Prospection conforme au RGPD : guide pratique et légal par Mon Expert RGPD

La prospection commerciale figure parmi les traitements les plus contrôlés par la CNIL, précisément parce qu’elle croise plusieurs corpus normatifs : le RGPD, la directive ePrivacy transposée à l’article L34-5 du Code des postes et des communications électroniques, et le Code de la consommation pour le démarchage téléphonique. Un email envoyé à un particulier n’obéit pas au même régime qu’un message adressé à un directeur financier dans l’exercice de ses fonctions, et cette distinction structure l’ensemble de l’analyse juridique applicable en 2026. Les entreprises qui automatisent leurs campagnes via des CRM ou des outils de séquençage d’emails multiplient les volumes traités, donc les points de contrôle possibles pour la CNIL.

Ce guide pratique détaille les bases légales mobilisables selon le canal utilisé, les conditions strictes de l’exemption de consentement en B2B, les obligations d’information qui pèsent sur le responsable de traitement, ainsi que les risques associés aux fichiers achetés et au scraping de plateformes comme LinkedIn. La conformité de la prospection ne se limite pas à cocher une case : elle suppose une documentation précise, conservée et opposable en cas de contrôle.

• B2C : consentement préalable obligatoire pour l’email et le SMS, sauf exception de soft opt-in pour les clients existants
• B2B : régime d’opposition (opt-out) admis en droit français sous quatre conditions cumulatives de l’article L34-5 du CPCE
• Information : les articles 13 et 14 du RGPD imposent un contenu précis, y compris la source des données en cas de collecte indirecte
• Droit d’opposition : absolu en matière de prospection directe (art. 21 §2), sans justification à apporter par la personne concernée
• Sanctions : plusieurs centaines de milliers d’euros infligées par la CNIL pour des manquements sur le recueil du consentement ou l’usage de fichiers achetés

Le régime applicable selon le canal et la qualité du destinataire

Le droit français croise deux variables pour déterminer la base légale mobilisable : le canal de communication et la qualité du destinataire, consommateur ou professionnel. Cette grille de lecture, issue du RGPD combiné à l’article L34-5 du CPCE, conditionne l’ensemble de la stratégie de prospection d’une entreprise. Ignorer cette distinction expose à des sanctions dont le montant tient compte du nombre de personnes concernées et de la gravité du manquement.

Le tableau suivant synthétise les obligations par canal, en distinguant B2C et B2B.

Canal	B2C (consommateur)	B2B (professionnel)
Email	Consentement préalable (opt-in), sauf soft opt-in clients	Opt-out si l’objet est lié à la fonction du destinataire
SMS / MMS	Consentement préalable (opt-in)	Opt-out, même régime que l’email
Téléphone (opérateur humain)	Autorisé, sous réserve de Bloctel et des horaires encadrés	Autorisé, opposition simple
Automate d’appel / SMS automatisé	Consentement préalable	Consentement préalable
Courrier postal	Intérêt légitime, droit d’opposition	Intérêt légitime, droit d’opposition

Ce tableau appelle une précision : l’exception B2B de l’article L34-5 est propre au droit français. En Allemagne, par exemple, le consentement préalable reste exigé même pour la prospection professionnelle. Une entreprise qui prospecte plusieurs marchés européens doit donc vérifier le droit local applicable dans chaque pays ciblé, faute de quoi elle s’expose à des recours fondés sur des règles nationales divergentes. Pour approfondir la logique consentement/opposition propre au B2B, la lecture du guide dédié aux règles de prospection B2B apporte des éléments de comparaison utiles.

Le cas particulier de la prospection sur les réseaux sociaux

Les messages envoyés via LinkedIn constituent un traitement de données personnelles à part entière, dès lors qu’ils poursuivent une finalité commerciale. Le caractère public d’un profil ne soustrait pas la donnée au RGPD, principe que la CNIL a rappelé à plusieurs reprises dans ses décisions. Le scraping automatisé de profils, en particulier, pose une difficulté sérieuse : il viole généralement les conditions d’utilisation de la plateforme et repose sur une base légale fragile, la balance des intérêts penchant souvent en faveur des personnes dont les attentes raisonnables ne couvrent pas une collecte massive par des tiers inconnus.

