-5 du code des postes et des communications électroniques. Le texte vérifié énonce : « Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. » La notion de courrier électronique couvre les SMS et MMS. Pour un destinataire particulier, l’entreprise doit donc disposer d’un accord avant le premier message publicitaire.
Le consentement doit être libre, spécifique, éclairé et univoque. Une case précochée, l’acceptation globale de conditions générales, une mention noyée dans une politique de confidentialité ou la seule communication du numéro pour suivre une livraison ne suffisent pas. La formule proposée au moment de la collecte doit identifier le canal SMS et la finalité commerciale. Lorsque plusieurs sociétés utiliseront le numéro, le périmètre des bénéficiaires doit être compréhensible. Une preuve valable associe au minimum l’identité ou l’identifiant du prospect, le numéro, la date et l’heure, le texte exact de la mention affichée, la version du formulaire, l’action positive réalisée et la source technique.
La réforme du démarchage téléphonique qui entre en application le 11 août 2026 renforce l’attention portée à cette traçabilité. L’article L. 223-1 du code de la consommation, dans sa version applicable à cette date, prévoit pour l’appel : « Il appartient au professionnel d’apporter la preuve que le consentement du consommateur a été recueilli dans les conditions prévues au deuxième alinéa. » Cette disposition concerne la voie téléphonique, tandis que le SMS reste régi notamment par l’article L. 34-5. En pratique, migrer une base d’appels vers une base SMS sans vérifier la portée de chaque consentement est dangereux : l’accord donné pour être appelé n’est pas automatiquement un accord pour recevoir des messages électroniques.
Une première exception existe lorsque la personne est déjà cliente. L’article L. 34-5 autorise la prospection électronique si les coordonnées ont été recueillies directement auprès d’elle à l’occasion d’une vente ou d’une prestation, si le message concerne des produits ou services analogues fournis par la même personne et si une opposition simple et gratuite a été offerte lors de la collecte puis dans chaque message. Les trois conditions sont cumulatives. Un achat ponctuel ne donne pas une autorisation générale pour toutes les sociétés d’un groupe. Une banque ne peut pas nécessairement utiliser un numéro fourni pour un compte courant afin de promouvoir le produit sans rapport d’un partenaire. Un commerçant qui a vendu des chaussures peut plus facilement présenter une nouvelle gamme comparable, sous réserve d’avoir informé le client et de respecter son refus.
La seconde exception vise la prospection dépourvue de nature commerciale, par exemple certains messages caritatifs. Elle ne doit pas être invoquée artificiellement lorsqu’un appel au don masque la promotion d’une prestation payante ou lorsque le SMS construit d’abord la notoriété commerciale de l’émetteur. En dehors de ces exceptions, le consentement préalable reste nécessaire.
Il faut aussi distinguer le message publicitaire du message strictement transactionnel. Le code de validation d’une connexion, l’avis de disponibilité d’une commande, le créneau de livraison ou l’alerte de sécurité répondent à l’exécution du service demandé. Dès que l’entreprise ajoute une promotion, un parrainage, un lien marchand sans rapport ou une incitation à acheter, le message peut devenir mixte. Le plus sûr consiste à séparer les flux : d’un côté les notifications indispensables au contrat, de l’autre les campagnes marketing déclenchées uniquement pour les numéros juridiquement éligibles.
Le destinataire doit pouvoir identifier l’annonceur et demander l’arrêt des envois. Le même article L. 34-5 interdit les messages sans coordonnées valables permettant de transmettre gratuitement une demande de cessation et interdit de dissimuler l’identité de la personne pour le compte de laquelle la communication est émise. La mention STOP est donc une mesure essentielle, mais elle intervient après la collecte : elle ne transforme jamais un envoi initial illicite en campagne licite.
