Prospection B2B par email : ce que permet la CNIL

Ce guide décrit le cadre tel que la CNIL le présente dans ses fiches publiques. Il ne constitue pas un conseil juridique : pour une situation particulière, adressez-vous à un avocat ou à votre délégué à la protection des données.

Deux régimes : particuliers et professionnels

Pour les particuliers, la règle est simple : la prospection par courrier électronique suppose en principe leur consentement préalable. C'est le régime dit « opt-in », issu de l'article L.34-5 du Code des postes et des communications électroniques, et rappelé par la CNIL dans sa fiche Communications par voie électronique aux prospects et clients, mise à jour en juin 2026.

Pour les professionnels, la logique est différente. La CNIL indique, dans sa fiche sur la prospection commerciale par courrier électronique, que « la prospection à l'égard de professionnels peut être fondée sur l'intérêt légitime de l'organisme ». Le consentement préalable n'est donc pas systématiquement exigé. En contrepartie, trois conditions doivent être réunies.

Condition 1 : un message en rapport avec la profession

L'objet de l'email doit avoir un lien avec l'activité professionnelle de la personne contactée. L'exemple donné par la CNIL est parlant : présenter un logiciel au directeur informatique d'une entreprise. Dans sa fiche plus ancienne sur les règles d'or de la prospection par courrier électronique, la CNIL formule la même idée : l'objet de la sollicitation doit être « en rapport avec les fonctions exercées à titre professionnel ».

Concrètement, c'est le ciblage qui rend la démarche acceptable :

• un outil de gestion des notes de frais proposé à une directrice administrative et financière : le lien est évident ;
• une mission de recrutement de développeurs proposée au directeur des opérations d'une ESN : le lien est évident ;
• une offre de voyage de loisirs envoyée à la même directrice financière, sur son adresse professionnelle : le lien avec sa fonction fait défaut.

Ces exemples sont illustratifs. Le test à se poser est simple : la personne comprendrait-elle, en lisant l'email, pourquoi c'est à elle, dans sa fonction, qu'on écrit ? Si la réponse demande une justification alambiquée, la cible est mal choisie.

Condition 2 : informer la personne, y compris sur l'origine de ses données

La CNIL demande que la personne soit informée de l'origine de ses données et de la finalité du message. Quand les adresses ont été obtenues auprès de tiers, l'organisme doit s'assurer que la personne a été informée de l'utilisation possible de son adresse électronique et qu'elle peut s'y opposer.

Le RGPD va dans le même sens. Son article 14 encadre le cas où les données n'ont pas été collectées auprès de la personne elle-même : il faut notamment lui indiquer l'identité du responsable, les finalités, la base juridique et la source des données. Lorsque les données servent à communiquer avec elle, cette information doit lui être fournie au plus tard au moment de la première communication.

En pratique, le premier email de la séquence porte donc quelques lignes d'information, sobres et lisibles :

• qui écrit, et pour le compte de quelle entreprise ;
• pourquoi cette personne est contactée, en lien avec sa fonction ;
• où ses coordonnées ont été obtenues, par exemple le site de son entreprise ou une base de données professionnelle nommée ;
• comment ne plus être sollicitée, et où trouver la politique de confidentialité.

Cette transparence a un effet secondaire utile : un destinataire qui comprend d'où vient le message est moins tenté de le signaler comme spam.

Condition 3 : pouvoir s'opposer simplement, à chaque envoi

La personne doit pouvoir s'opposer, simplement et gratuitement, à la réception de nouvelles sollicitations. La CNIL précise que chaque sollicitation doit permettre au destinataire de connaître l'identité de l'émetteur et d'« exprimer, si elle le souhaite et par un moyen simple, son refus de recevoir de nouvelles sollicitations ».

Un lien de désinscription ou la consigne « répondez stop » conviennent, à condition que la demande soit réellement suivie d'effet. La CNIL recommande de tenir une liste d'opposition, parfois appelée liste repoussoir : une personne qui a refusé ne doit pas être recontactée par une autre campagne, une autre boîte ou un autre domaine du même organisme.

Côté messageries, l'exigence rejoint celle des grandes plateformes. Yahoo demande aux gros expéditeurs d'appliquer les désinscriptions sous deux jours, et Google exige pour eux une désinscription en un clic. Respecter la CNIL et respecter les messageries vont dans la même direction.

Le cas des adresses génériques

La CNIL précise que les adresses de type info@ ou contact@, qui concernent des personnes morales, ne sont pas soumises à ces principes. Cela ne dispense pas des règles de base : un message qui cache l'identité de son émetteur ou qui n'offre aucun moyen de refuser reste une mauvaise pratique, et les adresses génériques répondent rarement mieux que les adresses nominatives bien ciblées.

Les principes généraux du RGPD s'appliquent toujours

L'intérêt légitime n'est pas un blanc-seing. Il suppose de mettre en balance l'intérêt de l'entreprise qui prospecte et les attentes raisonnables de la personne contactée. Quelques réflexes en découlent :

• minimisation : ne collecter que ce qui sert à la prospection, en général le nom, la fonction, l'entreprise et l'adresse professionnelle ;
• durée de conservation : fixer une durée pour les prospects qui ne répondent pas, puis supprimer leurs données ;
• traçabilité : garder pour chaque contact la source de ses coordonnées et la date de collecte ;
• droits : répondre aux demandes d'accès, d'effacement et d'opposition.

Méfiez-vous des fichiers achetés dont personne ne peut dire comment ils ont été constitués. Si vous ne pouvez pas indiquer l'origine d'une adresse, vous ne pouvez pas remplir l'obligation d'information.

Une check-list avant d'envoyer

1. La cible est définie par des fonctions en lien direct avec votre offre.
2. Chaque contact a une source documentée.
3. Le premier email dit qui écrit, pour qui, pourquoi cette personne, et d'où viennent ses coordonnées.
4. Chaque email offre un moyen simple de refuser.
5. Les refus sont inscrits dans une liste d'opposition commune, consultée avant chaque nouvel envoi.
6. Une durée de conservation est fixée pour les prospects sans réponse.
7. Les particuliers sont exclus, y compris les adresses personnelles trouvées par hasard.

Sources

• CNIL, La prospection commerciale par courrier électronique, SMS-MMS et automate d'appel
• CNIL, Communications par voie électronique aux prospects et clients : quelles règles respecter ?
• CNIL, Les règles d'or de la prospection par courrier électronique
• Règlement (UE) 2016/679, RGPD, articles 6, 14 et 21
• Google, Consignes relatives aux expéditeurs d'e-mails ; Yahoo, Sender best practices

Articles liés