La prospection par email obéit au RGPD et à l'article L34-5 du Code des postes et des communications électroniques. Vers un particulier, il faut son consentement préalable, sauf s'il est déjà client pour des produits analogues. Vers un professionnel, l'intérêt légitime suffit si le message concerne sa fonction, à condition de l'informer et de lui laisser un moyen simple de s'opposer.
Quel cadre juridique pour la prospection commerciale par email ?
Deux textes s'appliquent en même temps à un email de prospection envoyé en France. Le premier est le règlement général sur la protection des données (RGPD), qui encadre tout traitement de données personnelles : une adresse email nominative, même professionnelle (prenom.nom@societe.fr), est une donnée personnelle. Le second est l'article L34-5 du Code des postes et des communications électroniques, qui transpose la directive européenne ePrivacy et fixe les règles propres à la prospection directe par voie électronique : courriel, SMS, automate d'appel.
La Commission nationale de l'informatique et des libertés (CNIL) contrôle le respect de ces règles et publie des fiches pratiques. Sa fiche sur la prospection commerciale par courrier électronique distingue clairement deux cas : la prospection vers les particuliers (B2C) et la prospection vers les professionnels (B2B).
Opt-in, opt-out : les notions à connaître
- Opt-in : la personne a donné préalablement son accord pour recevoir des messages de publicité par email. C'est l'obligation en B2C.
- Double opt-in : l'inscription est confirmée par un clic dans un email de vérification. Ce n'est pas une obligation légale, mais c'est la meilleure preuve du consentement.
- Opt-out : la personne peut recevoir des messages tant qu'elle ne s'y est pas opposée. C'est le régime de la prospection B2B et de l'exception des clients.
- Opt-in partenaires : l'accord porte sur la transmission de l'adresse à d'autres organismes, nommés, pour leur propre prospection.
Prospection B2C : le consentement préalable est la règle
L'article L34-5 interdit la prospection directe par courrier électronique vers une personne physique qui n'a pas donné son consentement préalable à recevoir des messages par ce moyen. Le consentement y est défini comme une manifestation de volonté libre, spécifique et informée. Le RGPD ajoute qu'il doit être univoque et que le responsable du traitement doit pouvoir le prouver (article 7).
Comment recueillir un consentement valable ?
- Une case à cocher non cochée par défaut, à côté d'une information claire sur l'usage de l'adresse : la CNIL rappelle que la case pré-cochée est interdite.
- Un consentement séparé pour chaque finalité : la lettre d'information de l'entreprise d'un côté, les offres de partenaires de l'autre.
- Une trace conservée : date, formulaire, texte affiché au moment de la collecte, pour pouvoir démontrer la conformité en cas de contrôle.
Le consentement donné à une entreprise ne vaut que pour elle et pour les partenaires nommément désignés au moment de la collecte. La CNIL précise qu'un partenaire ne peut pas transmettre à son tour ces données à d'autres sociétés sans recueillir un nouveau consentement (CNIL, transmission de données à des partenaires). C'est pourquoi un fichier de particuliers acheté sans preuve d'opt-in ne peut pas servir à une campagne d'emailing.
L'exception des clients et des produits analogues
Le même article autorise la prospection par courriel sans consentement préalable lorsque trois conditions sont réunies : les coordonnées ont été recueillies auprès de la personne à l'occasion d'une vente ou d'une prestation de services, le message concerne des produits ou services analogues fournis par la même entreprise, et la personne a pu s'opposer, de manière simple et gratuite, au moment de la collecte puis à chaque envoi. La CNIL précise que la simple création d'un compte en ligne, sans achat, ne suffit pas à faire de quelqu'un un client.
Prospection B2B : intérêt légitime et lien avec la fonction
Vers un professionnel joint sur son adresse de travail, la prospection commerciale par email n'exige pas de consentement préalable. Elle repose en général sur l'intérêt légitime de l'entreprise, l'une des six bases légales de l'article 6 du RGPD ; le considérant 47 du règlement indique que la prospection peut être regardée comme un intérêt légitime.
