CNMC · SIDRoute · Conformité SMS en Espagne

Réglementation des SMS sortants en Espagne en 2026

Guide de conformité pour les SMS commerciaux, la validation des expéditeurs numériques, le registre des alias de la CNMC, les expéditeurs étrangers, les obligations des fournisseurs et la date de déploiement final du 15 septembre 2026.

1. Synthèse exécutive pour 2026

Le cadre de conformité des SMS sortants en Espagne comporte désormais deux niveaux qui doivent être traités ensemble. Le premier est le régime existant des communications commerciales : consentement, droits d’opposition ou de désabonnement, listes d’exclusion publicitaire et obligations de protection des données. Le second est le régime de télécommunications anti-usurpation introduit par l’arrêté TDF/149/2025, qui impose aux opérateurs et aux fournisseurs de messagerie de valider l’identifiant d’origine utilisé dans le trafic SMS, MMS et RCS.

Pour les entreprises qui utilisent des identifiants d’expéditeur alphanumériques, le changement opérationnel déterminant est le registre des alias de la CNMC. Le registre associe chaque alias à un titulaire légitime et au ou aux fournisseurs d’origine enregistrés autorisés à envoyer des messages avec cet alias. Une fois le registre pleinement déployé, les messages utilisant un alias non enregistré, ou un alias enregistré transmis par un fournisseur non autorisé, doivent être considérés comme susceptibles d’être bloqués avant d’atteindre les destinataires espagnols.

Date de déploiement final : à des fins de planification opérationnelle, ce guide retient le 15 septembre 2026 comme date de déploiement final de l’environnement du registre des alias. Les entreprises ne doivent pas attendre cette date pour agir. Elles doivent identifier les alias, valider les droits légitimes, désigner les fournisseurs, préparer la documentation et tester le routage avant que l’application en production ne devienne inévitable.

Ce document s’adresse aux entreprises, organismes publics, agrégateurs, revendeurs de SMS, plateformes SaaS et entreprises étrangères qui envoient des messages A2P ou commerciaux vers des numéros espagnols.

2. Champ d’application : messages, destinataires et parties concernées

Les règles abordées dans ce guide sont pertinentes chaque fois qu’un message est adressé à un destinataire disposant d’un numéro espagnol et utilise soit un identifiant d’expéditeur numérique, soit un alias alphanumérique. Elles s’appliquent aux campagnes commerciales, notifications transactionnelles, codes d’authentification, alertes de sécurité, rappels de rendez-vous, avis logistiques, messages d’administration publique et communications A2P équivalentes.

Le registre des alias couvre spécifiquement les SMS, MMS et RCS utilisant un identifiant d’expéditeur alphanumérique. Les règles relatives aux communications commerciales s’appliquent lorsque le message contient un contenu promotionnel ou publicitaire, que l’expéditeur soit numérique ou alphanumérique.

Les parties concernées comprennent :

Les messages adressés à des numéros non espagnols ne relèvent pas du registre espagnol des alias au seul motif que l’expéditeur est espagnol. Ces messages doivent être évalués au regard des règles du pays de destination.

3. Règles applicables aux SMS commerciaux : consentement, désabonnement et listes d’exclusion

Pour les SMS promotionnels, le point de départ reste le régime espagnol des communications commerciales envoyées par voie électronique. En règle générale, les SMS promotionnels ne peuvent être envoyés que lorsque le destinataire les a demandés ou expressément autorisés. Une exception limitée existe pour les clients existants lorsque l’expéditeur a obtenu licitement les coordonnées et que le message concerne ses propres produits ou services similaires à ceux déjà contractés.

Chaque SMS commercial doit inclure ou donner accès à un mécanisme de désabonnement simple et gratuit. Dès que le destinataire s’oppose ou retire son consentement, l’expéditeur doit cesser l’envoi de SMS promotionnels à ce numéro pour la finalité concernée.

Les règles de protection des données s’appliquent également, car un numéro mobile lié à une personne physique constitue une donnée personnelle. L’expéditeur doit pouvoir justifier la base juridique du traitement, fournir des informations transparentes, respecter la minimisation des données, conserver la preuve du consentement lorsque celui-ci est utilisé et documenter les suppressions ou désabonnements.

