En bref:
- Un emailing conforme à la DDA et au RGPD doit s’appuyer sur une base légale vérifiée pour chaque destinataire et inclure un Document d’Entrée en Relation dès le premier contact. En cas de contrôle, il faut pouvoir fournir des preuves horodatées, des logs d’envoi, et des mentions obligatoires telles que le numéro ORIAS, la raison du contact et le lien de désinscription. La conformité exige également une organisation rigoureuse, avec des documents archivés et une traçabilité complète dans le CRM, pour éviter des sanctions ou des coûts élevés lors d’un contrôle.
Pour qu’un emailing respecte la DDA et le RGPD, une règle s’applique avant tout : n’envoyez que si vous disposez d’une base légale vérifiée pour chaque destinataire, joignez le Document d’Entrée en Relation (DER) dès le premier contact, et conservez des preuves horodatées de chaque étape.
En cas de contrôle CNIL ou ACPR, vous devrez produire :
Conseil de pro : Créez un dossier de conformité par campagne dans votre CRM dès le lancement. Rassembler ces preuves après coup, sous pression d’un contrôle, coûte dix fois plus cher en temps.
Tout email de prospection ou de conseil en assurance doit afficher :
Toute communication présentant un produit d’assurance constitue un acte de distribution au sens de la DDA. L’Académie Conformité le rappelle : l’ORIAS doit figurer dans chaque communication commerciale en ligne, y compris les emails.
Pour l’objet : « Votre protection prévoyance : les informations précontractuelles » ou « Document d’entrée en relation — [Nom du cabinet] ».
Pour un particulier, la loi est claire : l’opt-in préalable est requis. Ce consentement doit être horodaté, prouvable et librement donné. Un fichier acheté sans preuve de consentement transférable rend la campagne illicite, quelle que soit la qualité du message.
En B2B, l’intérêt légitime peut être invoqué si la prospection porte sur l’activité professionnelle du destinataire. Mais cette base légale exige une analyse documentée : pourquoi ce contact, en quoi l’offre est pertinente pour son activité, et comment son droit d’opposition est respecté. Sans cette documentation, l’intérêt légitime ne tient pas face à un contrôle.
Règle pratique : chaque email B2B doit rappeler explicitement le droit d’opposition et inclure un lien de désinscription. L’absence de ce lien constitue une infraction, même quand la base légale est solide.
Conseil de pro : Créez un champ CRM dédié à la base légale de chaque contact. Lors d’un contrôle CNIL, vous exportez ce champ en quelques clics plutôt que de reconstituer l’historique manuellement.
Les pixels de tracking et les liens cliquables qui mesurent l’ouverture d’un email sont soumis aux règles e-Privacy. Si votre outil d’emailing utilise ces technologies, vérifiez que votre notice RGPD les mentionne et que la base légale correspondante est documentée.
Formera le détail : la conformité DDA repose sur un processus répétable en quatre étapes, chacune générant ses propres preuves.
Pour le pilotage de ces processus internes, une gouvernance documentée des accès et des droits de modification est indispensable.
Conseil de pro : Activez le versioning automatique dans votre CRM ou votre outil de gestion documentaire. Un DER modifié sans historique de version est intraçable lors d’un contrôle.
Objet : Votre demande de protection prévoyance — [Nom du cabinet]
Objet : Document d’entrée en relation — [Dénomination sociale]
Conseil de pro : Intégrez ce pied de message comme signature automatique dans votre outil d’emailing pour ne jamais l’oublier.
Pour des séquences email adaptées aux cabinets patrimoniaux, ces modèles peuvent s’intégrer dans un parcours de nurturing structuré.
Le courtier reste responsable des données qu’il utilise, même achetées. Masterlead le confirme : sans preuve d’opt-in transférable, le lead est inutilisable pour une campagne B2C.
Attention : une clause de responsabilité conjointe peut s’appliquer si vous co-déterminez les finalités du traitement avec le fournisseur. Faites relire le contrat par votre DPO ou un juriste spécialisé.
Les données de santé relèvent de l’article 9 du RGPD. Leur traitement exige un consentement explicite et distinct, séparé du consentement à la prospection. Un questionnaire médical intégré dans un formulaire de lead standard ne suffit pas. Ces données doivent être isolées dans le CRM, avec des droits d’accès restreints et une traçabilité renforcée.
Règle absolue : supprimez les données de santé dès qu’elles ne sont plus nécessaires à la finalité pour laquelle elles ont été collectées. La conservation par défaut est une infraction.
Conseil de pro : Créez un espace de stockage séparé pour les questionnaires médicaux, avec accès limité aux seuls collaborateurs qui en ont besoin. Documentez chaque accès.
La DDA ne tolère pas la recommandation automatique générique : envoyer la même offre à toute une base, sans analyse individuelle, engage votre responsabilité. L’automatisation est acceptable pour le recueil des besoins et la remise du DER. La recommandation finale, elle, doit résulter d’une analyse réelle du profil du client.
| Finalité | Durée recommandée | Base légale / source |
|---|---|---|
| Recueil des besoins et DER | 5 ans après la fin du contrat | ACPR / Académie Conformité |
| IPID et documents précontractuels | 5 ans | DDA / Code des assurances |
| Contrats d’assurance vie | — | Code des assurances |
| Logs d’opt-in et preuves de consentement | 3 ans après le dernier contact | CNIL |
| Attestations de formation DDA | Durée d’immatriculation ORIAS + 5 ans | ACPR |
| Données de prospection sans suite | 3 ans maximum | CNIL |
L’ACPR attend la reconstitution intégrale du parcours de conseil, avec métadonnées complètes. Un email archivé sans en-tête ou sans horodatage peut être considéré comme non probant.
