La prospection B2B n'est pas interdite par le RGPD. Elle est encadrée. Les sanctions citées plus bas ne visent pas le fait d'avoir écrit à un prospect, mais la manière : information absente, consentement manquant quand il était requis, données gardées trop longtemps. Voici ce que dit la CNIL, canal par canal, et ce que vous devez documenter.
Ce que la CNIL autorise par email en B2B
Vous pouvez envoyer un email de prospection à un professionnel sans son accord préalable, si le message concerne sa profession et s'il peut s'y opposer simplement. La CNIL l'écrit dans sa fiche sur la prospection par courrier électronique : en B2B, la prospection repose sur l'intérêt légitime de l'organisme lorsque la sollicitation est en rapport avec la profession de la personne.
Concrètement, quatre conditions doivent être réunies :
- Une adresse professionnelle. Vous écrivez à la personne dans le cadre de son travail, pas sur sa boîte personnelle.
- Un objet en rapport avec la fonction. Proposer un logiciel de paie à une responsable paie est cohérent. Proposer un séjour en thalasso à un directeur informatique ne l'est pas.
- Une information claire. La personne doit savoir qui la contacte, pourquoi, et d'où viennent ses données si vous ne les avez pas collectées auprès d'elle.
- Une opposition simple et gratuite, dans chaque message. La CNIL rappelle que chaque message doit permettre d'identifier l'émetteur et d'exprimer simplement son refus de recevoir de nouvelles sollicitations.
La CNIL précise aussi que les adresses génériques de type contact@ ou info@ ne relèvent pas de ces règles, car elles ne désignent pas une personne. Les demandes d'exercice des droits (accès, opposition, effacement) doivent recevoir une réponse dans un délai d'un mois.
Le cadre légal ne règle pas la question de la délivrabilité. Un email conforme qui part depuis un domaine mal configuré finit quand même en spam. Sur ce point, voyez notre guide SPF, DKIM et DMARC pour la prospection.
B2B ou B2C : ce qui change
La différence tient en un mot : en B2C, le principe est le consentement préalable ; en B2B, c'est l'information et le droit d'opposition. Pour un particulier, la CNIL exige un consentement libre, spécifique, éclairé et univoque, recueilli par exemple par une case non précochée, sauf exceptions (client existant pour des produits analogues).
| Point | Prospection B2B (professionnels) | Prospection B2C (particuliers) |
|---|---|---|
| Sans consentement préalable si le sujet concerne la profession | Consentement préalable, sauf client existant pour des produits analogues | |
| Base légale RGPD | Intérêt légitime | Consentement (sauf exceptions) |
| Téléphone | Information et opposition simple | Consentement préalable depuis le 11 août 2026 |
| Désinscription | Dans chaque message | Dans chaque message |
| Réponse aux demandes de droits | Un mois maximum | Un mois maximum |
LinkedIn : le RGPD s'applique aussi
Un profil public sur LinkedIn n'est pas une donnée libre de droits : collecter et réutiliser ces informations pour prospecter reste un traitement de données soumis au RGPD. La CNIL l'a rappelé en sanctionnant la société Kaspr.
Par une délibération SAN-2024-020 du 5 décembre 2024, rendue publique le 19 décembre 2024, la CNIL a infligé 240 000 € d'amende à Kaspr. Cette société commercialise une extension Chrome qui affiche les coordonnées professionnelles des personnes dont on consulte le profil LinkedIn. La CNIL lui a reproché notamment d'avoir collecté les coordonnées de membres qui avaient choisi de limiter la visibilité de leurs informations, de conserver les données cinq ans à compter de chaque mise à jour, de ne pas avoir informé les personnes avant 2022, puis de ne l'avoir fait qu'en anglais. L'injonction a été clôturée par une délibération du 4 mars 2026.
Ce qu'il faut en retenir pour vos messages LinkedIn : informez la personne de la source de ses données dès le premier contact, ne contournez pas ses réglages de confidentialité, et appliquez la même durée de conservation qu'aux emails.
