Prospection B2B par e-mail : ce que permettent le RGPD et la CNIL

En France, vous pouvez prospecter des professionnels par e-mail sans leur consentement préalable, à trois conditions : le message est en lien avec leur activité professionnelle, ils sont informés de l’origine de leurs données et de la finalité du message, et ils peuvent s’opposer simplement aux envois suivants. Envers les particuliers, c’est l’inverse : le consentement préalable est la règle.

Ce guide détaille les textes, les cas pratiques (adresses génériques, adresses nominatives, artisans, données trouvées en ligne) et ce que doit contenir chaque message. Il s’agit d’une information générale, pas d’un conseil juridique.

La règle en un tableau

Les textes qui s’appliquent

L’article L34-5 du Code des postes et des communications électroniques

C’est le texte central, qui transpose l’article 13 de la directive européenne « vie privée et communications électroniques ». L’article L34-5 du CPCE interdit la prospection directe par courrier électronique « utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement ».

Il prévoit une exception pour les clients : des coordonnées recueillies auprès de la personne lors d’une vente ou d’une prestation peuvent servir à lui proposer des produits ou services analogues, si elle peut s’y opposer simplement, lors de la collecte puis à chaque message.

Il fixe enfin trois obligations valables « dans tous les cas » :

• indiquer des coordonnées valables pour demander l’arrêt des envois, sans autres frais que ceux de la transmission ;
• ne pas dissimuler l’identité de la personne pour le compte de laquelle le message est envoyé ;
• ne pas mentionner un objet sans rapport avec la prestation ou le service proposé.

Le RGPD

Le RGPD s’applique dès que l’adresse identifie une personne : [email protected], mais aussi l’adresse d’un artisan en nom propre. Pour la prospection, cinq articles comptent :

• Article 6 : la prospection B2B repose en général sur l’intérêt légitime de l’entreprise. Le considérant 47 précise que la prospection peut être considérée comme répondant à un intérêt légitime.
• Article 14 : quand les données ne viennent pas de la personne, il faut l’informer, notamment de la source des données, dans le mois qui suit leur obtention, ou dès la première communication si elle a lieu avant.
• Article 21 : la personne peut s’opposer à tout moment à la prospection, et ce droit doit lui être présenté clairement, au plus tard lors de la première communication.
• Article 5 : ne collecter que le nécessaire, garder des données exactes, limiter la durée de conservation.
• Article 30 : inscrire le traitement au registre des traitements.

La position de la CNIL pour le B2B

La lettre de l’article L34-5 vise toute personne physique, sans distinguer particuliers et professionnels. C’est la CNIL qui admet, pour les professionnels, un régime d’opposition plutôt que de consentement. Selon sa page sur la prospection commerciale par courrier électronique, la prospection envers des professionnels peut être fondée sur l’intérêt légitime « lorsque l’objet de la sollicitation est en rapport avec la profession de la personne démarchée ».

Sa fiche sur les communications électroniques aux prospects et clients résume les trois conditions détaillées ci-dessous.

Les trois conditions de la prospection B2B

1. Un message en rapport avec la profession du destinataire

C’est le critère le plus concret. La CNIL donne l’exemple d’un logiciel présenté au directeur informatique d’une entreprise. Quelques cas :

Plus le lien est direct, plus vous êtes en sécurité. Un message qui pourrait intéresser tout le monde n’a, par définition, pas de lien particulier avec la profession du destinataire.

2. Une personne informée de l’origine de ses données et de la finalité

Quand vous trouvez une adresse sur un site ou une fiche d’entreprise, la personne ne vous l’a pas donnée. L’article 14 du RGPD impose alors de l’informer : qui vous êtes, pourquoi vous écrivez, d’où vient son adresse, comment s’opposer, et où trouver le reste (durée de conservation, droits, base légale).

Le délai compte aussi. Selon les lignes directrices européennes sur la transparence, cette information doit arriver au plus tard lors du premier message, et en tout état de cause dans le mois qui suit l’obtention des données. Si vous constituez un fichier trois mois avant d’écrire, il faut donc informer les personnes autrement dans ce délai. Le plus simple : collecter par vagues, peu avant chaque envoi.

En pratique, beaucoup d’entreprises procèdent en deux niveaux : l’essentiel dans le message lui-même, en deux ou trois lignes, et un lien vers la politique de confidentialité pour le détail. Rédigez cette information en français pour un public français : une sanction récente, détaillée plus bas, montre que la langue compte.

Si vous recueillez l’adresse vous-même, par un formulaire ou sur un salon, l’information et la possibilité de s’opposer interviennent dès la collecte. La CNIL précise que ce droit d’opposition peut être recueilli au moyen d’une case à cocher.

3. Une opposition simple et gratuite

Chaque message doit permettre de refuser les suivants par un moyen simple : un lien de désinscription ou une réponse « STOP », sans connexion à un compte ni justification. La CNIL le rappelle : chaque sollicitation doit permettre de connaître l’identité de l’organisme qui l’émet et d’exprimer, par un moyen simple, son refus de recevoir de nouvelles sollicitations.