La CNIL pose une condition : l'objet de la sollicitation doit être en rapport avec la profession de la personne démarchée. Proposer un logiciel de paie à un responsable des ressources humaines est conforme ; proposer une offre de voyage personnelle à ce même contact, sur son adresse professionnelle, ne l'est pas. Autre exemple : un prestataire de transport peut écrire au responsable logistique d'une société, pas au comptable de la même société pour la même offre. Le destinataire doit aussi être informé de l'utilisation de son adresse et pouvoir s'opposer à tout moment.
Les adresses génériques de type contact@ ou info@ sont rattachées à la personne morale. La CNIL indique qu'elles ne sont pas soumises à ces principes, mais elles touchent rarement le bon interlocuteur et nuisent à la qualité d'une base de prospects.
Email, SMS, téléphone, courrier : chaque canal a ses règles
Le RGPD s'applique à tous les canaux, mais les obligations de consentement varient selon le moyen de prospection utilisé. Le SMS et le MMS suivent les mêmes règles que l'email, puisque l'article L34-5 vise tous les messages électroniques. Le courrier postal et l'appel téléphonique par un conseiller relèvent d'un régime d'opposition : la personne doit être informée et pouvoir refuser simplement et gratuitement. Pour le démarchage téléphonique des consommateurs, la CNIL signale que la loi du 30 juin 2025 impose, à partir du 11 août 2026, un consentement préalable explicite, sauf appel lié à un contrat en cours.
Une entreprise qui combine plusieurs canaux dans sa stratégie marketing doit donc gérer, pour chaque contact, des statuts distincts : accord pour l'email, opposition au téléphone, préférence pour la lettre d'information. Un CRM bien paramétré aide à tenir cette gestion à jour et à prouver la conformité de chaque envoi.
Quelles mentions dans chaque email de prospection ?
Quel que soit le destinataire, l'article L34-5 interdit de dissimuler l'identité de l'émetteur et impose d'indiquer des coordonnées valables pour demander l'arrêt des envois. En pratique, chaque message doit contenir :
- le nom de l'entreprise pour le compte de laquelle le message est envoyé ;
- un lien de désinscription visible, qui fonctionne en un clic ou presque, sans connexion à un compte ;
- un objet en rapport avec le contenu du message ;
- un lien vers la politique de confidentialité, qui détaille le traitement des données personnelles et la protection de la vie privée sur votre site.
Quand les données n'ont pas été collectées directement auprès de la personne (fichier loué, enrichissement de données, base achetée en B2B), l'article 14 du RGPD impose de l'informer au plus tard lors du premier contact, et dans un délai d'un mois. Cette information mentionne la source des données, la finalité, la durée de conservation et les droits de la personne.
Droit d'opposition et désinscription
L'article 21 du RGPD donne à toute personne le droit de s'opposer à tout moment au traitement de ses données à des fins de prospection. Ce droit est absolu : une fois l'opposition exprimée, les données ne doivent plus être traitées à cette fin, sans que l'entreprise puisse invoquer un motif contraire. Il doit être présenté clairement et séparément de toute autre information, au plus tard lors de la première communication.
Pour respecter ce droit dans la durée :
- traitez chaque désinscription rapidement et dans tous vos outils (CRM, logiciel d'emailing, fichiers des commerciaux) ;
- tenez une liste repoussoir des adresses opposées, pour qu'elles ne reviennent pas lors d'un import ou d'un enrichissement ;
- répondez aux demandes d'exercice des droits dans le délai d'un mois prévu par l'article 12 du RGPD.
Un lien de désinscription bien conçu protège aussi la délivrabilité : un destinataire qui ne trouve pas comment se désinscrire signale le message comme spam.
Combien de temps conserver les données des prospects ?
