Réglementation SMS parrainage : ce que dit la loi en France

En France, un SMS de parrainage adressé à un particulier exige, en principe, le consentement préalable du destinataire. La règle découle directement de l’article L.34‑5 du Code des postes et des communications électroniques, qui impose un opt‑in vérifiable pour toute prospection directe par SMS. Vous devez aussi identifier clairement l’émetteur du message et prévoir un moyen de désinscription.

En bref:

• Le consentement préalable du destinataire est obligatoire pour toute prospection SMS adressée à un particulier, sauf cas très limité.
• La collecte, l’utilisation et la réutilisation des coordonnées des filleuls requièrent une strict contrôle pour respecter le RGPD et la réglementation CNIL.
• La génération automatique de liens d’invitation, la preuve horodatée du consentement et la gestion rigoureuse des désinscriptions minimisent les risques juridiques et améliorent la conformité.
• La conservation des données de prospection doit généralement rester inférieure à trois ans après le dernier contact utile, selon la recommandation CNIL.
• Un programme automatisé et parfaitement documenté limite les risques de sanctions en cas de contrôle et facilite la preuve du respect des règles.

Table des matières

• Quel cadre légal s’applique aux SMS et par qui ?
• Règles pratiques spécifiques au parrainage
• Comment recueillir et tracer un consentement valable
• Gérer les désinscriptions et la conservation des données
• Responsabilités contractuelles avec votre plateforme SaaS
• Risques et sanctions en cas de contrôle CNIL
• Checklist opérationnelle avant de lancer votre campagne
• Contraintes techniques liées à l’envoi massif de SMS
• Ce que recommande la DGCCRF sur le parrainage par SMS
• Sécuriser votre base de contacts dans un programme de parrainage
• Ce que change réellement une plateforme de parrainage automatisée
• Fidera pour un programme de parrainage conforme
• Sources
• Questions fréquentes

Quel cadre légal s’applique aux SMS et par qui ?

Trois textes se combinent pour encadrer vos campagnes. L’article L.34‑5 du CPCE pose le principe de l’opt‑in pour toute prospection directe adressée à des particuliers, tandis que le RGPD complète ce socle avec ses exigences de base légale, de minimisation et de finalité déterminée. La directive ePrivacy, transposée dans le droit français, vient renforcer cette exigence de consentement pour les communications électroniques non sollicitées.

La distinction B2C/B2B reste centrale dans votre analyse :

• Particuliers (B2C) : le consentement préalable est obligatoire, sans exception large.
• Professionnels (B2B) : un régime plus souple existe, fondé sur la possibilité d’opposition et parfois sur l’intérêt légitime, mais il reste encadré et ne dispense pas d’une information claire.
• Clients existants : une exception limitée s’applique pour des produits similaires, mais elle ne couvre jamais une personne qui n’a pas encore d’historique commercial avec vous, comme un filleul.

Une délibération récente de la CNIL rappelle, en s’appuyant sur la jurisprudence de la CJUE, que le consentement doit être spécifique et donné en pleine connaissance de cause, y compris lorsqu’un message arrive dans un espace privé comme une boîte de réception SMS.

Règles pratiques spécifiques au parrainage

Le parrainage crée une situation particulière : le filleul reçoit un message sans avoir lui-même sollicité votre marque. La CNIL précise que ses coordonnées ne peuvent être utilisées qu’une seule fois pour lui transmettre l’offre de parrainage, jamais au-delà sans son consentement explicite.

Trois obligations en découlent pour vos équipes :

• Informer le filleul de l’identité du parrain qui l’a recommandé et de la finalité exacte du message reçu.
• Ne jamais réutiliser son numéro pour d’autres campagnes, newsletters ou relances commerciales sans nouveau consentement.
• Limiter la collecte directe : évitez qu’un parrain saisisse lui-même le numéro du filleul dans un formulaire public sans garde-fou technique.

La meilleure pratique consiste à faire circuler un lien d’invitation unique, généré par votre plateforme et transmis par le parrain lui-même. Vous réduisez ainsi le traitement direct des coordonnées du filleul par votre entreprise, ce qui limite le risque juridique tout en respectant le principe de minimisation posé par le RGPD.