Téléphone : Bloctel, la loi du 30 juin 2025 et le 11 août 2026
Depuis le 11 août 2026, il est interdit de démarcher par téléphone un consommateur sans avoir recueilli son consentement au préalable ; ce régime protège les consommateurs et ne s'applique pas aux appels entre professionnels. Il découle de l'article 13 de la loi n° 2025-594 du 30 juin 2025 contre toutes les fraudes aux aides publiques, qui a modifié l'article L. 223-1 du Code de la consommation.
Selon la fiche de la DGCCRF du 27 juillet 2026, le consentement du consommateur doit être libre, spécifique, clair, univoque et révocable, il n'est valable qu'un an au maximum, et sa preuve doit être conservée au moins 3 ans. La réforme met fin au dispositif Bloctel, la liste d'opposition sur laquelle les consommateurs pouvaient s'inscrire. Le démarchage téléphonique est en outre totalement interdit pour la rénovation énergétique, l'adaptation du logement à la perte d'autonomie et le compte personnel de formation.
Pour la prospection B2B, Bloctel ne s'appliquait déjà pas : la liste ne concernait que les consommateurs. La CNIL, dans sa fiche mise à jour le 10 juin 2026, rappelle que l'appel à un professionnel peut reposer sur l'intérêt légitime lorsque son objet concerne sa profession, à condition de l'informer et de lui permettre de s'opposer simplement et gratuitement. Elle annonce une foire aux questions préparée avec la DGCCRF pour accompagner la transition.
Informer sur la source des données
Si vous n'avez pas collecté les données auprès de la personne (base achetée, enrichissement, LinkedIn), vous devez lui dire d'où elles viennent, au plus tard lors du premier contact. C'est l'article 14 du RGPD.
L'article 14 impose d'indiquer la source des données et, le cas échéant, si elles proviennent de sources accessibles au public. Le délai est d'un mois maximum après l'obtention des données, et au plus tard au moment de la première communication si vous les utilisez pour contacter la personne. En prospection, c'est donc le premier email qui porte l'information.
En pratique, deux ou trois lignes en bas du premier message suffisent : qui vous êtes, pourquoi vous écrivez, d'où vient l'adresse, et comment vous désinscrire, avec un lien vers votre politique de confidentialité. Expliquer pourquoi vous écrivez est plus simple quand le message part d'un signal d'achat daté.
Durée de conservation : 3 ans après le dernier contact
La CNIL recommande de conserver les données d'un prospect au maximum 3 ans à compter de leur collecte ou du dernier contact venant du prospect. Passé ce délai, vous pouvez le recontacter une fois pour lui demander s'il souhaite continuer à recevoir vos messages ; sans réponse positive et explicite, les données sont supprimées ou archivées.
Le détail compte : un contact venant du prospect, c'est par exemple une demande de documentation ou un clic sur un lien dans un email. L'ouverture d'un email ne compte pas. Un prospect qui ouvre vos messages sans jamais répondre ni cliquer ne prolonge donc pas la durée de conservation.
Ces durées viennent du référentiel CNIL sur la gestion des activités commerciales. Il n'est pas contraignant : vous pouvez retenir une autre durée, mais vous devez pouvoir la justifier.
Registre et analyse d'intérêt légitime
Votre prospection doit figurer dans votre registre des activités de traitement, et le choix de l'intérêt légitime doit être justifié par une mise en balance écrite. Ce sont deux pièces que vous devez pouvoir produire à tout moment.
Le registre concerne tous les organismes, quelle que soit leur taille. Les structures de moins de 250 salariés bénéficient d'un allègement, mais il ne couvre pas les traitements non occasionnels, et la prospection en est un. Pour chaque traitement, le registre indique notamment les finalités, les catégories de personnes (ici, les prospects), les catégories de données, les destinataires et sous-traitants, les transferts hors Union européenne, les durées de conservation et les mesures de sécurité.