Le RGPD impose une durée de conservation proportionnée à la finalité (article 5). Pour la prospection, la CNIL retient une durée de trois ans à compter de la collecte ou du dernier contact émanant du prospect, par exemple un clic, une réponse ou une demande de devis. La simple ouverture d'un email ne compte pas comme un contact : la CNIL a sanctionné de 80 000 euros le courtier en données Caloga, qui prolongeait la conservation des prospects à chaque ouverture. Au terme de ce délai, l'entreprise peut reprendre contact pour savoir si la personne souhaite continuer à recevoir ses messages ; sans réponse positive, les données sont supprimées ou anonymisées.
Ce nettoyage régulier sert aussi la qualité de la base : des adresses inactives depuis des années augmentent les rebonds et les plaintes, et dégradent la réputation d'envoi.
Fichier acheté, loué ou enrichi : les obligations de l'entreprise
Les règles ne changent pas quand les adresses viennent d'un tiers. L'entreprise qui utilise un fichier reste responsable du traitement et doit vérifier, avant tout envoi, la base légale de chaque contact. En B2C, la transmission d'adresses à des fins de prospection électronique suppose un consentement recueilli pour cette transmission et pour des partenaires identifiés. En B2B, l'acheteur doit s'assurer que les contacts ont été informés et que l'offre concerne leur fonction. Les outils d'enrichissement de données, qui devinent une adresse à partir d'un nom et d'une société, n'échappent pas à ces règles : la personne doit être informée au premier message.
Demandez au fournisseur une description écrite de l'origine des données et conservez-la avec le fichier. En cas de contrôle ou de plainte, c'est ce document qui permet de répondre.
Les risques en cas de non-conformité
Le non-respect du RGPD peut entraîner une amende administrative prononcée par la CNIL, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves (article 83), ainsi qu'une injonction de mise en conformité. Les destinataires peuvent adresser une plainte à la CNIL, et les signalements de spam pèsent directement sur la délivrabilité des campagnes suivantes.
Prospecter par email en restant conforme : la méthode
- Qualifier la cible : B2C ou B2B, et pour le B2B, vérifier que l'offre concerne la fonction de chaque contact.
- Documenter l'origine de chaque donnée : formulaire, salon, fichier loué ou acheté, avec la preuve du consentement ou l'analyse de l'intérêt légitime.
- Informer dès le premier message : identité de l'expéditeur, source des données, droits et lien de désinscription.
- Segmenter et limiter la pression : une campagne envoyée à des contacts pertinents génère moins d'oppositions qu'un envoi massif.
- Tenir la base à jour : désinscriptions, liste repoussoir, purge des contacts inactifs au-delà de trois ans.
Pour la constitution d'une base, la base de prospects détaille les points à vérifier avant tout achat ou location de fichier.
Les outils qui aident à rester conforme
Un logiciel d'emailing sérieux gère automatiquement la désinscription, la liste repoussoir et l'historique des envois. Le CRM garde la trace de la source de chaque contact et de sa base légale. Pour les entreprises qui débutent, le guide de la CNIL pour les TPE et PME et les fiches de France Num sur le développement commercial numérique donnent des modèles de mentions d'information et de formulaires de collecte. Un délégué à la protection des données, interne ou externe, peut valider les nouvelles campagnes et les nouveaux fichiers avant leur utilisation.
Prospection email et RGPD : questions fréquentes
Peut-on envoyer un email de prospection à un professionnel sans son accord ?
Oui, si l'offre est en rapport avec sa fonction, s'il a été informé de l'utilisation de son adresse et s'il peut s'opposer simplement à chaque message. C'est le régime de l'opt-out, propre au B2B.
Une adresse email professionnelle est-elle une donnée personnelle ?
Oui, dès qu'elle identifie une personne (prénom et nom). Seules les adresses génériques d'une société échappent aux règles de la prospection électronique.
Le RGPD interdit-il l'achat de fichiers email ?
Non, mais l'acheteur devient responsable du traitement. En B2C, il doit pouvoir prouver le consentement de chaque personne pour les envois de partenaires ; en B2B, il doit vérifier la source, le lien avec la fonction et l'information des contacts.