Avant les campagnes promotionnelles, les expéditeurs doivent confronter les listes de destinataires aux mécanismes d’exclusion publicitaire applicables, notamment la liste Robinson et tout autre système d’exclusion valable pour la campagne. Un numéro figurant sur une liste d’exclusion ne doit pas être contacté à des fins publicitaires, sauf si l’expéditeur peut invoquer une exception valable, telle qu’une relation client en cours ou un consentement spécifique ultérieur.

Ces exigences juridiques liées au marketing sont indépendantes du registre des alias. Un message peut disposer d’un consentement valide et néanmoins être bloqué si l’identifiant d’expéditeur ne respecte pas les règles de télécommunications. Inversement, un alias enregistré n’autorise pas le marketing non sollicité.

4. Identifiants d’expéditeur numériques et règles CLI déjà en vigueur

L’arrêté TDF/149/2025 a renforcé les contrôles sur l’identifiant d’expéditeur affiché dans les communications. Pour les SMS avec identifiants d’expéditeur numériques, la question de conformité pertinente est de savoir si le numéro est valide, attribué et utilisé légitimement dans le contexte du message.

Les opérateurs doivent bloquer les messages dont l’identifiant d’expéditeur est vide, invalide ou anormal. Cela inclut les numéros qui ne respectent pas le format du plan national de numérotation et les numéros qui n’ont pas été attribués à un opérateur ou à un utilisateur final. Un numéro ayant l’apparence d’un numéro espagnol mais qui n’est pas réellement attribué ne doit pas être utilisé comme identifiant d’expéditeur.

Le trafic international nécessite une attention particulière. Les SMS émis hors d’Espagne qui semblent provenir d’une numérotation espagnole doivent être validés comme légitimes. La logique anti-usurpation vise à empêcher l’utilisation de routes étrangères pour simuler une origine locale espagnole. Les véritables cas d’itinérance sont traités différemment, mais le trafic A2P ordinaire depuis l’étranger ne doit pas utiliser un faux numéro d’expéditeur espagnol.

La règle pratique pour les entreprises est simple : ne pas improviser des identifiants d’expéditeur numériques. Il faut utiliser des numéros attribués, documentés et techniquement compatibles avec le modèle de routage du fournisseur. Lorsqu’un alias est préférable, il faut utiliser le processus du registre des alias plutôt qu’un contournement numérique non autorisé.

5. Calendrier 2026 et déploiement final du 15 septembre

Le calendrier opérationnel 2026 doit être géré comme un programme de déploiement, et non comme un événement juridique ponctuel. Le jalon réglementaire antérieur relatif aux contrôles d’alias doit être lu avec le calendrier pratique de déploiement du registre. Pour la planification de production, la date la plus importante dans ce guide est le 15 septembre 2026, date de déploiement final spécifiée pour le déploiement du registre des alias.

Date / période Signification opérationnelle Action recommandée
Avant l’été 2026 Phase d’inventaire et de préparation. Recenser chaque alias, variante de marque, fournisseur, plateforme, compte client et route utilisés pour le trafic espagnol.
Jalon de juin 2026 Les obligations d’enregistrement des alias et de blocage passent de la planification à la pertinence opérationnelle. Commencer à traiter le trafic avec alias non enregistré ou non autorisé comme à haut risque et tester l’intégration avec le registre.
Avant le 15 septembre 2026 Fenêtre finale de remédiation. Finaliser les enregistrements, autorisations des titulaires, autorisations des fournisseurs, intégration API et journaux de décision de blocage.
15 septembre 2026 Date de déploiement final de l’environnement du registre des alias. Utiliser uniquement des alias actifs enregistrés via des chaînes de fournisseurs enregistrés et autorisés.
Après le 15 septembre 2026 Conformité et supervision en régime permanent. Surveiller le trafic rejeté, mettre à jour les alias et fournisseurs, conserver les preuves et maintenir les données du registre synchronisées.