Comment recueillir et tracer un consentement valable

Un consentement mal recueilli ne vaut rien devant un contrôle. Voici la marche à suivre pour construire un parcours défendable :

1. Affichez une case dédiée, jamais pré‑cochée, mentionnant explicitement l’envoi de SMS marketing.
2. Dissociez ce consentement de l’acceptation des conditions générales de vente ou de tout acte d’achat.
3. Horodatez chaque validation et conservez l’adresse IP associée, avec une capture du parcours si possible.
4. Archivez la preuve dans votre registre des activités de traitement, accessible en cas de demande.
5. Prévoyez un retrait immédiat du consentement, aussi simple que l’action initiale.

Conseil de pro : gardez une version horodatée de chaque écran de consentement affiché aux utilisateurs, y compris ses évolutions dans le temps : c’est souvent la première pièce demandée lors d’un contrôle.

Gérer les désinscriptions et la conservation des données

Chaque SMS de prospection doit comporter un moyen de désinscription simple, et toute opposition doit être traitée sans délai. Ce principe s’applique aussi aux messages de parrainage dès qu’ils dépassent le cadre strict de l’invitation initiale.

• Constituez une liste repoussoir en stockant des empreintes numériques plutôt que les numéros en clair, une méthode que la CNIL recommande pour respecter la minimisation.
• Documentez vos durées de conservation et la justification retenue pour chaque catégorie de données.
• Purgez régulièrement les contacts inactifs ou ayant exercé leur droit d’opposition.

La CNIL retient environ 3 ans comme point de repère pour la conservation des données de prospection, à compter du dernier contact utile, selon son référentiel sur la gestion des activités commerciales. Ce repère n’est pas une obligation légale rigide, mais il constitue la référence que la CNIL applique en pratique lors de ses contrôles.

Responsabilités contractuelles avec votre plateforme SaaS

Confier votre programme de parrainage à un outil tiers ne vous décharge d’aucune obligation. Le guide de la CNIL destiné aux sous‑traitants rappelle que l’article 28 du RGPD impose un contrat écrit encadrant précisément la relation.

Ce contrat doit couvrir :

• Les finalités autorisées et l’interdiction pour le prestataire de réutiliser vos données à d’autres fins, y compris pour entraîner ses propres algorithmes.
• Les mesures de sécurité techniques et organisationnelles mises en œuvre par la plateforme.
• L’assistance aux droits des personnes concernées, en cas de demande d’accès ou de suppression.
• Les modalités de restitution ou destruction des données à la fin du contrat, avec preuve d’exécution.

Vérifiez aussi que vous pouvez obtenir des exports de logs de consentement à tout moment, sans dépendre d’une demande manuelle auprès du support.

Risques et sanctions en cas de contrôle CNIL

La CNIL peut prononcer des amendes et des mesures correctrices lorsqu’une entreprise ne respecte pas les règles de prospection, comme le montrent plusieurs délibérations de sanction rendues ces dernières années. Le montant de la sanction compte moins que la capacité de l’entreprise à prouver sa bonne foi.

En cas de contrôle, les documents suivants sont généralement demandés :

• Le registre des activités de traitement, tenu à jour et accessible.
• Les captures d’écran du parcours de consentement, avec leurs versions successives.
• Les logs d’horodatage associés à chaque inscription et désinscription.

Un audit interne régulier, complété par une analyse d’impact quand le risque le justifie, reste la meilleure prévention contre une sanction.

Checklist opérationnelle avant de lancer votre campagne

Avant tout envoi, suivez cette séquence pour sécuriser votre campagne de bout en bout :

1. Définissez précisément la finalité du message et le périmètre des données traitées.
2. Concevez un parcours de consentement clair, avec case non pré‑cochée et mention explicite.
3. Générez des liens d’invitation uniques plutôt que de collecter directement les numéros des filleuls.
4. Intégrez ce flux à votre CRM pour centraliser la traçabilité.
5. Mettez en place une liste repoussoir basée sur des empreintes.
6. Signez un contrat de sous‑traitance conforme à l’article 28 du RGPD avec votre prestataire.
7. Testez le parcours complet et archivez les preuves de consentement avant le premier envoi massif.