La prospection B2C : le consentement comme principe et ses exceptions

Vers un consommateur, la prospection par email et par SMS suppose un consentement préalable, libre, spécifique, éclairé et univoque, au sens des articles 4-11 et 7 du RGPD. Ce consentement doit se matérialiser par une action positive claire : une case à cocher non pré-cochée, idéalement complétée par un mécanisme de double opt-in. L’entreprise doit conserver la preuve de ce recueil, car la charge de la démonstration lui incombe intégralement en cas de contrôle.

L’article L34-5 du CPCE prévoit toutefois une exception connue sous le nom de soft opt-in. Elle s’applique lorsque trois conditions cumulatives sont réunies : les coordonnées ont été recueillies directement auprès de la personne à l’occasion d’une vente ou d’une prestation, la prospection porte sur des produits ou services analogues fournis par la même entreprise, et la personne a disposé, au moment de la collecte comme dans chaque message ultérieur, d’une possibilité de s’opposer simple et gratuite. Cette exception ne couvre ni la revente de fichiers ni la prospection croisée entre entités d’un même groupe, une nuance souvent mal comprise dans les organisations multi-marques.

La prospection téléphonique obéit à un cadre distinct. Le consommateur peut s’inscrire sur la liste Bloctel, que le professionnel a l’obligation d’interroger avant toute campagne. Un décret de 2023 a par ailleurs restreint les horaires autorisés en semaine et interdit tout démarchage les week-ends et jours fériés, tout en encadrant la fréquence des appels. Une proposition de loi récente durcit encore ce cadre : à compter du 11 août 2026, le principe deviendra l’interdiction du démarchage téléphonique, sauf consentement explicite préalable ou lien direct avec un contrat en cours. Certains secteurs, comme la rénovation énergétique ou l’adaptation du logement au handicap, feront l’objet d’une interdiction absolue. Cette évolution mérite d’être anticipée dès maintenant par les directions commerciales qui utilisent encore l’appel sortant comme canal principal.

L’exception B2B de l’article L34-5 du CPCE et l’intérêt légitime

Le droit français admet, pour la prospection professionnelle, un régime d’opposition qui dispense du consentement préalable. L’article L34-5 du CPCE écarte les règles de consentement lorsque le message s’adresse à une personne physique au titre de sa fonction dans un organisme, sous réserve que le contenu du message soit en rapport avec cette activité professionnelle. Cette souplesse repose toutefois sur quatre conditions qui doivent être réunies simultanément, faute de quoi l’exception ne s’applique pas.

Premièrement, le message doit viser une personne physique dans le cadre de ses fonctions : un envoi à contact@entreprise.com ne soulève pas les mêmes enjeux qu’un message nominatif adressé à jean.dupont@entreprise.com. Deuxièmement, l’objet du message doit correspondre à la profession du destinataire, ce qui exclut par exemple l’envoi d’offres de vacances sur une messagerie professionnelle. Troisièmement, la personne doit avoir été informée, dès la collecte, de l’utilisation de ses coordonnées à des fins de prospection, une condition particulièrement délicate lorsque les données proviennent d’une source tierce. Quatrièmement, chaque message doit comporter un mécanisme d’opposition fonctionnel et gratuit.

Lorsque ces conditions sont réunies, la base légale appropriée est l’intérêt légitime, prévu à l’article 6 §1 f du RGPD. Le considérant 47 mentionne explicitement que la prospection peut relever de cet intérêt légitime, à condition que le responsable de traitement documente un triple test : identification précise de l’intérêt poursuivi, nécessité du traitement pour atteindre cette finalité, et balance des intérêts démontrant que les droits des personnes ne prévalent pas compte tenu de leurs attentes raisonnables. Cette analyse doit figurer dans le registre des traitements, conformément au principe de responsabilité posé à l’article 5 §2. Sur le choix précis de la base légale à retenir selon les situations, l’analyse proposée par l’article 6 du RGPD et la liceité des traitements permet d’affiner cette qualification.

Le cold email et la question de la source des contacts

Le cold email demeure licite en B2B sous ces conditions, mais sa conformité dépend fortement de la source des contacts sollicités. Les annuaires professionnels, les sites d’entreprises ou des registres publics comme Infogreffe constituent des sources plus défendables qu’une base achetée sans traçabilité. La CNIL examine également la proportionnalité du volume : un envoi massif et non personnalisé présente un risque supérieur à un message ciblé, en rapport direct avec l’activité réelle du destinataire.

