Consentement marketing en Tunisie : formulaires, emailing et SMS

Réponse rapide. En Tunisie, l'usage de données personnelles à des fins de publicité suppose un accord exprès et spécifique de la personne concernée. Cela découle de la loi organique n° 2004-63. En pratique : demandez une case à cocher dédiée, non pré-cochée. Conservez la date et le texte affiché, et prévoyez un moyen de se désinscrire dans chaque message.

Un cahier de numéros au comptoir, un tirage au sort qui rapporte huit cents commentaires, un fichier Excel hérité d'un ancien stagiaire. Toutes les entreprises tunisiennes possèdent ces trois choses.

Peu savent ce qu'elles ont le droit d'en faire. Cette page traite la pratique, et rien d'autre. Ce que vous demandez au moment de la collecte, ce que vous écrivez à côté de la case, ce que vous conservez.

Elle décrit un usage professionnel et ne constitue pas un avis juridique. Sur les points sensibles, signalés au fil du texte, vérifiez auprès d'un professionnel du droit. Pour le cadre d'ensemble, la collecte de contacts se replace dans la méthode d'acquisition.

Ce que « consentement » veut dire quand vous collectez un contact

Le traitement de données personnelles suppose le consentement exprès et écrit de la personne concernée, selon l'article 27 de la loi organique n° 2004-63. L'article 30 du même texte ajoute qu'un consentement donné pour une finalité ne vaut pas pour une autre, l'usage publicitaire exigeant un accord exprès et spécifique.

Le texte intégral est consultable dans la loi organique n° 2004-63 sur la protection des données à caractère personnel, consultée le 19 septembre 2026. Trois qualités s'attachent donc au consentement.

• Exprès, c'est-à-dire donné par un geste positif, jamais déduit d'un silence.
• Écrit, donc conservé sous une forme que vous pouvez produire plus tard.
• Lié à une finalité précise, énoncée au moment où la personne accepte.

La traduction pratique tient en une phrase. Une case à cocher dédiée, jamais pré-cochée, jamais fondue dans les conditions générales, accompagnée d'une phrase qui dit à quoi la personne consent.

En Tunisie. Un numéro donné pour recevoir une commande n'est pas un numéro donné pour recevoir des promotions. C'est l'exemple le plus courant de finalité dépassée, et il concerne presque toutes les boutiques du pays, y compris celles qui viennent d'ouvrir une boutique en ligne.

Sont concernées toutes les entreprises qui détiennent des numéros, des adresses électroniques ou des fiches clients. Avoir un site web ne change rien à l'obligation, et ne pas en avoir ne l'efface pas.

Le cadre légal lui-même, les obligations déclaratives et les mentions à publier relèvent des données personnelles d'un site tunisien. Cette page reste sur la pratique marketing.

Ce qu'il faut demander et comment le formuler

Demandez le minimum, dites à quoi cela sert, et séparez les consentements. Le défaut le plus fréquent est un formulaire qui réclame cinq champs et propose une seule case pour trois usages différents.

La règle de minimisation se teste avec une seule question. À quoi servira ce champ dans les six prochains mois ? Si la réponse n'est pas immédiate, le champ disparaît.

Quatre finalités distinctes se rencontrent couramment, et chacune mérite sa propre case : le traitement de la commande, la lettre d'information, les SMS promotionnels, le partage avec un partenaire.

Voici trois formulations prêtes à adapter. Elles sont volontairement courtes, parce qu'une phrase lue vaut mieux qu'un paragraphe ignoré.

Formulaire de contact. « J'accepte que [nom de l'entreprise] utilise mes coordonnées pour répondre à ma demande. »

Lettre d'information. « J'accepte de recevoir la lettre d'information de [nom de l'entreprise] par courriel. Je peux me désinscrire à tout moment grâce au lien présent dans chaque envoi. »

Collecte en boutique. « J'accepte de recevoir les offres de [nom de l'entreprise] par SMS. Pour arrêter, il me suffit de répondre STOP. »

À côté de la case, faites figurer qui collecte, pour quelle finalité, et comment se désinscrire. Le reste peut rester dans la page d'information détaillée.

Si votre clientèle lit l'arabe, la phrase de consentement doit être compréhensible dans la langue de la personne qui consent. C'est une condition pratique de validité autant qu'une marque de respect.