Vos messages doivent mentionner l’identité de l’émetteur, celle du parrain à l’origine de l’invitation, et un moyen simple de refuser de futurs envois.

Conseil de pro : automatisez un test mensuel de votre parcours de consentement pour vérifier qu’aucune modification technique n’a fait disparaître la case de consentement ou le lien de désinscription.

Contraintes techniques liées à l’envoi massif de SMS

L’envoi en masse de SMS de parrainage soulève des questions techniques que les équipes marketing sous-estiment souvent. Les opérateurs télécoms surveillent les débits d’envoi et peuvent bloquer ou ralentir un numéro expéditeur si le rythme paraît anormal ou si le taux de plaintes augmente. Une plateforme d’envoi doit donc gérer un débit raisonnable, réparti dans le temps, plutôt qu’un pic massif sur quelques minutes.

Le choix du numéro expéditeur influence aussi la délivrabilité. Un numéro court dédié ou un alphanumérique identifiable rassure le destinataire et réduit les signalements comme spam, contrairement à un numéro long générique qui ressemble davantage à une prospection de masse non identifiée.

La fréquence d’envoi vers un même contact mérite une attention particulière. Multiplier les relances de parrainage vers un même filleul, même dans le respect du consentement initial, dégrade l’expérience et augmente le risque de plainte auprès du 33700, le dispositif de signalement des SMS indésirables. Un plafond de fréquence par contact, associé à un espacement minimal entre deux messages, limite ce risque.

Enfin, la synchronisation entre votre CRM et votre outil d’envoi doit être fiable : un doublon technique peut entraîner l’envoi du même message plusieurs fois à la même personne, ce qui constitue à la fois un problème d’expérience utilisateur et un signal négatif pour votre réputation d’expéditeur auprès des opérateurs.

Ce que recommande la DGCCRF sur le parrainage par SMS

La DGCCRF surveille les pratiques commerciales trompeuses et les manquements aux règles de protection du consommateur, ce qui inclut les mécanismes de parrainage utilisant le SMS comme canal de diffusion. Son attention porte particulièrement sur la clarté des conditions de l’offre promise au parrain et au filleul.

Un message de parrainage ne doit jamais laisser croire à une récompense garantie si celle-ci est en réalité soumise à des conditions non mentionnées, comme un montant d’achat minimum ou une durée de validité limitée. La formulation du SMS doit rester honnête sur ce que le filleul recevra concrètement, sans exagération ni ambiguïté sur le mécanisme.

La DGCCRF veille aussi à ce que les opérations de parrainage ne dissimulent pas une pratique de vente déguisée ou un démarchage non consenti sous couvert de recommandation entre particuliers. Lorsque l’entreprise orchestre elle-même l’essentiel du parcours, jusqu’à rédiger le contenu du message envoyé au nom du parrain, elle reste responsable du respect des règles de prospection commerciale, y compris de l’obligation de consentement préalable du filleul.

Documenter la structure exacte de votre programme, incluant qui rédige le message et qui déclenche l’envoi, permet de répondre sereinement à une éventuelle demande d’explication de la part des autorités de contrôle.

Sécuriser votre base de contacts dans un programme de parrainage

Une base de contacts de parrainage rassemble des données sensibles à double titre : celles des parrains, déjà clients, et celles des filleuls, qui n’ont initialement donné aucun consentement direct à votre entreprise. Cette dualité impose une segmentation claire dans votre système d’information.

Limitez les accès à cette base selon le principe du besoin d’en connaître : seules les équipes strictement impliquées dans la gestion du programme doivent pouvoir consulter les coordonnées des filleuls avant leur conversion en clients. Un accès trop large multiplie les risques de réutilisation non autorisée, même involontaire.

Le chiffrement des données au repos et en transit reste une mesure de sécurité de base, tout comme la journalisation des accès à la base pour pouvoir reconstituer qui a consulté ou exporté quelles données, et à quel moment. Ces journaux deviennent précieux en cas de contrôle ou d’incident de sécurité à notifier.