Le mécanisme doit être réel. Si le destinataire répond STOP, le numéro doit rejoindre sans délai une liste d’opposition applicable à la marque, à la campagne et, selon l’information fournie, aux partenaires concernés. Il ne faut pas effacer purement et simplement la trace du refus : une liste repoussoir, limitée aux données nécessaires, permet d’éviter une réimportation ultérieure. L’article 226-18-1 du code pénal rappelle la gravité d’un refus ignoré : « Le fait de procéder à un traitement de données à caractère personnel concernant une personne physique malgré l’opposition de cette personne, lorsque ce traitement répond à des fins de prospection, notamment commerciale, ou lorsque cette opposition est fondée sur des motifs légitimes, est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. »
La démarche opérationnelle peut être organisée en quatre catégories. Les numéros assortis d’un consentement SMS documenté peuvent recevoir les messages prévus par ce consentement. Les clients existants peuvent être sollicités pour des produits ou services analogues si l’information et l’opposition ont été correctement gérées. Les contacts professionnels peuvent relever d’un régime distinct examiné ci-dessous. Tous les autres numéros doivent être exclus de la campagne ou faire l’objet d’une collecte régulière par un canal qui ne présuppose pas l’accord.
B. Prospection SMS B2B, fichier acheté et plateforme d’envoi : qui doit vérifier quoi ?
Pour un destinataire professionnel, la prospection électronique peut reposer sur l’intérêt légitime lorsque l’objet du message est en rapport avec sa profession. Le responsable informatique d’une société peut, par exemple, recevoir une proposition relative à un logiciel destiné à son activité, à condition d’avoir été informé et de pouvoir s’opposer simplement. Cette souplesse ne couvre pas les messages sans lien avec la fonction, les numéros personnels utilisés sans information ou les campagnes massives qui ne tiennent aucun compte de la qualité des destinataires.
Le sigle B2B n’efface pas la protection des données. Un numéro attribué à une personne identifiée ou identifiable constitue une donnée personnelle. L’entreprise doit documenter la source, la finalité, la pertinence du ciblage, l’information délivrée et la possibilité d’opposition. Elle doit aussi filtrer les indépendants et petites structures pour lesquels la frontière entre usage professionnel et personnel peut être particulièrement fine. Une base comprenant des numéros mobiles ne devient pas professionnelle parce que le fournisseur l’a étiquetée « entreprises ».
La prudence est encore plus forte avec un fichier acheté, loué ou reçu d’un partenaire. L’annonceur ne peut pas se contenter d’une garantie commerciale indiquant que la base serait « conforme RGPD ». Il doit demander l’origine des données, les dates de collecte, les formulaires et mentions utilisés, la liste ou les catégories précises des destinataires annoncés lors du consentement, les canaux autorisés, la durée de conservation, les modalités de retrait et un échantillon de journaux de preuve. Il doit être possible de relier chaque numéro à une trace exploitable.
L’article 226-18 du code pénal dispose : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » Le risque ne se limite donc pas à une mention STOP manquante. Une extraction illicite, une collecte dissimulée ou un achat de données dont l’origine ne peut pas être justifiée fragilise toute la chaîne d’exploitation.
La jurisprudence récente montre que la destination contractuelle du fichier et la preuve disponible sont déterminantes. Dans un arrêt du 26 juin 2025, la cour d’appel de Grenoble, n° 24/02148, a examiné la vente d’une base de 44 049 profils et des campagnes d’emailing. La décision intégrale relève mot pour mot : « Il est constant que le fichier de profils acheté est uniquement destiné à des fins de prospection commerciale et non de communication de newsletter et de magasin, lesquelles nécessitent le consentement du destinataire. » Cet arrêt ne dispense pas l’acheteur de ses obligations. Il illustre au contraire l’importance de définir dans le devis et le contrat le canal, la finalité, les garanties promises et le résultat attendu.
Un autre contentieux montre le danger des bases anciennes et des migrations mal maîtrisées. La cour d’appel de Dijon, le 30 avril 2026, n° 22/01177, constate qu’« une campagne publicitaire de cinq envois a été entamée à partir des « vieilles bases » de données clients, mais interrompue après le troisième, en suite de la révélation de l’erreur dans l’utilisation des bases de données. » Le changement d’outil, la fusion de deux marques ou la reprise d’un fonds de commerce sont ainsi des moments à risque. Avant de réactiver une base historique par SMS, il faut reconstruire la chaîne de provenance et vérifier si la finalité et le canal correspondent encore à l’information initiale.
