Prospection par email en B2B : ce que la loi française autorise vraiment

La règle tient en deux lignes

Tout le monde mélange deux régimes qui n'ont rien à voir. C'est de là que vient la peur.

• Tu écris à un particulier (B2C) : il doit avoir dit oui avant que tu lui écrives. Case à cocher, non pré-cochée, choix libre. Pas de oui, pas d'email.
• Tu écris à un professionnel (B2B) : pas besoin de son accord préalable. Il doit simplement pouvoir s'opposer, facilement et gratuitement.

Ce n'est pas une interprétation d'agence. C'est la CNIL qui l'écrit, dans sa fiche mise à jour le 10 juin 2026 :

« La prospection à l'égard de professionnels peut être fondée sur l'intérêt légitime de l'organisme lorsque l'objet de la sollicitation est en rapport avec la profession de la personne démarchée. »

L'intérêt légitime, c'est du jargon RGPD pour dire une chose simple : tu as un intérêt commercial normal à démarcher, cet intérêt ne écrase pas les droits de la personne, donc tu peux y aller sans lui demander la permission d'abord. C'est l'une des six bases légales prévues par le RGPD, et c'est la tienne.

Une précision honnête, parce qu'elle circule mal. Le texte de loi lui-même, l'article L34-5 du code des postes et des communications électroniques, exige un consentement préalable pour toute « personne physique ». Un dirigeant est une personne physique. C'est la CNIL, l'autorité qui contrôle et qui sanctionne, qui admet et publie noir sur blanc le régime d'opposition pour le B2B. Tu ne t'appuies donc pas sur une faille : tu t'appuies sur la doctrine officielle du gendarme.

La condition que presque personne ne lit

Relis la phrase de la CNIL. Il y a un « lorsque » dedans, et tout se joue là : en rapport avec la profession de la personne démarchée.

Le test tient en une question. Si cette personne ouvre ton email pendant ses heures de travail, est-ce que ça relève de son métier ?

• Un logiciel de devis proposé au patron d'une boîte de plomberie : en rapport avec son métier. Tu es dans les clous.
• Une offre de mutuelle santé pour lui et sa famille, envoyée sur la même adresse pro : ça ne relève pas de son métier. Tu fais du B2C déguisé, et il te faut son consentement préalable.

Même adresse, même expéditeur, deux régimes juridiques différents. C'est l'objet du message qui tranche, pas l'adresse.

Et attention : `prenom.nom@societe.fr` identifie une personne. C'est une donnée personnelle, le RGPD s'applique en entier.

Les adresses génériques sont un cas à part

Là, la CNIL est très claire :

« Les adresses génériques de type info[@]nomsociete.fr, contact[@]nomsociete.fr ou commande[@]nomsociete.fr, qui concernent de personnes morales, ne sont pas soumises aux principes rappelés ci-dessus. »

Logique : derrière `contact@`, il n'y a pas une personne identifiée, il y a une société. Pas de donnée personnelle, pas de RGPD.

Mais ne saute pas de ta chaise. Les obligations de l'article L34-5 ci-dessous s'appliquent, elles, « dans tous les cas ».

Ce qui est obligatoire dans chaque message

L'article L34-5 pose trois interdictions qui valent pour tout message de prospection, sans exception :

• Donner des coordonnées valables pour que le destinataire puisse demander l'arrêt des envois, sans frais.
• Ne jamais dissimuler l'identité de la personne pour le compte de laquelle le message est envoyé. Ton nom, ta boîte, visibles.
• Ne jamais mettre un objet sans rapport avec la prestation proposée.

Ce dernier point mérite qu'on s'arrête. Le faux « Re : suite à notre échange » alors qu'il n'y a jamais eu d'échange, le faux « Votre facture », le faux « Question rapide » qui cache une offre : ce n'est pas du growth hacking malin, c'est expressément interdit par la loi. Et c'est exactement le genre de détail qu'un destinataire agacé signale à la CNIL.

Dis d'où tu sors son adresse

Si tu n'as pas récupéré l'adresse auprès de la personne elle-même (fichier acheté, base enrichie, annuaire, site web), l'article 14 du RGPD t'oblige à l'informer. Le délai est précis : dans un délai raisonnable, un mois maximum, ou au plus tard au moment de la première communication si tu utilises les données pour la contacter.

Traduction pour ton cold email : c'est le premier message qui doit porter l'information. Pas le troisième. Deux lignes en bas suffisent : qui tu es, pourquoi tu écris, où tu as trouvé l'adresse, et comment s'opposer.

Un stop doit être un vrai stop

Quand quelqu'un demande à ne plus recevoir tes messages, la demande doit être prise en compte durablement, dit la CNIL. Pas juste sur la campagne en cours.

