Checklist RGPD SMS 2026 : l'audit de conformité complet en 12 points
Pourquoi auditer votre conformité maintenant
Deux évolutions récentes changent la donne pour toute entreprise qui envoie des SMS professionnels en France. D'abord, la Charte Business Messaging de l'AF2M, en vigueur depuis le 1er mars 2026, précise les horaires d'envoi, les catégories de messages, les règles d'identification de l'émetteur et le fonctionnement du dispositif de signalement 33700 — le numéro court auquel les particuliers signalent les SMS indésirables. Un volume anormal de signalements sur ce dispositif peut à lui seul déclencher un contrôle.
Ensuite, la mise à jour des fiches pratiques de la CNIL du 10 juin 2026 resserre l'interprétation des justifications habituellement invoquées par les entreprises. Trois excuses fréquentes ne suffisent plus :
🚫 « Le fichier est ancien » — l'ancienneté d'une base ne dispense pas de prouver la validité du consentement initial.
🚫 « Le prospect est un professionnel » — le statut B2B allège certaines obligations mais ne supprime pas l'exigence de consentement pour la prospection SMS.
🚫 « Le message est seulement informatif » — la CNIL regarde la finalité réelle du message, pas son étiquette : un rappel d'offre déguisé en information reste soumis aux règles marketing.
La checklist en 12 points de contrôle
Cette checklist est pensée comme un outil d'audit opérationnel, pas comme un cours de droit — pour le détail juridique de chaque règle (opt-in, mention STOP, horaires, sous-traitance), notre guide complet RGPD et SMS marketing reste la référence. Cochez chaque point pour votre propre dispositif.
Vous devez pouvoir présenter, pour n'importe quel contact, la date, la source et la formulation exacte du consentement recueilli — pas seulement affirmer qu'il existe.
« Client existant + produit analogue » et « SMS transactionnel » sont les deux seules situations dispensant d'opt-in marketing. Vérifiez qu'aucune campagne ne s'appuie sur ces exceptions par commodité plutôt que par conformité réelle.
Un opt-in doit être spécifique au SMS. Un consentement mutualisé pour « recevoir des communications de nos partenaires » ne constitue pas un opt-in SMS valide au sens de la CNIL.
Sans exception, y compris pour les contacts qui reçoivent déjà régulièrement vos messages. Vérifiez un échantillon de campagnes récentes plutôt que de vous fier à la configuration par défaut.
Sender ID personnalisé si votre opérateur le prend en charge, sinon votre nom de marque répété en début de texte. Le destinataire doit savoir qui lui écrit sans avoir à ouvrir le message pour le découvrir.
Catégorisation correcte de vos envois, règles d'émetteur respectées, et surveillance du volume de signalements sur le dispositif 33700 : un taux anormal est un signal d'alerte précoce, avant même un contrôle CNIL.
Lundi à vendredi 8h-20h, samedi 10h-19h, dimanche et jours fériés interdits. Ces plages ne s'appliquent pas aux SMS strictement transactionnels (OTP, confirmation, rappel de RDV), qui peuvent partir à toute heure.
Aucun plafond légal strict n'existe, mais une sur-sollicitation répétée augmente le taux de plaintes et de signalements 33700 — un facteur que la CNIL prend en compte pour apprécier la proportionnalité du traitement.
Finalité, base légale, catégories de données, durée de conservation : le registre interne doit couvrir vos campagnes SMS au même titre que vos autres traitements, et être présentable en cas de contrôle.
Une durée fixée sur le papier mais non appliquée techniquement n'est pas conforme. Vérifiez que la suppression effective des données a bien lieu au terme du délai annoncé, et pas seulement en théorie.
Votre plateforme d'envoi est sous-traitante au sens du RGPD : vous restez responsable de traitement. Un DPA formalise cette relation et précise l'hébergement, les mesures de sécurité et les obligations de chacun.
En cas de violation de données, vous disposez de 72h pour notifier la CNIL. Un audit efficace vérifie qu'une procédure existe déjà — qui prévenir, comment documenter, quel délai — plutôt que de l'improviser le jour où l'incident survient.
Interprétez votre score
Comptez le nombre de points sur 12 pour lesquels vous avez répondu « oui » sans hésitation.
| Score | Niveau | Action recommandée |
|---|---|---|
| 0 à 5 / 12 | Risque élevé | Priorisez les points 1, 4 et 7 (consentement, STOP, horaires) — ce sont les manquements les plus fréquemment sanctionnés. |
| 6 à 9 / 12 | Conformité partielle | Les fondamentaux sont là ; concentrez-vous sur la gouvernance (registre, DPA, procédure de notification). |
| 10 à 12 / 12 | Conforme | Maintenez un audit trimestriel pour rester aligné avec les évolutions réglementaires, comme celle de juin 2026. |
Ce que Conexteo automatise pour vous
8 points de la checklist gérés nativement par la plateforme
La conformité SMS ne devrait pas reposer uniquement sur la vigilance manuelle de votre équipe. Sur Conexteo, plusieurs points de cette checklist sont automatisés par défaut :
💡 Astuce : programmez cet audit tous les trimestres, pas seulement au lancement de votre dispositif SMS. Les fiches CNIL évoluent — la mise à jour de juin 2026 en est un bon exemple — et un dispositif conforme il y a un an ne l'est pas nécessairement resté.
Questions fréquentes
Une conformité SMS qui ne repose pas que sur la vigilance
STOP automatique, horaires bloqués, registre exportable, hébergement UE. Conexteo intègre 8 points de cette checklist nativement dans la plateforme.
Créer mon compte gratuit Parler à un expert RGPD