Les entreprises qui dépendent des OTP, de la banque, de la logistique, de la santé ou des notifications de service public doivent prioriser les tests. Dans ces cas d’usage, le blocage n’est pas seulement une question de conformité ; il peut affecter directement l’authentification, la livraison, la présence aux rendez-vous ou la sécurité de l’utilisateur.

6. Ce qui constitue un alias

Un alias est une chaîne alphanumérique utilisée dans le champ d’identification de l’expéditeur d’un message SMS, MMS ou RCS. Il indique au destinataire qui semble envoyer le message, mais ce n’est pas un numéro de téléphone et il ne peut généralement pas être utilisé comme destination de réponse.

Les exemples incluent le nom d’une banque, une marque de distribution, l’abréviation d’un organisme public, une marque logistique, le nom d’un service d’authentification ou le nom d’une plateforme utilisée pour envoyer des codes de vérification. Le risque traité par le registre est que, sans validation, un expéditeur frauduleux puisse utiliser une marque reconnaissable comme identifiant d’expéditeur et tromper l’utilisateur.

Le registre ne transforme pas l’alias en ressource de numérotation. Il s’agit d’un mécanisme de validation et d’autorisation de l’identité de l’expéditeur dans la chaîne de messagerie.

7. Qui doit enregistrer un alias

L’alias doit être enregistré par l’entité qui détient légitimement le droit de l’utiliser, ou pour son compte. Ce titulaire peut être une entreprise, une autorité publique, un professionnel, une fondation ou une entité équivalente intervenant sur le marché.

L’enregistrement peut être demandé par :

Lorsque la demande est soumise par un fournisseur ou un tiers, le titulaire ou son représentant doit approuver l’action. Cela empêche une plateforme, une agence ou un fournisseur de s’approprier un alias de marque sans le consentement du titulaire.

Il n’existe aucun avantage pratique de conformité à n’enregistrer que le nom de marque « principal » si les campagnes utilisent réellement des variantes. Les variations de casse, d’espaces, de ponctuation et d’orthographe peuvent être traitées comme des alias différents. Chaque forme opérationnelle d’expéditeur doit être examinée et enregistrée si elle sera utilisée.

9. Règles de format pour les alias SMS et MMS

Pour les SMS et MMS, l’alias doit être préparé selon le format technique accepté par le registre et par les réseaux de messagerie. Les règles opérationnelles les plus importantes sont :

Les alias génériques, confus, offensants, trompeurs ou susceptibles d’usurper l’identité d’un tiers peuvent être rejetés ou contestés ultérieurement. Parmi les exemples d’alias risqués figurent des termes génériques tels que Banque, Message, Urgent ou Sécurité lorsqu’ils n’identifient pas clairement l’expéditeur réel.

10. Alias d’expéditeur RCS

Le RCS est inclus dans le cadre du registre des alias, mais il possède ses propres caractéristiques d’identité et de présentation de marque. Un alias RCS doit identifier clairement le titulaire et ne doit pas être conçu d’une manière susceptible de créer une confusion avec une autre entreprise, autorité publique ou service.

Pour le RCS, l’analyse de conformité doit inclure non seulement le texte du nom de l’expéditeur, mais aussi le profil de marque plus large présenté aux utilisateurs. L’alias, le nom de marque, le statut de vérification, le logo, la couleur et le contexte du message doivent être cohérents avec les droits légitimes du titulaire et les informations enregistrées.

Les entreprises utilisant à la fois SMS et RCS doivent aligner leur portefeuille d’alias. Un nom utilisé en toute sécurité dans un canal peut néanmoins nécessiter une validation opérationnelle distincte dans l’autre.

11. Données requises pour l’enregistrement d’un alias

Avant de commencer l’enregistrement, le titulaire et le fournisseur doivent préparer un dossier de données complet. Au minimum, le dossier doit inclure :

Lorsque plusieurs alias appartiennent au même titulaire, les informations générales du titulaire peuvent être réutilisées, mais chaque alias doit disposer de sa propre forme exacte d’expéditeur, justification du lien, autorisation du fournisseur et statut opérationnel.