En pratique, ça veut dire tenir ce que la CNIL appelle une liste repoussoir : une liste des adresses qui ont dit non, vérifiée avant chaque envoi, sur toute ta base. Sortir quelqu'un d'une séquence pour le remettre dans la suivante trois mois plus tard, c'est le manquement classique. La personne n'a rien à justifier, et ça doit être gratuit.

Le registre, oui, même à 8 salariés

Beaucoup de dirigeants croient être exemptés. L'article 30 du RGPD dispense bien les organismes de moins de 250 salariés de tenir un registre des traitements, mais l'exemption saute dès que le traitement présente un risque, porte sur des données sensibles, ou n'est pas occasionnel.

Prospecter toutes les semaines, ce n'est pas occasionnel. Donc le registre s'applique. La CNIL le dit sans détour : « cette dérogation est donc limitée à des cas très particuliers », et « en cas de doute sur l'application de cette dérogation à un traitement, la CNIL vous recommande de l'intégrer dans votre registre ».

Bonne nouvelle : elle publie un modèle de registre simplifié. C'est un tableur. Une ligne pour ton fichier prospects, et c'est fait.

Trois ans, puis tu purges

Un prospect qui n'est jamais devenu client peut être conservé trois ans à compter du dernier contact venant de lui : une demande de doc, un clic, une réponse. Passé ce délai, tu supprimes ou tu anonymises. C'est le référentiel de la CNIL sur la gestion des activités commerciales.

Ce que tu risques vraiment

Des chiffres réels, pas des menaces en l'air.

• 900 000 € contre SOLOCAL MARKETING SERVICES, le 15 mai 2025 : démarchage de prospects sans consentement valable et transmission des données à des partenaires sans base légale. Données achetées à des courtiers, plusieurs millions de personnes concernées.
• En décembre 2025, trois sociétés anonymisées ont pris 20 000 €, 20 000 € et 15 000 € pour des manquements à l'article L34-5. C'est cet ordre de grandeur qui concerne une PME, pas les millions.
• Dans son bilan publié le 9 février 2026, la CNIL annonce 83 sanctions en 2025 pour 486 839 500 € au total, dont 10 décisions portant sur la prospection commerciale.
• Au pénal, l'article R10-1 du même code punit la prospection sans consentement d'une contravention de 4e classe pour chaque communication : jusqu'à 750 € par message.

Maintenant, l'honnêteté oblige à dire ceci : je n'ai pas trouvé de sanction publique de la CNIL contre une PME pour du cold email B2B propre. Les dossiers qui tombent, ce sont des fichiers achetés à des courtiers douteux, du B2C déguisé en B2B, et des désabonnements ignorés. Si tu écris à des pros, sur leur métier, avec ton vrai nom et un lien de désinscription qui marche, tu n'es pas la cible.

Deux actualités à connaître

Le téléphone bascule le 11 août 2026. La loi du 30 juin 2025 interdit de démarcher un consommateur par téléphone sans son consentement préalable. Ça ne change rien à ton email, et rien au B2B : appeler un professionnel sur son métier reste possible sur la base de l'intérêt légitime, avec droit d'opposition.

Le Conseil constitutionnel a censuré une partie de L34-5 le 25 juin 2026 (décision 2026-1210 QPC). Ne te réjouis pas trop vite : ce ne sont pas les règles de prospection qui sautent, c'est la possibilité d'être poursuivi par trois autorités différentes (CNIL, DGCCRF, ARCEP) pour les mêmes faits. L'abrogation est repoussée au 31 octobre 2027, et les manquements restent sanctionnés par l'une d'entre elles.

Ta checklist avant d'appuyer sur envoyer

• Adresses professionnelles uniquement.
• Message en rapport direct avec le métier de la personne.
• Ton identité réelle visible, expéditeur et société.
• Un objet honnête, sans faux « Re : ».
• L'origine des données indiquée dès le premier message.
• Un moyen de s'opposer, simple et gratuit, dans chaque email.
• Une liste repoussoir vérifiée avant chaque envoi.
• Un registre des traitements à jour.
• Une purge des prospects inactifs à 3 ans.

Je ne suis pas avocat, et cet article ne remplace pas un conseil juridique sur ta situation précise. Mais si tu coches ces neuf lignes, tu es déjà plus carré que la grande majorité des boîtes qui prospectent en France aujourd'hui.

La vraie leçon est là, et elle est presque rassurante : la loi française ne t'interdit pas de démarcher des professionnels. Elle t'interdit de le faire en te cachant.

Ces règles, on les a câblées par défaut dans EasySales, notre outil de prospection B2B : ciblage sur adresses pro, mention de l'origine des données, désabonnement en un clic et opposition respectée sur toute la base.