L’obligation d’information et le droit d’opposition absolu

Les articles 13 et 14 du RGPD imposent une information complète, que la collecte soit directe ou indirecte, y compris dans un contexte B2B où l’exception de consentement s’applique. Cette information porte sur l’identité du responsable de traitement, les finalités poursuivies, la base légale retenue, les catégories de données traitées, les destinataires éventuels, la durée de conservation, ainsi que les droits dont dispose la personne concernée. En cas de collecte indirecte, l’article 14 §2 f impose en outre de préciser la source des données, une obligation souvent négligée mais essentielle à la loyauté du traitement.

Le droit d’opposition prévu à l’article 21 §2 du RGPD présente une particularité notable : contrairement au droit d’opposition général de l’article 21 §1, il n’exige aucune justification de la part de la personne concernée. Toute demande doit être satisfaite sans discussion sur les motifs invoqués. Concrètement, cela implique le retrait immédiat des données de la base active, la possibilité de conserver une trace du refus dans une liste d’exclusion documentée à cette seule fin, et l’interdiction de contourner l’opposition par un autre canal de contact. Le délai légal maximal de traitement est d’un mois selon l’article 12 §3, mais les bonnes pratiques imposent un traitement quasi immédiat. Pour approfondir la gestion opérationnelle de ces demandes, le guide pratique sur le droit d’opposition détaille les processus à mettre en place.

Les données de prospection ne peuvent pas être conservées indéfiniment. En l’absence d’opposition ou de retrait du consentement, la durée de référence retenue par la CNIL est de trois ans à compter de la collecte ou du dernier contact émanant du prospect. Une liste repoussoir peut être constituée pour éviter de recontacter par erreur une personne ayant exercé son droit d’opposition ; la CNIL recommande de conserver ces données au moins trois ans afin de garantir l’efficacité de ce mécanisme, sans réutiliser cette liste à d’autres fins.

Bases de données achetées, transferts hors UE et sanctions prononcées

L’achat de fichiers de prospection demeure une pratique courante, en particulier en B2B, mais elle expose à des risques juridiques réels. Les problèmes récurrents concernent l’absence d’information des personnes sur la revente à des tiers non identifiés, l’obsolescence des coordonnées collectées, l’absence de traçabilité du parcours de la donnée, et le défaut de répercussion des oppositions déjà exercées auprès du fournisseur d’origine. Une entreprise qui utilise ces fichiers reste pleinement responsable du traitement, indépendamment des manquements de son fournisseur.

Si l’achat est envisagé malgré ces risques, plusieurs précautions minimales s’imposent : exiger une garantie contractuelle sur la conformité du recueil des données, vérifier la documentation fournie sur la source, informer les personnes dès le premier contact en mentionnant explicitement cette source, permettre une opposition immédiate, et supprimer les contacts restés sans réponse après un nombre raisonnable de sollicitations. La CNIL a d’ailleurs rappelé ces exigences dans plusieurs décisions relatives à la prospection commerciale, un thème qu’elle contrôle de manière récurrente.

Les outils d’automatisation utilisés pour ces campagnes, souvent édités par des sociétés américaines, hébergent ou routent fréquemment des données hors Union européenne. Deux vérifications s’imposent : le statut de certification de l’éditeur au titre du Data Privacy Framework, qui ouvre droit à une décision d’adéquation, ou à défaut le recours aux clauses contractuelles types de la décision 2021/914, complétées si nécessaire par des mesures supplémentaires. Un contrat conforme à l’article 28 du RGPD doit systématiquement encadrer la relation avec ces sous-traitants, le recours à un outil automatisé ne transférant jamais la responsabilité du responsable de traitement.

Les sanctions prononcées par la CNIL illustrent la matérialité de ces risques. EDF a été sanctionnée à hauteur de 600 000 euros en novembre 2022 pour des manquements liés au recueil du consentement en prospection. HUBSIDE.STORE a écopé d’une amende de 525 000 euros en décembre 2022 pour une prospection fondée sur des fichiers achetés sans information adéquate des personnes concernées. Ces décisions, souvent rendues publiques, entraînent un risque réputationnel qui dépasse le seul montant de l’amende, particulièrement sensible dans un contexte B2B où la confiance commerciale reste un actif déterminant.