12. Processus d’enregistrement et autorisation du titulaire

Le processus standard d’enregistrement devrait fonctionner via le siège électronique de la CNMC et la procédure de gestion du registre des alias. Le demandeur s’identifie avec un certificat numérique valide, soumet les données du titulaire et de l’alias, sélectionne ou identifie le fournisseur d’origine enregistré, ajoute les tiers le cas échéant et soumet la déclaration responsable ou les pièces justificatives.

Si l’action n’est pas réalisée directement par le titulaire, le titulaire ou son représentant doit l’approuver. La même logique d’approbation doit s’appliquer aux modifications substantielles, comme l’ajout d’un fournisseur, le changement d’opérateurs tiers, la modification des données d’alias, la réactivation d’un alias ou l’annulation d’un alias.

D’un point de vue opérationnel, les entreprises doivent attribuer une responsabilité interne sur le processus. L’équipe juridique peut détenir les preuves, l’équipe marketing peut connaître les marques, l’équipe informatique peut connaître les identifiants d’expéditeur réellement utilisés, et le fournisseur de messagerie peut contrôler les routes. L’enregistrement échoue ou devient incomplet lorsque ces visions ne sont pas rapprochées.

13. Fournisseurs d’origine enregistrés et tiers autorisés

Chaque alias doit avoir au moins un fournisseur d’origine enregistré autorisé par le titulaire. Ce fournisseur est le premier fournisseur enregistré dans la chaîne de messagerie autorisé à envoyer et transmettre du trafic en utilisant l’alias.

Un titulaire peut autoriser plusieurs fournisseurs d’origine. C’est important pour la redondance, les plateformes multi-pays, les marques de groupe, l’authentification bancaire, la segmentation des campagnes ou la migration d’un fournisseur SMS vers un autre. Si le registre ne mentionne qu’un seul fournisseur autorisé, le trafic utilisant le même alias depuis un autre fournisseur doit être considéré comme susceptible d’échouer à la validation.

La notion de tiers est distincte. Un tiers peut gérer ou exploiter opérationnellement l’alias pour le compte du titulaire sans être le fournisseur d’origine enregistré. Les exemples incluent les plateformes CRM, agences de marketing, applications SaaS, filiales de groupe, franchises et plateformes de services d’authentification. Ces parties doivent être identifiées et autorisées lorsque le processus du registre l’exige, mais le titulaire demeure responsable de l’utilisation légitime de l’alias.

14. Obligations des fournisseurs et logique de blocage

Les obligations des fournisseurs varient selon leur rôle dans la chaîne : origine, transit ou terminaison. Le principe commun est que le registre devient la source de référence pour décider si un message avec alias peut circuler.

Un fournisseur d’origine enregistré doit bloquer ou rejeter les messages lorsque l’alias n’est pas enregistré, est inactif, n’est pas lié au titulaire, n’est pas autorisé pour ce fournisseur ou est envoyé par un tiers non autorisé. Il doit également envoyer le trafic avec alias uniquement à d’autres fournisseurs enregistrés capables de poursuivre légalement la chaîne.

Un fournisseur de transit doit bloquer les messages avec des alias non enregistrés, les messages reçus de fournisseurs non enregistrés ou les messages qui ne peuvent pas continuer à travers une chaîne de fournisseurs enregistrés. Le transit n’est pas un simple rôle de passage neutre lorsque le trafic porte un alias réglementé.

Un fournisseur de terminaison doit bloquer le trafic avec alias qui échoue à la validation du registre, y compris les alias non enregistrés, le trafic reçu de fournisseurs non enregistrés et les alias d’entreprises étrangères arrivant par des interfaces internationales lorsqu’aucune exception applicable n’existe.

Chaque décision d’autorisation ou de blocage doit être traçable. Un système conforme doit enregistrer au minimum l’alias, le pays du destinataire, le fournisseur précédent, le fournisseur suivant, le statut d’enregistrement, le statut d’autorisation, la route, l’horodatage et, le cas échéant, le motif de blocage.

15. Trafic international, itinérance et remplacement de l’alias

Le trafic A2P international est l’une des principales zones de risque. Un message reçu de l’étranger avec un alias espagnol doit être bloqué sauf si une exception d’itinérance internationale s’applique. Un alias d’entreprise étrangère non enregistré et adressé à un numéro espagnol doit également être bloqué lorsqu’il entre par une interface internationale, sauf si l’opérateur mobile peut valider la situation d’itinérance pertinente.