Une fois la demande reçue, arrêtez les envois et inscrivez l’adresse dans une liste d’opposition consultée avant chaque campagne. Le RGPD impose de répondre dans les meilleurs délais, en principe dans le mois (article 12), mais rien n’oblige à attendre : appliquez la demande immédiatement.

Adresses génériques, nominatives et entrepreneurs individuels

Les adresses génériques

La CNIL le rappelle : les adresses génériques de type info@, contact@ ou commande@ concernent des personnes morales et ne sont pas soumises aux principes de consentement et d’opposition. Les obligations de l’article L34-5 valables « dans tous les cas » s’appliquent quand même : identité de l’expéditeur, coordonnées valables pour demander l’arrêt, objet en rapport avec l’offre. Et si la personne qui lit cette boîte demande à ne plus rien recevoir, respectez sa demande.

Les adresses nominatives

Une adresse comme [email protected] est une donnée personnelle, soumise au RGPD et aux trois conditions ci-dessus. C’est le cas type de la prospection B2B.

Les artisans, commerçants et micro-entrepreneurs

C’est la zone grise la plus fréquente sur le terrain. Un artisan en nom propre utilise souvent la même boîte pour son activité et pour sa vie privée, parfois chez son fournisseur d’accès (@orange.fr, @gmail.com).

Le critère le plus sûr est la qualité en laquelle vous lui écrivez. L’adresse est publiée comme contact de l’entreprise et votre message porte sur son métier : vous êtes dans une démarche B2B. Votre message pourrait intéresser n’importe quel particulier : vous basculez dans le B2C, qui exige un consentement. En cas de doute, appliquez la règle la plus stricte.

Les adresses trouvées en ligne : public ne veut pas dire libre

La plupart des fichiers B2B se construisent à partir de sources publiques : fiches d’établissement, sites d’entreprises, annuaires. La CNIL a précisé ce qu’elle attend des organismes qui réutilisent des données publiquement accessibles en ligne pour démarcher :

• ces données restent des données personnelles quand elles identifient quelqu’un, et ne peuvent pas être exploitées à l’insu des personnes ;
• l’information de l’article 14, source des données comprise, doit être donnée au plus tard lors du premier contact ;
• seules les données nécessaires doivent être collectées ;
• les conditions d’utilisation du site source comptent : la CNIL considère que la pratique n’est pas autorisée quand elles interdisent l’aspiration et la réutilisation commerciale des données.

La même page rappelle l’exigence de consentement pour la prospection électronique. Pour les professionnels, la CNIL admet par ailleurs le régime d’opposition décrit plus haut, lorsque le message est en rapport avec leur activité.

Autre source, autre règle : si vous partez du répertoire Sirene, respectez le statut de diffusion. L’article A123-96 du Code de commerce permet à un entrepreneur individuel de demander que ses données du répertoire ne soient pas utilisées par des tiers à des fins de prospection.

Pour construire un fichier qui respecte ces règles dès le départ, suivez notre guide pour créer un fichier de prospection B2B par ville et par secteur, ou celui pour extraire les entreprises de Google Maps avec leurs e-mails.

Ce que montre une sanction de 2024

En décembre 2024, la CNIL a infligé une amende de 240 000 euros à l’éditeur d’une extension de navigateur qui collectait les coordonnées professionnelles de membres d’un réseau social professionnel (voir la liste des sanctions prononcées par la CNIL). Quatre leçons pour quiconque construit un fichier B2B :

1. Respectez les choix de visibilité. Des coordonnées qu’une personne réserve à ses relations ne sont pas à la disposition de tous.
2. Fixez une durée de conservation, sans la relancer automatiquement à chaque mise à jour des données.
3. Informez tôt, et dans la langue des personnes. Une information arrivée quatre ans après le lancement du service, et rédigée en anglais, a été jugée insuffisante.
4. Sachez dire d’où vient chaque donnée. Répondre « sources publiquement accessibles » à une demande d’accès ne suffit pas quand on connaît la source précise.

Ce que doit contenir chaque e-mail de prospection

• L’identité réelle de l’expéditeur : entreprise et personne, sans dissimulation (article L34-5).
• Un objet en rapport avec l’offre, sans objet trompeur (article L34-5).
• Un moyen simple et gratuit de s’opposer : lien ou réponse (article L34-5, article 21 du RGPD).
• Dans le premier message au moins : la source de l’adresse, la finalité et un lien vers votre politique de confidentialité (article 14 du RGPD).
• Pour les gros volumes vers Gmail : un désabonnement en un clic. Google l’exige pour les messages marketing des expéditeurs qui envoient plus de 5 000 messages par jour à des comptes Gmail personnels (consignes de Google, RFC 8058).

Exemple de pied de premier message, à adapter :

Vous recevez ce message parce que votre adresse est publiée sur le site de votre entreprise et que notre offre concerne votre activité de couvreur. Expéditeur : Démo Devis, [forme sociale et adresse]. Pour ne plus recevoir nos messages, répondez « STOP » ou utilisez ce lien : [lien de désinscription]. Vos données et vos droits : [lien vers la politique de confidentialité].