Pour l'intérêt légitime, la CNIL pose trois conditions : l'intérêt poursuivi doit être légitime, le traitement doit être nécessaire, et il ne doit pas porter une atteinte disproportionnée aux droits des personnes, compte tenu de leurs attentes raisonnables. Une page suffit souvent :
- Intérêt : développer votre clientèle auprès d'entreprises qui ont un besoin lié à votre offre.
- Nécessité : vous ne collectez que le nom, la fonction, l'entreprise et l'adresse professionnelle.
- Mise en balance : un professionnel peut raisonnablement s'attendre à être sollicité sur un sujet lié à son métier ; il est informé dès le premier message et peut s'opposer en un clic.
Pixels de suivi : la recommandation CNIL de 2026
Depuis la recommandation adoptée le 12 mars 2026 et publiée le 14 avril 2026, la CNIL considère que les pixels de suivi d'ouverture dans les emails demandent en principe le consentement du destinataire. Ces pixels relèvent de l'article 82 de la loi Informatique et Libertés, comme les cookies.
La recommandation prévoit une exemption étroite : la mesure de délivrabilité individuelle liée à un service demandé par le destinataire (emails transactionnels comme une réinitialisation de mot de passe ou un suivi de livraison). Un email de prospection n'entre pas dans ce cas. La recommandation ne fait pas de distinction entre B2B et B2C.
Pour les adresses déjà collectées, la CNIL laissait trois mois après la publication, soit jusqu'au 14 juillet 2026, pour informer les destinataires et leur permettre de s'opposer aux pixels. Depuis, la CNIL indique qu'elle veillera au respect de ces règles dans le cadre de ses contrôles. La solution la plus simple en prospection B2B : désactiver le suivi d'ouverture. Les données publiées par Hunter montrent d'ailleurs que les campagnes sans suivi d'ouverture obtiennent plus de réponses, comme nous le détaillons dans notre article sur le taux de réponse en cold email.
Sanctions récentes de la CNIL liées à la prospection
Les deux décisions les plus parlantes pour la prospection sont l'amende de 240 000 € contre Kaspr (décembre 2024) et celle de 900 000 € contre Solocal Marketing Services (mai 2025). La première concerne la collecte de données sur LinkedIn, la seconde l'absence de consentement valable.
| Date | Organisme | Montant | Manquements principaux |
|---|---|---|---|
| 5 décembre 2024 | Kaspr | 240 000 € | Collecte de coordonnées sur LinkedIn malgré les réglages de visibilité, conservation excessive, information absente puis uniquement en anglais |
| 15 mai 2025 | Solocal Marketing Services | 900 000 € | Prospection par SMS et email sans consentement valable, absence de preuve du consentement, transmission de données à des partenaires sans base légale |
Dans l'affaire Solocal Marketing Services, la CNIL a aussi ordonné de cesser la prospection électronique sans consentement valable, sous astreinte de 10 000 € par jour de retard après un délai de neuf mois. Cette affaire visait de la prospection vers des particuliers ; elle rappelle surtout qu'acheter un fichier ne vous dispense pas de vérifier comment il a été constitué.
La check-list avant de lancer une campagne
Une campagne B2B conforme se vérifie en dix points, avant le premier envoi. C'est la liste que nous appliquons dans notre méthode.
- Les adresses ciblées sont professionnelles et nominatives.
- Le message parle d'un sujet lié à la fonction du destinataire.
- Le premier message indique l'émetteur, la raison du contact et la source des données.
- Chaque message contient un lien de désinscription qui fonctionne en un clic.
- Les désinscriptions alimentent une liste repoussoir partagée entre tous vos outils.
- Le suivi d'ouverture est désactivé, ou le consentement est recueilli.
- La durée de conservation est fixée (3 ans après le dernier contact venant du prospect) et appliquée.
- Le traitement figure au registre, avec ses sous-traitants (outil d'envoi, enrichissement, CRM).
- La mise en balance de l'intérêt légitime est écrite.
- Les demandes de droits sont traitées en moins d'un mois.
Si vos campagnes tournent déjà sur lemlist, ces réglages (désinscription, suivi d'ouverture, liste repoussoir) se contrôlent rapidement. C'est une partie de notre audit lemlist.