Lorsqu’une exception d’itinérance s’applique et que l’abonné destinataire est en itinérance, la logique de terminaison peut autoriser la livraison avec l’alias remplacé par NO VALIDADO. Cela empêche l’alias d’être présenté comme une identité validée par le registre espagnol tout en évitant une interruption inutile du trafic d’itinérance légitime.

Les entreprises ne doivent pas concevoir leur trafic espagnol autour de l’exception d’itinérance. Pour le trafic A2P ordinaire et commercial vers des numéros espagnols, la voie correcte est l’enregistrement de l’alias et l’utilisation d’une chaîne de fournisseurs enregistrés.

16. Entreprises étrangères envoyant des SMS vers l’Espagne

Les entreprises étrangères ne sont pas exemptées des règles espagnoles relatives aux alias au seul motif qu’elles sont constituées hors d’Espagne. Si elles envoient des messages SMS, MMS ou RCS avec alias à des clients disposant de numéros espagnols, et si les destinataires relèvent du champ réglementé, l’alias doit être enregistré ou autrement reconnu par un mécanisme futur applicable.

L’entreprise étrangère doit prouver un lien légitime avec l’alias, respecter les règles de format, désigner au moins un fournisseur d’origine enregistré, identifier les représentants et les tiers le cas échéant, et utiliser une chaîne de transmission composée de fournisseurs enregistrés.

Lorsque les représentants légaux de l’entreprise étrangère ne peuvent pas obtenir ou utiliser un certificat numérique valide pour l’Espagne, l’entreprise peut devoir agir par l’intermédiaire d’un représentant autorisé disposant d’un certificat valide. L’autorisation doit être correctement signée et conservée, et le représentant doit pouvoir approuver les actions du registre pour le compte du titulaire étranger.

Du point de vue du droit du marketing, les entreprises étrangères doivent également respecter les exigences de consentement, de désabonnement et de listes d’exclusion lorsqu’elles ciblent des utilisateurs en Espagne avec des SMS promotionnels. L’enregistrement de l’alias résout la validation de l’identité de l’expéditeur ; il ne résout pas le consentement marketing.

17. Mise en œuvre technique pour les plateformes SMS, les API et SMPP

Les plateformes SMS doivent traiter les identifiants d’expéditeur comme des actifs contrôlés, et non comme des champs de texte libre. Un utilisateur, client ou sous-compte ne doit pas pouvoir saisir n’importe quel alias espagnol arbitraire et envoyer du trafic sans validation.

Les contrôles de plateforme recommandés incluent :

Pour les produits SMPP et API, le paramètre d’expéditeur doit être validé avant l’acceptation du message dans la file. Rejeter un alias invalide au moment de la soumission est opérationnellement préférable à l’acceptation du trafic puis à la découverte ultérieure de son blocage en aval.

18. Liste de contrôle pour les entreprises et organismes publics utilisant des alias

19. Liste de contrôle pour les opérateurs, agrégateurs et revendeurs de SMS

20. Exemples pratiques

Chaîne de distribution utilisant un alias de marque

Un détaillant espagnol envoie des SMS promotionnels en utilisant l’alias BrandShop. Il doit disposer d’un consentement ou d’une base valide de relation client pour le marketing, filtrer les listes d’exclusion lorsque cela est requis, enregistrer l’alias et s’assurer que son fournisseur SMS figure comme fournisseur d’origine enregistré autorisé.

Banque envoyant des OTP et des alertes de fraude

Une banque envoie des codes d’authentification en utilisant un nom de marque court. Même si les messages sont transactionnels plutôt que promotionnels, l’alias doit être enregistré. Si la banque utilise deux fournisseurs pour la redondance, les deux doivent être autorisés pour l’alias afin d’éviter un blocage lors d’un basculement.

Plateforme étrangère de commerce électronique

Une entreprise située hors d’Espagne envoie des offres aux utilisateurs espagnols en utilisant sa marque mondiale comme expéditeur. Elle doit respecter les exigences espagnoles en matière de marketing, enregistrer l’alias pour le trafic espagnol, utiliser une chaîne de fournisseurs enregistrés et éviter de simuler une origine numérique espagnole via des routes internationales non autorisées.