Pour le courriel, la double confirmation produit la preuve par elle-même. La personne s'inscrit, reçoit un message, et confirme : vous détenez alors une trace horodatée de son geste. Un guide dédié à la lettre d'information pour une PME complétera ce point.

Enregistrer et conserver la preuve du consentement

Un consentement que vous ne pouvez pas prouver n'existe pas en pratique. Cinq éléments se notent au moment de la collecte : la date et l'heure, la source, le texte exact affiché, le canal, l'identifiant de la personne.

Archivez chaque version du texte affiché avec ses dates de mise en ligne. Sans cet archivage, vous prouvez un consentement à une phrase que personne n'a jamais vue.

Ce tableau prolonge simplement celui que vous tenez déjà pour vos demandes entrantes. Les deux ne font qu'un seul fichier, avec les colonnes du journal des prospects.

À faire valider juridiquement. Aucune durée de conservation propre aux données marketing n'a été identifiée dans nos sources. La règle générale est de conserver tant que la finalité dure, donc fixez une revue annuelle et vérifiez ce point auprès de votre conseil.

Le retrait du consentement se traite comme une ligne supplémentaire, pas comme une suppression. Un contact désinscrit reste dans le fichier en tant qu'entrée de suppression, avec sa date, sinon il sera réimporté le mois suivant.

Reste la question des accès. Décidez qui peut ouvrir le fichier et pourquoi. Un tableau de contacts qui circule dans un groupe WhatsApp échappe à tout contrôle, et vous ne saurez jamais qui en détient une copie.

SMS marketing : la règle du Stop 85300 et ce que l'INT a déjà sanctionné

Le SMS commercial se pratique sous le regard du régulateur. L'Instance nationale des télécommunications a mis en place le service SMS Stop, sur le numéro court gratuit 85300. Un abonné peut s'y désinscrire des listes commerciales, et l'instance a déjà ordonné l'arrêt d'envois non sollicités.

Le service SMS Stop a été lancé le 29 novembre 2018, selon la communication du régulateur relayée par la presse. Deux institutions y étaient associées : l'Instance nationale de protection des données à caractère personnel (INPDP) et l'Organisation de défense du consommateur.

Il vise les SMS publicitaires et de prospection, pas les messages d'information liés à un service.

Le précédent de 2016 est le fait le mieux établi de cette section. En décembre 2016, l'INT a formellement ordonné à un opérateur de cesser les envois promotionnels non sollicités. Cette décision figure sur la page officielle de l'INT consacrée à cette affaire, consultée le 19 septembre 2026.

L'instance y invoquait l'article 74 du Code des télécommunications et l'article 6 du décret 2008-3026, selon lequel les données d'abonnés ne peuvent être traitées qu'à des fins de facturation.

La conséquence pour un annonceur qui achète du routage SMS est directe. L'obligation ne disparaît pas parce qu'un prestataire exécute l'envoi. Demandez-lui par écrit comment il gère les désinscriptions et si votre liste a été vérifiée.

Un SMS marketing tenable contient quatre éléments :

• Un expéditeur identifiable, nom d'entreprise et non code anonyme.
• Une finalité à laquelle la personne a effectivement consenti.
• Un moyen d'arrêter, mention STOP ou équivalent.
• Un contenu conforme à ce qui a été annoncé lors de la collecte.

Ce que nos sources ne disent pas. Aucune règle de l'INT sur les heures d'envoi n'a été identifiée dans nos recherches. Nous ne pouvons donc affirmer ni qu'il en existe une, ni le contraire.

N'achetez jamais une liste de numéros. Deux raisons pratiques suffisent : aucun consentement prouvable, et aucune réponse possible à la personne qui demandera d'où vient son numéro. Avant d'ouvrir ce canal, fixez les indicateurs à suivre pour un nouveau point de collecte.

Emailing : ce qui rend une liste légale et lisible

Une liste tenable remplit trois conditions. Chaque adresse a été donnée sciemment pour cet usage, la preuve en est conservée, et on peut en sortir en un clic. Une liste achetée ou aspirée échoue aux trois.

La double confirmation est la manière la plus simple de satisfaire les deux premières conditions :

1. La personne s'inscrit via un formulaire portant une case dédiée.
2. Elle reçoit un message de confirmation à l'adresse indiquée.
3. Elle confirme en cliquant, ce qui horodate son accord.
4. Vous enregistrez cette confirmation dans les cinq colonnes de preuve.