Organisation pratique : séparez la base active (contacts en cours) de l’archivage intermédiaire (contrats terminés, prospects sans suite). Les accès à l’archive doivent être restreints et journalisés.
Un guide opérationnel sur les campagnes emailing en finance détaille comment structurer ces exports dès la configuration de la campagne.
Un cabinet de gestion de patrimoine parisien utilisait des templates d’emails sans mention ORIAS, sans lien vers le DER et avec une base de données dont les opt-ins n’étaient pas documentés.
Digital Dandy a conduit un audit complet des templates existants, implémenté un envoi automatisé du DER dès le premier contact, et centralisé les preuves d’opt-in dans le CRM avec horodatage systématique. Les workflows ont été restructurés selon le schéma recueil → DER → recommandation → archivage.
Résultat opérationnel : le cabinet dispose désormais d’un dossier d’audit exportable en moins de 10 minutes, avec traçabilité complète de chaque campagne. Le risque de non-conformité lors d’un contrôle ACPR a été structurellement réduit.
Ce type d’accompagnement est documenté dans l’étude de cas du cabinet parisien.
Rédiger des emailings conformes à la DDA et au RGPD exige une base légale vérifiée par destinataire, la remise du DER dès le premier contact, et une traçabilité centralisée dans le CRM.
| Point | Détails |
|---|---|
| Base légale par destinataire | Opt-in horodaté en B2C ; intérêt légitime documenté en B2B, avec droit d’opposition rappelé. |
| DER dès le premier contact | Joindre le Document d’Entrée en Relation à l’email d’ouverture et conserver la preuve d’envoi. |
| Mentions ORIAS obligatoires | Dénomination sociale, numéro ORIAS et lien de désinscription dans chaque email sans exception. |
| Durées de conservation | 5 ans pour le recueil des besoins et les IPID ; 3 ans pour les logs d’opt-in de prospection. |
| Digital Dandy | Audit de conformité, templates personnalisés et intégration CRM pour courtiers et CGP en France. |
La plupart des cabinets traitent la conformité DDA comme une contrainte administrative à gérer en fin de campagne. C’est une erreur de séquençage qui coûte cher, et pas seulement en cas de contrôle.
Un emailing conforme, c’est d’abord un email qui arrive. Les fournisseurs de messagerie pénalisent les domaines dont les destinataires se désinscrivent massivement ou signalent les messages comme indésirables. Une base propre, avec des opt-ins réels et un lien de désinscription fonctionnel, améliore mécaniquement la délivrabilité.
Ensuite, la transparence sur l’identité et la rémunération n’est pas seulement une obligation légale. Pour un CGP ou un courtier, c’est un signal de sérieux que peu de concurrents envoient explicitement dans leurs emails. Le destinataire qui voit un numéro ORIAS et un DER joint comprend qu’il a affaire à un professionnel réglementé, pas à un démarcheur.
La vraie difficulté n’est pas de rédiger un email conforme. C’est de standardiser le processus pour que chaque collaborateur, à chaque campagne, applique les mêmes règles sans y penser. C’est là que la plupart des cabinets échouent : ils forment une fois, puis laissent les habitudes reprendre le dessus.
Vos emailings sont réglementairement exposés et vous le savez. Digital Dandy est l’agence marketing spécialisée en finance qui transforme cette contrainte en processus maîtrisé : audit de vos templates existants, rédaction de modèles conformes DDA et RGPD, intégration des workflows de preuve dans votre CRM, et formation de vos équipes aux bonnes pratiques d’envoi.
Contrairement à une agence généraliste, Digital Dandy connaît le Code des assurances, les attentes de l’ACPR et les spécificités du cycle de vente patrimonial. Résultat : des campagnes qui passent les contrôles et génèrent des leads qualifiés, sans que vous ayez à recruter un responsable conformité marketing en interne.
Démarrez par un diagnostic de votre stratégie LinkedIn et emailing pour identifier vos points de risque en moins de 5 minutes.
Pour approfondir chaque point abordé dans ce guide :
Textes de référence : Directive (UE) 2016/97 sur la distribution d’assurances (DDA), transposée en droit français dans le Code des assurances ; Règlement (UE) 2016/679 (RGPD) ; Directive e-Privacy 2002/58/CE ; recommandations ACPR disponibles sur acpr.banque-france.fr.
Ce guide constitue une information générale et ne remplace pas un conseil juridique personnalisé. Consultez un juriste spécialisé ou votre DPO pour valider vos procédures au regard de votre situation spécifique.
Le DER doit être remis dès le premier contact avec un prospect. Pour les emails suivants, un lien vers le document déjà remis suffit, à condition de pouvoir prouver la remise initiale.
Non. En B2C, le consentement préalable (opt-in) est obligatoire pour toute prospection par voie électronique. L’intérêt légitime ne s’applique qu’en B2B, sous conditions documentées.
La CNIL recommande de conserver les preuves de consentement pendant 3 ans après le dernier contact avec le prospect, et 5 ans pour les documents liés au recueil des besoins.
Uniquement si le fournisseur vous remet une preuve d’opt-in horodatée, l’URL source du formulaire et un contrat conforme à l’article 28 RGPD. Sans ces éléments, le lead est inutilisable légalement.
Oui. Digital Dandy réalise des audits de conformité DDA et RGPD sur les templates existants, propose des modèles corrigés et intègre les workflows de preuve dans votre CRM.