La durée de conservation doit également être définie. Une base inactive ne peut pas rester indéfiniment disponible au motif qu’une campagne future serait possible. L’article 226-20 du code pénal sanctionne « Le fait de conserver des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement, par la demande d’autorisation ou d’avis, ou par la déclaration préalable adressée à la Commission nationale de l’informatique et des libertés ». L’entreprise doit fixer une durée adaptée, gérer les échéances, conserver séparément la preuve nécessaire à la défense de ses droits et purger les données qui n’ont plus de justification.
Le prestataire de routage, l’agence marketing ou le centre de contacts n’absorbe pas la responsabilité de l’annonceur. Le contrat doit répartir les rôles, interdire l’enrichissement non autorisé, lister les sous-traitants ultérieurs, encadrer l’hébergement, imposer des journaux d’envoi et de consentement, définir le traitement des STOP, prévoir l’assistance en cas de demande ou de contrôle et organiser la restitution puis la suppression des données. Une clause d’audit et une obligation d’alerte immédiate sont utiles lorsque la plateforme détecte un taux anormal de plaintes, de numéros invalides ou de désinscriptions.
Le contrat doit aussi décrire la performance promise sans la confondre avec la conformité juridique. L’article 1112-1 du code civil prévoit : « Celle des parties qui connaît une information dont l’importance est déterminante pour le consentement de l’autre doit l’en informer dès lors que, légitimement, cette dernière ignore cette information ou fait confiance à son cocontractant. » Un fournisseur qui connaît une restriction déterminante sur l’origine, le canal ou la finalité d’un fichier doit l’exposer. De son côté, l’acheteur doit formuler son besoin avec précision et demander les justificatifs avant tout envoi.
La conformité doit enfin intégrer les données professionnelles. Dans un arrêt du 10 février 2026, la cour d’appel de Rennes, n° 24/06169, énonce : « L’adresse email professionnelle au nom du salarié, outil donné par l’employeur, est une donnée personnelle, bien que les messages reçus puissent avoir un caractère professionnel. » Le raisonnement vaut pour un numéro professionnel rattaché à une personne : son contexte professionnel ne le rend pas anonyme et ne dispense pas d’une finalité légitime, d’une information et d’une gestion effective de l’opposition.
II. Campagne SMS non conforme : quelles sanctions et quelles actions immédiates ?
A. STOP ignoré, plainte CNIL ou signalement au 33700 : quels risques pour l’entreprise ?
Les SMS indésirables peuvent être signalés au 33700. Un destinataire peut aussi exercer ses droits directement auprès de l’annonceur, saisir la CNIL, contester l’usage de ses coordonnées ou produire les messages dans un litige. Chaque SMS laisse des traces simples à conserver : capture d’écran, identité affichée, numéro court ou long, date, heure, lien et réponse STOP. Pour l’entreprise, la même facilité de preuve rend fragile toute défense reposant uniquement sur une affirmation générale de conformité.
L’article L. 34-5 du code des postes et des communications électroniques permet une amende administrative pouvant atteindre 75 000 euros pour une personne physique et 375 000 euros pour une personne morale. Le texte confie à la CNIL la surveillance de la prospection directe utilisant les coordonnées d’une personne physique et prévoit aussi la recherche des manquements par les agents compétents de la consommation. D’autres fondements issus de la protection des données peuvent s’ajouter selon les faits : défaut d’information, base légale insuffisante, sécurité déficiente, conservation excessive ou incapacité à respecter l’opposition.
Le contexte du 11 août 2026 augmente également le risque de confusion entre appels et SMS. Pour le téléphone, l’article L. 242-16 du code de la consommation prévoit : « Tout manquement aux dispositions des articles L. 223-1 à L. 223-5 est passible d’une amende administrative dont le montant ne peut excéder 75 000 € pour une personne physique et 375 000 € pour une personne morale. » Une campagne multicanale mal segmentée peut donc exposer l’entreprise sur plusieurs séquences factuelles. Il faut pouvoir démontrer séparément la licéité de l’appel, du SMS, du courrier électronique et de toute transmission à un partenaire.