L'argument commercial rejoint ici l'argument juridique. Une liste doublement confirmée contient moins d'adresses erronées, donc vos envois arrivent mieux et votre réputation d'expéditeur reste saine.

Chaque courriel marketing porte l'identification de l'expéditeur, l'objet réel de l'envoi et un lien de désinscription qui fonctionne, règle reprise dans l'email marketing d'une PME.

Deux pratiques sont à proscrire. Importer le répertoire d'un téléphone, d'un groupe ou d'un porte-cartes dans un outil d'envoi, et réutiliser pour un produit une liste collectée lors d'un jeu-concours.

La désinscription est une tâche opérationnelle, pas un bouton décoratif. Désignez la personne qui la traite, fixez un délai, et inscrivez le retrait dans le fichier comme une entrée de suppression.

Une précision d'honnêteté : Atelier Cadran ne vend pas de service d'emailing. Cette section n'a donc aucun produit à pousser, et les formulaires instantanés des plateformes publicitaires obéissent aux mêmes règles de consentement.

Faut-il un bandeau cookies sur un site tunisien

Aucune de nos sources n'identifie de texte tunisien imposant spécifiquement un bandeau cookies. L'obligation qui existe porte sur le consentement au traitement de données personnelles, quel que soit l'outil employé. Le bandeau devient nécessaire de fait dès que le site s'adresse aussi à des visiteurs situés en Europe.

C'est la question la plus souvent mal tranchée localement, dans les deux sens. Certains installent un bandeau et croient l'affaire réglée, d'autres n'en installent aucun et croient être hors sujet.

Deux questions distinctes se mélangent ici. Le bandeau est un outil d'interface, le consentement est une obligation de fond. On peut être irréprochable sans bandeau, et afficher un bandeau qui ne recueille rien de valable.

Quand vous en installez un, il doit faire deux choses. Permettre le refus aussi facilement que l'acceptation, et bloquer réellement les traceurs avant le choix de la personne.

Le règlement européen, nommé ici une seule fois, concerne le traitement des données de personnes situées en Europe. Il n'est pas la base légale tunisienne, et ce guide ne le développe pas.

Point à faire valider juridiquement. Cette section est celle qui appelle le plus clairement une lecture professionnelle. Vérifiez auprès d'un avocat ou d'un conseil spécialisé avant de conclure pour votre propre site.

Un guide dédié aux paramètres de suivi traitera par ailleurs la mesure des campagnes sans multiplication des traceurs.

Le pixel, les audiences et ce qu'ils changent pour le consentement

Un pixel collecte des informations sur vos visiteurs et les envoie à une plateforme publicitaire. C'est un traitement de données personnelles effectué à des fins de publicité, exactement le cas que vise l'article 30. L'installation technique relève d'un autre guide ; ici, il s'agit de ce que vous écrivez et de ce que vous demandez.

Le pixel transmet généralement les pages vues, les actions effectuées sur le site, l'appareil utilisé et des identifiants techniques. Décrivez-le en langage simple dans votre page d'information, pour que le visiteur comprenne sans lire un manuel.

« Ce site utilise des outils de mesure publicitaire de Meta et de Google. Ils enregistrent les pages consultées et les actions réalisées, afin de mesurer nos campagnes. Vous pouvez vous y opposer depuis les réglages de votre navigateur ou en nous écrivant. »

Quatre situations d'audience méritent la même vigilance :

• Audience personnalisée à partir d'un fichier client. Téléverser des contacts est un usage publicitaire de données personnelles.
• Audience similaire construite sur cette base. Même source, même question.
• Formulaire instantané rempli dans la plateforme. Le texte de consentement des formulaires instantanés de Meta est le vôtre, pas celui de la plateforme.
• Audience d'engagement construite sur vos publications. Vérifiez ce que la plateforme conserve et pour combien de temps.

Dans les deux premiers cas, conservez une copie du texte de consentement et de ses dates, comme pour n'importe quelle collecte. Les colonnes de preuve décrites plus haut suffisent.

Le point qui surprend le plus. Les articles 50 à 52 de la loi organique n° 2004-63 soumettent le transfert de données personnelles vers l'étranger à l'autorisation de l'instance compétente. Vérifiez auprès de votre conseil avant tout envoi de fichier volumineux à une plateforme.

Ce guide ne tranche pas cette question, et il ne le peut pas. Le sujet technique du pixel relève de l'installation du pixel Meta, vérification comprise.