Plateforme SaaS envoyant pour le compte de clients

Une plateforme CRM ou d’authentification permet aux clients professionnels de choisir des identifiants d’expéditeur. La plateforme ne doit pas permettre des alias arbitraires pour l’Espagne. Elle doit associer chaque client à des alias validés, exiger une preuve d’autorisation du titulaire et router le trafic uniquement via les fournisseurs autorisés pour cet alias.

21. Matrice de conformité

Sujet Exigence juridique / opérationnelle Risque de blocage ou de sanction
SMS promotionnel sans consentement Consentement valide ou exception applicable liée à la relation client ; désabonnement clair. Sanctions relatives à la protection des données et aux communications commerciales.
Numéros dans les listes d’exclusion Filtrer les campagnes sauf si une exception valide s’applique. Réclamations et application réglementaire.
Expéditeur numérique invalide Utiliser uniquement une numérotation valide, attribuée et légitime. Blocage réseau et éventuelle application réglementaire télécom.
Alias non enregistré Enregistrer l’alias et le maintenir actif. Blocage après application du registre.
Alias enregistré via un fournisseur non autorisé Autoriser chaque fournisseur d’origine utilisé pour l’alias. Blocage malgré l’enregistrement de l’alias.
Trafic avec alias étranger vers l’Espagne Enregistrer l’alias ou utiliser un mécanisme de reconnaissance applicable, et router via des fournisseurs enregistrés. Blocage au niveau international ou de terminaison.
Identité de marque RCS S’assurer que l’identité de l’expéditeur est clairement liée au titulaire et ne trompe pas les utilisateurs. Rejet par le registre, suspension ou blocage en aval.

22. Questions fréquentes

L’enregistrement d’un alias autorise-t-il les SMS marketing ?

Non. L’enregistrement d’un alias ne traite que la validation de l’identité de l’expéditeur. Les SMS promotionnels nécessitent toujours une base juridique valide, une gestion des désabonnements et un filtrage des listes d’exclusion le cas échéant.

Chaque variation de marque nécessite-t-elle un examen séparé ?

Oui. La forme exacte de l’expéditeur compte. Les changements de casse, d’espaces, de ponctuation ou d’abréviations peuvent être traités comme des alias différents et doivent être examinés avant utilisation.

Une entreprise étrangère peut-elle enregistrer un alias ?

Oui, si elle doit envoyer des messages avec alias vers des numéros espagnols. Elle peut avoir besoin d’un représentant autorisé disposant d’un certificat valide pour l’Espagne et doit utiliser des fournisseurs enregistrés.

Que se passe-t-il si un fournisseur n’est pas autorisé pour mon alias ?

Le trafic peut être bloqué même si l’alias lui-même est enregistré. Le registre valide à la fois l’alias et la chaîne de fournisseurs.

Quelle est l’échéance clé ?

Pour la planification du déploiement, utilisez le 15 septembre 2026 comme date de déploiement final de l’environnement du registre des alias et finalisez l’enregistrement, l’autorisation, le routage et les tests avant cette date.

23. Conclusion

Le marché espagnol des SMS passe d’un modèle d’identifiant d’expéditeur fondé sur la confiance à un modèle d’identifiant vérifié. Pendant des années, les alias alphanumériques ont amélioré la reconnaissance des marques, mais ont aussi créé un important vecteur d’usurpation. Le registre des alias de la CNMC est conçu pour combler cette faille en liant les alias à des titulaires légitimes et à des chaînes de fournisseurs autorisés.

La conformité en 2026 exige donc davantage qu’un simple libellé juridique de consentement. Les entreprises doivent aligner les droits juridiques, la propriété de marque, les contrats fournisseurs, la configuration des API, le routage et les journaux opérationnels. Les organisations qui se préparent tôt réduiront le risque de blocage, protégeront les utilisateurs contre l’usurpation et préserveront la fiabilité des SMS, MMS et RCS comme canaux de communication professionnelle en Espagne.