Envoyez aussi à des adresses vérifiées au préalable : le RGPD demande des données exactes, et chaque rebond évité protège votre domaine. C’est le principe de l’export d’une recherche Glintscout : seules les adresses vérifiées valides y figurent.

Conserver, documenter, répondre

• Registre des traitements : la prospection y figure, avec sa finalité, ses données, ses destinataires et ses durées (article 30 du RGPD).
• Intérêt légitime documenté : notez en quelques lignes pourquoi votre prospection est légitime, en quoi elle se limite au nécessaire et pourquoi elle reste dans les attentes raisonnables des personnes démarchées.
• Durée de conservation : le référentiel de la CNIL sur la gestion des activités commerciales retient trois ans pour un prospect non client, à compter de la collecte ou de son dernier contact. Un clic sur un lien vers le produit présenté compte comme un contact ; la simple ouverture d’un e-mail, non. Au bout de ces trois ans, vous pouvez demander à la personne si elle souhaite continuer à recevoir vos messages ; sans réponse positive et explicite, supprimez ou archivez ses données.
• Liste d’opposition : gardez-la séparée du fichier, pour qu’une reconstruction du fichier ne réactive jamais une personne qui a refusé.
• Demandes des personnes : accès, effacement, opposition. Répondez dans le mois, en indiquant la source précise des données.

Ce que vous risquez

• Devant la CNIL : pour les manquements au RGPD, des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 83), ainsi que des mises en demeure et des injonctions. La CNIL reçoit aussi les plaintes relatives à l’article L34-5.
• Devant la DGCCRF : les manquements à l’article L34-5 sont passibles d’une amende administrative de 75 000 euros au plus pour une personne physique et de 375 000 euros pour une personne morale.
• Un cumul désormais encadré : dans sa décision n° 2026-1210 QPC du 25 juin 2026, le Conseil constitutionnel a déclaré contraires à la Constitution les alinéas de l’article L34-5 qui permettaient à la CNIL, à l’Arcep et à la DGCCRF de poursuivre les mêmes faits, avec une abrogation reportée au 31 octobre 2027. D’ici là, une autorité ne peut plus poursuivre une personne pour des faits déjà poursuivis devant une autre de ces autorités, ou déjà sanctionnés définitivement. Les règles de fond de la prospection, elles, ne changent pas.
• Côté délivrabilité : vos destinataires peuvent signaler vos messages comme spam dans leur messagerie, ou sur Signal Spam, la plateforme nationale de signalement dont la CNIL est membre. Google demande de rester sous 0,3 % de plaintes mesurées dans Postmaster Tools.

Check-list avant d’envoyer

1. Votre offre est-elle en rapport avec le métier de chaque destinataire du segment ?
2. Les adresses sont-elles professionnelles et vérifiées ?
3. Votre premier message dit-il qui vous êtes, pourquoi vous écrivez et d’où vient l’adresse, et part-il moins d’un mois après la collecte ?
4. Chaque message offre-t-il un moyen simple de refuser les suivants, et votre liste d’opposition est-elle appliquée ?
5. La source et la date de collecte sont-elles enregistrées, et le traitement figure-t-il au registre ?

FAQ

Faut-il un consentement pour prospecter une entreprise par e-mail ?

Pas en B2B, selon la CNIL, si le message est en rapport avec l’activité professionnelle du destinataire, s’il est informé de l’origine de ses données et de la finalité du message, et s’il peut s’opposer simplement aux envois suivants. Pour un particulier, le consentement préalable reste la règle.

Peut-on écrire à une adresse contact@ sans consentement ?

Oui. La CNIL considère que les adresses génériques (contact@, info@, commande@) sont celles de personnes morales, hors principes de consentement et d’opposition. Chaque message doit tout de même identifier l’expéditeur, offrir un moyen de refuser les envois suivants et porter un objet en rapport avec l’offre.

Un micro-entrepreneur est-il un professionnel ou un particulier ?

Tout dépend de la qualité en laquelle vous lui écrivez. À l’adresse qu’il publie pour son activité, avec un message sur son métier, vous êtes dans une démarche B2B. Pour une offre qui intéresserait n’importe quel particulier, il faut son consentement. Ses données restent, dans tous les cas, des données personnelles soumises au RGPD.

Peut-on acheter un fichier B2B et l’utiliser tel quel ?

Pas sans contrôle. La CNIL demande de s’assurer que les personnes ont été informées de la possible utilisation de leur adresse pour de la prospection et qu’elles peuvent s’y opposer. Vous devez aussi les informer, source comprise, au plus tard lors du premier contact et dans le mois qui suit l’achat, puis vérifier les adresses avant d’envoyer.

Cet article est une information générale, pas un conseil juridique. Pour un cas précis, consultez un avocat ou le délégué à la protection des données de votre organisation.