La CJUE clarifie l’articulation entre le RGPD et la directive ePrivacy en matière de marketing direct : l’assouplissement du soft opt-in

Dans son arrêt du 13 novembre 2025, la décision Inteligo Media, la Cour de justice de l’Union européenne (ci-après « CJUE ») s’est prononcée sur le marketing direct et plus particulièrement sur l’applicabilité du mécanisme dit du soft opt-in (ou opt-in passif). Elle a clarifié les conditions dans lesquelles le soft opt-in peut constituer une base valable pour l’envoi de communications de marketing direct non sollicitées. Nous examinons ci-dessous l’arrêt, ainsi que la manière dont la position de l’Autorité belge de protection des données (ci-après « APD ») diverge de celle de la CJUE. En Belgique, l’APD a toujours adopté une position stricte en matière de marketing direct et quant à la possibilité pour les entreprises de se prévaloir du soft opt-in. La question se pose désormais de savoir si l’APD belge devrait revoir sa recommandation stricte 01/2025 relative au marketing direct ainsi que l’approche retenue dans ses décisions antérieures. 

Le mécanisme de soft opt-in expliqué

En principe, toute communication de marketing direct électronique non sollicitée requiert le consentement préalable du destinataire (opt-in). Toutefois, l’article 13(2) de la directive ePrivacy prévoit une exception, également connue sous le nom de soft opt-in. Le soft opt-in autorise les entreprises à adresser des communications de marketing direct non sollicitées à leurs clients, pour autant que les conditions suivantes soient réunies : 

1. La communication électronique de marketing direct est adressée aux clients exis-tants de l’entreprise, dont les coordonnées électroniques ont été obtenues dans le cadre de la vente d’un produit ou d’un service ;
2. La communication porte sur la promotion de produits ou de services similaires et propres à l’entreprise ; 
3. Les clients se voient donner, lors de la collecte initiale de leurs coordonnées, la possibilité de s’opposer à leur utilisation (opt-out), et se voient offrir, dans chaque communication ultérieure, la faculté de s’y opposer (opt-out) gratuite-ment et aisément. 

En d’autres termes, lorsqu’une entreprise promeut ses propres produits ou services similaires, elle peut adresser des communications de marketing direct à ses clients sans recueillir leur consentement préalable. La mise à disposition d’un mécanisme de désinscription tant au moment de la collecte des données que dans chaque communication ultérieure constitue une exigence essentielle pour cela. En pratique, cette faculté est généralement assurée au moyen d’un lien de désinscription inséré en pied de page des courriels de marketing direct.

L’arrêt Inteligo Media confirme le soft opt-in comme base légale 

Une question préjudicielle portant sur les articles 13(1) et 13(2) de la directive ePrivacy a été soumise à la CJUE dans l’affaire Inteligo Media. La seconde question revêt une importance particulière dans le cadre du présent article. Elle visait à déterminer si les conditions de licéité du traitement prévues à l’article 6(1) du RGPD demeurent applicables lorsqu’une communication commerciale non sollicitée est envoyée par courrier électronique conformément à l’article 13(2) de la directive ePrivacy (exception du soft opt-in). Cette seconde question a permis à la CJUE de préciser l’articulation entre le RGPD et la directive ePrivacy, ainsi que les conditions dans lesquelles les entreprises peuvent valablement se prévaloir du soft opt-in. Le présent article se concentre sur cette articulation et sur les conséquences de l’arrêt Inteligo Media pour les entreprises souhaitant recourir au soft opt-in afin d’adresser des communications de marketing direct. 

La question soumise à la Cour portait plus spécifiquement sur le point de savoir si l’article 6(1) du RGPD et l’exigence d’une base légale demeure applicable lorsque les conditions du soft opt-in prévues à l’article 13(2) de la directive ePrivacy sont réunies. Bien que l’article 6 du RGPD énumère de manière exhaustive les bases légales permettant de rendre licite un traitement de données à caractère personnel, le RGPD est une lex generalis. Conformément au principe « lex specialis derogat legi generali », la règle spéciale prévaut sur la règle générale. Or, la directive ePrivacy fixe des conditions spécifiques et impose des obligations supplémentaires au responsable du traitement en matière de traitement de données à caractère personnel dans le secteur des communications électroniques. Ce principe est déjà consacré à l’article 95 du RGPD et au considérant 173 de celui-ci et a été ultérieurement clarifié par le Comité européen de la protection des données (CEPD) dans son avis 5/2019 relatif à l’articulation entre la directive ePrivacy et le RGPD. Il en résulte que, dans les situations où la directive ePrivacy « particularise » (c’est-à-dire précise) les règles du RGPD, ses dispositions spécifiques de la directive ePrivacy, en tant que lex specialis, priment sur les dispositions du RGPD, qui sont plus générales. Ce principe de longue date a été réaffirmé par la CJUE. 

En conclusion, la CJUE a jugé que le soft opt-in constitue, en lui-même, une base légale pour le traitement de données à caractère personnel dans le cadre de communications de marketing direct non sollicitées. Il n’est donc pas nécessaire de disposer d’une base légale supplémentaire au titre de l’article 6 du RGPD, telle que le consentement ou l’intérêt légitime dans le cas de marketing direct. La Cour a néanmoins souligné que le recours à cette exception suppose le respect des conditions du soft opt-in (à savoir : la collecte des coordonnées dans le cadre d’une vente de biens ou de services, la promotion de produits ou services similaires et la possibilité effective de s’opposer (opt-out) dans chaque communication). 

La position de l’Autorité belge de protection des données 

Par le passé, l’Autorité belge de protection des données (APD) semblait considérer qu’au-delà des trois conditions précitées nécessaires à un recours licite au soft opt-in, une base légale au sens de l’article 6 du RGPD devait également être identifiée. En pratique, cela signifierait que tant les conditions de l’article 13(2) de la directive ePrivacy que le consentement ou l’intérêt légitime doivent être réunies pour la collecte et le traitement de données à caractère personnel à des fins de marketing direct. 

Nous attendons encore une décision de l’APD sur ce point afin de voir comment les conditions du soft opt-in évolueront dans la jurisprudence belge. Il ne devrait toutefois s’agir que d’une question de temps avant que l’Autorité ne suive l’arrêt de la CJUE et ne revoie sa position, ainsi que sa recommandation 01/2025. Suivez de près les développements récents de la jurisprudence belge en la matière sur le blog de Timelex ! 

Points clés à retenir 

L’arrêt Inteligo Media offre aux entreprises une marge de manœuvre accrue en matière de marketing direct et consacre une approche plus réaliste dans la promotion de leurs produits et services. Dès lors que les conditions du soft opt-in sont respectées, une base légale existe pour l’envoi de communications de marketing direct aux clients existants. Dans une telle hypothèse, il ne faut pas rechercher une base légale distincte au titre de l’article 6 du RGPD, qu’il s’agisse du consentement ou de l’intérêt légitime. 

Nous pouvons accompagner l’équipe marketing de votre entreprise dans l’élaboration d’un plan de mise en conformité RGPD/ePrivacy en matière de marketing direct. Contactez nos avocats spécialisés en RGPD afin d’assurer un processus de marketing direct à la fois conforme et opérationnel.