Jeux-concours et collecte de numéros : les règles pratiques

Un jeu-concours est la façon la plus rapide de collecter des centaines de numéros, et la plus rapide de les collecter mal. Trois règles suffisent : publiez le règlement, annoncez ce que deviennent les données, et ne réutilisez pas la liste pour autre chose.

Le règlement publié contient cinq informations :

1. Qui organise le jeu, avec un nom d'entreprise identifiable.
2. Quelle période couvre la participation, dates de début et de fin.
3. Comment on participe, en une phrase sans ambiguïté.
4. Comment le gagnant est désigné et prévenu, et sous quel délai.
5. Quel est le lot exactement, sans formule vague.

La finalité des données s'annonce dans la publication elle-même. Dites ce que vous ferez des numéros après le tirage, et pendant combien de temps vous les conserverez.

L'interdiction de réutilisation est la règle la plus souvent enfreinte. Un numéro collecté pour un tirage au sort n'est pas un numéro collecté pour des promotions, sauf si la personne a aussi accepté cela, séparément.

L'article 37 de la loi n° 98-40 impose à l'annonceur d'être en mesure de justifier l'exactitude des indications qu'il diffuse. Le texte figure dans les articles de la loi n° 98-40 consacrés à la publicité commerciale, consultés le 19 septembre 2026.

Un lot que vous ne pouvez pas prouver avoir remis est une indication que vous ne pouvez pas justifier.

Ce qui pourrait changer. Un projet de loi n° 042/2024 porte sur l'organisation des activités de marketing et de promotion sur les sites électroniques et les réseaux sociaux. Il a fait l'objet d'une journée d'étude à l'ARP le 29 avril 2026, et il n'est pas adopté.

Quand un créateur de contenu anime le jeu, la mention publicitaire et le contrat relèvent du partenariat avec un créateur. L'organisateur reste responsable des données collectées.

Côté organisation, un seul formulaire ou un seul lien par jeu-concours garde la source propre dans votre journal. C'est le premier réglage que corrige la gestion des réseaux sociaux lorsqu'elle reprend des points de collecte existants.

Ce qu'il faut vérifier avant de lancer une collecte

Huit vérifications, dans cet ordre, avant que le premier contact n'entre dans votre fichier. Aucune ne demande de budget, toutes demandent une décision écrite.

1. La finalité est écrite en une phrase compréhensible par la personne concernée.
2. La case est dédiée, non pré-cochée, et séparée des conditions générales.
3. Le texte affiché est archivé avec sa date de mise en ligne.
4. Les cinq colonnes de preuve existent réellement dans votre fichier.
5. Le moyen de se désinscrire existe et une personne identifiée le traite.
6. Le prestataire SMS ou emailing a confirmé par écrit sa gestion des désinscriptions.
7. Le site indique ce que fait le pixel et comment s'y opposer.
8. Les deux points sensibles ont été soumis à un juriste, le transfert de données à l'étranger et le bandeau cookies.

Cette page décrit une pratique professionnelle et ne remplace pas un avis juridique. Sur les points signalés, vérifiez auprès d'un professionnel du droit tunisien avant de figer votre dispositif.

Quand la collecte alimente ensuite des campagnes, les contacts doivent être propres dès l'entrée.

En résumé

L'usage publicitaire de données personnelles suppose un accord exprès et spécifique, selon la loi organique n° 2004-63. Une finalité ne vaut jamais pour une autre.

Une case dédiée, non pré-cochée, et cinq colonnes de preuve suffisent à passer d'une pratique fragile à une pratique tenable. Tout le reste en découle.

Côté SMS, le service SMS Stop existe sur le numéro court gratuit 85300. Le régulateur a déjà ordonné en 2016 l'arrêt d'envois promotionnels non sollicités.

Aucune de nos sources n'identifie de texte tunisien imposant spécifiquement un bandeau cookies. L'obligation porte sur le consentement, et le bandeau devient nécessaire de fait pour un public européen.

Le transfert de fichiers à l'étranger et la question du bandeau sont les deux points à faire valider par un professionnel du droit. Le reste s'organise avec un tableur et trois phrases bien écrites.

Mettre ces règles en place demande surtout de reprendre les formulaires, les textes et le fichier une bonne fois. C'est ce que fait une boîte de communication digitale au moment de refondre les points de collecte, souvent en même temps que la conception du site.