Lorsqu’un STOP a été reçu, le maintien des envois aggrave nettement le dossier. L’entreprise doit enregistrer la date du refus, suspendre les scénarios actifs, empêcher toute réimportation et vérifier les campagnes gérées par ses prestataires. Un désabonnement limité à une seule opération alors que le message promettait l’arrêt de toute prospection de la marque peut être insuffisant. À l’inverse, la liste repoussoir ne doit contenir que les éléments nécessaires à la reconnaissance du refus et bénéficier de mesures de sécurité adaptées.
Le contrat signé avec le routeur ou l’agence n’écarte pas l’action du destinataire ni le contrôle. Il organise toutefois les recours entre professionnels. Si le prestataire a importé un fichier non autorisé, ignoré les instructions, perdu les journaux ou omis de propager les oppositions, sa responsabilité contractuelle peut être recherchée. L’article 1231-1 du code civil énonce : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » La preuve du périmètre de la mission et des instructions devient alors centrale.
Un contrôle peut aussi révéler des difficultés plus larges : fichiers copiés d’un ancien CRM, contacts issus d’une société acquise, listes partagées entre filiales sans information, numéros récupérés lors d’un jeu-concours, consentements non horodatés, cases regroupant plusieurs canaux, STOP non rapprochés des identifiants clients ou sous-traitant hors du périmètre contractuel. Il est préférable de traiter l’incident comme un problème de chaîne de données, et pas seulement comme une erreur de texte dans le SMS.
À Paris et en Île-de-France, une société confrontée à un contrôle, à une action d’un partenaire ou à un litige commercial doit centraliser rapidement les pièces auprès de la direction commerciale, du responsable des données, de la DSI et du prestataire. Selon le fondement et les parties, le dossier peut relever d’une autorité administrative, d’une juridiction judiciaire ou du tribunal des activités économiques de Paris. La juridiction compétente dépend du demandeur, de la nature du contrat, du lieu d’exécution et des clauses valables de compétence. Une analyse en droit des affaires permet aussi de coordonner les recours contre le vendeur du fichier, l’agence et le routeur. Il faut éviter d’envoyer dans l’urgence des explications contradictoires aux destinataires, au prestataire et à l’autorité.
B. Comment auditer et sécuriser une campagne de prospection SMS avant son lancement ?
La première mesure consiste à suspendre le segment douteux, pas nécessairement toutes les communications de service. Il faut isoler les numéros concernés, conserver les journaux techniques, empêcher leur modification et identifier la campagne, le message, la marque bénéficiaire, le prestataire, le formulaire d’origine et la règle de sélection. Cette conservation probatoire ne doit pas servir de prétexte à poursuivre les envois.
Un audit utile commence par un tableau ligne par ligne ou par source homogène. Pour chaque lot, l’entreprise doit renseigner la provenance, la date de collecte, le statut particulier ou professionnel, la preuve du consentement lorsqu’il est requis, la finalité annoncée, le canal SMS, l’identité des annonceurs désignés, l’existence d’une relation client, l’analogie des produits, la date du dernier contact et le statut d’opposition. Les champs inconnus ne doivent pas être remplacés par une présomption favorable : ils justifient l’exclusion temporaire du lot.
La deuxième mesure est de tester le parcours complet. Il faut vérifier le formulaire sur ordinateur et mobile, enregistrer le texte exact affiché, contrôler qu’aucune case n’est précochée, s’assurer que le consentement est séparé de l’achat lorsque cela est nécessaire, puis suivre la remontée dans le CRM. Un test STOP doit confirmer la prise en compte rapide du refus, sa propagation aux scénarios, l’absence de nouvel envoi et l’inscription dans la liste repoussoir. Les campagnes prévues la nuit, le week-end ou via des numéros mobiles ordinaires doivent aussi être examinées au regard des règles techniques et déontologiques applicables.
La troisième mesure concerne le fichier du prestataire. L’annonceur doit obtenir des documents, non une simple attestation abstraite : échantillon de logs, modèle de collecte, historique de version, catégories de partenaires affichées, procédure de retrait, durée de conservation, rapport de déduplication et liste des sous-traitants. Si la preuve est détenue exclusivement par le vendeur du fichier, le contrat doit garantir son accès immédiat et son export dans un format compréhensible. Une clause prévoyant seulement que le vendeur « respecte le RGPD » ne répond pas à la question essentielle : quelle preuve pourra être produite pour ce numéro précis ?