Documenter la conformité pour limiter le risque opérationnel

La documentation constitue le meilleur rempart contre le risque de sanction. Un registre des traitements à jour, une analyse formalisée de la balance des intérêts, des preuves de consentement conservées et un contrat article 28 signé avec chaque sous-traitant réduisent sensiblement l’exposition juridique. La question n’est jamais de savoir si un contrôle interviendra, mais si l’entreprise sera en mesure, ce jour-là, de démontrer sa légalité et son marketing éthique à travers des pièces concrètes plutôt que des déclarations d’intention.

{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »La prospection B2B nu00e9cessite-t-elle un consentement pru00e9alable ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Non, en droit franu00e7ais, si trois conditions sont ru00e9unies : le message s’adresse u00e0 un professionnel au titre de sa fonction, il porte sur son activitu00e9, et la personne a u00e9tu00e9 informu00e9e avec possibilitu00e9 de s’opposer. Ce ru00e9gime d’opt-out reste propre u00e0 la France ; d’autres u00c9tats membres exigent un consentement mu00eame en B2B. »}},{« @type »: »Question », »name »: »Quelle diffu00e9rence entre la prospection B2B et B2C sur le plan lu00e9gal ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »En B2C, l’email et le SMS supposent un consentement pru00e9alable, sauf soft opt-in pour les clients existants sur des produits similaires. En B2B, un ru00e9gime d’opposition suffit si le message est liu00e9 u00e0 l’activitu00e9 professionnelle du destinataire, sous ru00e9serve d’information et de possibilitu00e9 de refus. »}},{« @type »: »Question », »name »: »Le cold email est-il lu00e9gal en France ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Oui, en B2B, sous les conditions de l’article L34-5 du CPCE : destinataire professionnel, objet liu00e9 u00e0 sa fonction, information du00e9livru00e9e et droit d’opposition dans chaque message. Vers un consommateur, le cold email reste en principe interdit sans consentement pru00e9alable. »}},{« @type »: »Question », »name »: »Peut-on acheter un fichier de prospection sans risque ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »C’est possible mais risquu00e9 juridiquement. Il faut du00e9montrer que les personnes ont u00e9tu00e9 informu00e9es de la cession, que les donnu00e9es sont exactes et u00e0 jour, et que les oppositions du00e9ju00e0 exercu00e9es ont u00e9tu00e9 ru00e9percutu00e9es par le fournisseur avant l’achat. »}},{« @type »: »Question », »name »: »Comment traiter une demande d’opposition u00e0 la prospection ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Immu00e9diatement et sans condition : le droit d’opposition u00e0 la prospection est absolu et ne nu00e9cessite aucune justification. La personne doit u00eatre retiru00e9e de la base active, u00e9ventuellement conservu00e9e dans une liste d’exclusion documentu00e9e, sans u00eatre recontactu00e9e par un autre canal. »}}]}

La prospection B2B nécessite-t-elle un consentement préalable ?

Non, en droit français, si trois conditions sont réunies : le message s’adresse à un professionnel au titre de sa fonction, il porte sur son activité, et la personne a été informée avec possibilité de s’opposer. Ce régime d’opt-out reste propre à la France ; d’autres États membres exigent un consentement même en B2B.

Quelle différence entre la prospection B2B et B2C sur le plan légal ?

En B2C, l’email et le SMS supposent un consentement préalable, sauf soft opt-in pour les clients existants sur des produits similaires. En B2B, un régime d’opposition suffit si le message est lié à l’activité professionnelle du destinataire, sous réserve d’information et de possibilité de refus.

Le cold email est-il légal en France ?

Oui, en B2B, sous les conditions de l’article L34-5 du CPCE : destinataire professionnel, objet lié à sa fonction, information délivrée et droit d’opposition dans chaque message. Vers un consommateur, le cold email reste en principe interdit sans consentement préalable.

Peut-on acheter un fichier de prospection sans risque ?

C’est possible mais risqué juridiquement. Il faut démontrer que les personnes ont été informées de la cession, que les données sont exactes et à jour, et que les oppositions déjà exercées ont été répercutées par le fournisseur avant l’achat.

Comment traiter une demande d’opposition à la prospection ?

Immédiatement et sans condition : le droit d’opposition à la prospection est absolu et ne nécessite aucune justification. La personne doit être retirée de la base active, éventuellement conservée dans une liste d’exclusion documentée, sans être recontactée par un autre canal.