Prévoyez également une procédure de purge automatisée pour les filleuls qui n’ont jamais donné suite à l’invitation après un délai raisonnable, plutôt que de laisser ces contacts s’accumuler indéfiniment dans votre CRM sans finalité active.

Ce que change réellement une plateforme de parrainage automatisée

La conformité ne se limite pas à rédiger une bonne mention légale. Elle se construit dans le flux technique lui-même, au moment où le lien d’invitation est généré, où le consentement est capté et où la commission est calculée. Automatiser ce flux réduit sensiblement les erreurs humaines qui créent la majorité des manquements observés en pratique : un numéro copié manuellement dans un fichier, une case de consentement oubliée sur une version mobile, un export de données conservé sans raison sur un poste individuel.

• Un système qui génère automatiquement le lien d’invitation évite la saisie manuelle du numéro du filleul par le parrain.
• Un horodatage systématique de chaque consentement facilite la constitution d’une preuve exploitable en cas de contrôle.
• Le versement automatisé des commissions réduit les échanges informels de données personnelles entre équipes commerciales et comptables.

Une plateforme de parrainage automatisée doit structurer l’ensemble du parcours, de l’invitation à la commission, tout en conservant la traçabilité nécessaire pour répondre à un auditeur : journaux de consentement, contrats de sous‑traitance et captures du parcours utilisateur font partie des éléments qu’une entreprise doit pouvoir produire rapidement.

— Jonathan

Fidera pour un programme de parrainage conforme

Structurer un programme de parrainage conforme demande du temps quand chaque étape, de la génération du lien d’invitation à la preuve de consentement, doit être gérée manuellement. Une plateforme de parrainage automatisée peut prendre en charge ce flux de bout en bout : lien d’invitation généré automatiquement, suivi en temps réel, versement automatique des commissions, et conformité RGPD intégrée au parcours plutôt qu’ajoutée après coup.

La plateforme s’adresse aux responsables commerciaux et marketing qui veulent transformer leurs clients en apporteurs d’affaires sans multiplier les tableurs et les échanges de numéros par e-mail. Les forfaits disponibles vont du plan Starter à 89 € par mois au plan Business à 229 € par mois et au plan Enterprise à 449 € par mois, chacun sans engagement, avec un plan Franchise pour les structures multi-établissements.

Vous pouvez consulter le détail des fonctionnalités de gestion des invitations et de traçabilité ou comparer directement les forfaits sur la page tarifs pour choisir la formule adaptée à la taille de votre équipe commerciale.

Sources

• Article L.34‑5 du Code des postes et des communications électroniques
• CNIL — Quelles sont les règles à suivre en matière de parrainage ?
• Service‑public — Que faire en cas de spam par SMS ?

Questions fréquentes

Quelles sont les conditions de parrainage à respecter légalement ?

Le filleul doit être informé de l’identité du parrain et de la finalité du message reçu, et ses coordonnées ne peuvent être utilisées qu’une seule fois pour cette offre, selon les règles de la CNIL sur le parrainage. Tout usage ultérieur exige un consentement explicite distinct.

Est-il possible de prospecter directement par SMS un particulier ?

Non, sauf consentement préalable donné selon les conditions posées par l’article L.34‑5 du Code des postes et des communications électroniques. L’acceptation de conditions générales de vente ne constitue pas ce consentement, il faut un acte positif et spécifique du destinataire.

Combien de temps peut-on conserver les numéros collectés en parrainage ?

La CNIL retient environ 3 ans comme point de repère pour les données de prospection, à compter du dernier contact utile, selon son référentiel sur les activités commerciales. Ce repère doit être documenté et justifié dans votre registre de traitement.

Quels sont les principaux inconvénients d’un programme de parrainage mal encadré ?

Un programme mal encadré expose l’entreprise à des sanctions de la CNIL en cas de collecte ou de réutilisation non conforme des données du filleul, ainsi qu’à des signalements via le dispositif 33700. Il crée aussi un risque de perte de confiance des clients dont les recommandations sont mal exploitées.

Recommandations

• Comment lancer un programme de parrainage B2B en 2026 : le guide complet en 7 étapes
• Yuccan ou Fidera : quel logiciel de parrainage choisir en 2026 ?
• Gestion client — Transformez vos clients en ambassadeurs