La quatrième mesure porte sur le message. Le nom commercial doit être identifiable. L’objet doit correspondre à la finalité annoncée. Le mécanisme STOP doit fonctionner sans coût autre que celui de la transmission normale et sans imposer une connexion complexe. Le lien doit conduire vers un domaine contrôlé, avec une information cohérente sur l’usage des données. Les messages trompeurs, faussement urgents ou imitant une notification transactionnelle augmentent les risques de qualification défavorable et de plainte.
La cinquième mesure consiste à organiser les responsabilités internes. La direction commerciale décide du ciblage ; le référent données vérifie le fondement et l’information ; la DSI sécurise les flux et les journaux ; le service achats contrôle le prestataire ; la direction juridique valide les clauses, les durées et le protocole d’incident. Une fiche d’autorisation de campagne signée avant l’envoi peut réunir le volume, la source, la base juridique, le modèle de message, les tests STOP, la durée de conservation et l’identité du décideur.
Lorsqu’un incident est déjà survenu, les actions des premières quarante-huit heures sont les suivantes : suspendre le lot litigieux ; préserver les preuves ; exécuter toutes les oppositions ; demander au routeur les logs et l’origine du fichier ; mesurer le nombre de messages et de destinataires ; vérifier si plusieurs marques ou filiales sont concernées ; corriger les scénarios ; préparer une réponse factuelle aux demandes ; évaluer les obligations relatives à la protection des données ; puis déterminer les recours contractuels. Il ne faut ni antidater un consentement, ni recréer artificiellement un journal absent, ni demander au destinataire de confirmer après coup un accord qu’il n’avait pas donné.
La décision de poursuivre une partie de la campagne doit être documentée. Les numéros dont la preuve est complète peuvent rester dans un segment autorisé. Les clients existants doivent être limités aux offres analogues de la même entreprise. Les professionnels doivent être ciblés en fonction de leur activité et bénéficier d’une opposition effective. Les autres contacts sont gelés. Cette segmentation réduit le risque sans priver l’entreprise de tous ses canaux licites.
Enfin, le passage du téléphone au SMS doit être présenté comme un changement de régime, pas comme une simple modification technique. La question centrale n’est pas de savoir si le logiciel peut envoyer le message, mais si l’entreprise peut expliquer à un destinataire, à une autorité ou à un juge pourquoi ce numéro figurait dans ce scénario, quelle information avait été donnée et comment le refus a été respecté. Une campagne moins volumineuse mais parfaitement traçable protège mieux la relation client, la réputation de la marque et les recours contre les prestataires.
Besoin d’un avis rapide sur votre dossier.
Consultation téléphonique en 48 heures avec un avocat du cabinet.
Le cabinet analyse la source du fichier, les preuves de consentement, les contrats de routage et les mesures à prendre après un STOP, une plainte ou un contrôle.
Appelez le 06 46 60 58 22 ou utilisez le formulaire de contact du cabinet. Le cabinet accompagne les entreprises situées à Paris et en Île-de-France dans leurs dossiers de prospection commerciale et de responsabilité contractuelle.
Conclusion
L’interdiction du démarchage téléphonique sans consentement préalable à partir du 11 août 2026 ne rend pas le SMS libre. Pour un particulier, la prospection électronique exige en principe un accord propre au canal ; l’exception du client existant reste limitée aux produits ou services analogues de la même entreprise et suppose une opposition simple. Pour un professionnel, le lien avec son activité, l’information et le droit d’opposition doivent être démontrés.
Avant tout envoi, l’entreprise doit pouvoir relier chaque numéro à une source, une finalité, une règle d’éligibilité et une preuve. Le STOP doit fonctionner réellement. Les fichiers achetés et les bases anciennes exigent un contrôle renforcé, tandis que le contrat avec le routeur doit assurer l’accès aux journaux, la propagation des oppositions et les recours. En cas d’incident, la suspension ciblée, la préservation des traces et l’audit de la chaîne de données sont prioritaires. Le SMS peut rester un canal commercial efficace ; il ne devient défendable que si la preuve précède la campagne.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.