« C’est du B2B, donc le consentement n’est pas obligatoire. » Ce raccourci ne correspond pas à ce qu’écrit la CNIL. L’autorité indique que la prospection vers des professionnels peut être fondée sur l’intérêt légitime, sous conditions. C’est une base légale du RGPD qui est désignée, pas une exemption.
Une précision s’impose d’emblée. Cet article décrit un cadre public, à partir de pages officielles et du texte du règlement. Il ne délivre aucun avis juridique et ne remplace pas l’analyse d’un avocat ou d’un délégué à la protection des données. Il propose une grille de lecture, jamais un verdict sur une pratique donnée.
Cette réserve n’est pas une formule de politesse. L’autorité publie des principes, pas des gabarits, et aucune page consultée ne valide ni n’invalide un modèle de case à cocher. Ce que vous pouvez faire, c’est identifier les bonnes questions et savoir quelle décision relève de quel texte.
Que dit exactement la CNIL sur la prospection vers les professionnels ?
Elle écrit que cette prospection peut être fondée sur l’intérêt légitime, à une condition qui porte sur le contenu du message. Voici la phrase, sur la page mise à jour le 10 juin 2026 par la CNIL (2026) :
« La prospection à l’égard de professionnels peut être fondée sur l’intérêt légitime de l’organisme lorsque l’objet de la sollicitation est en rapport avec la profession de la personne démarchée (par exemple, un appel présentant les mérites d’un logiciel au directeur informatique d’une entreprise). »
Trois éléments méritent d’être lus lentement, parce qu’ils se perdent dans les résumés.
Premier élément, le verbe. La CNIL écrit « peut être fondée sur l’intérêt légitime ». Elle n’écrit pas « est dispensée de consentement ». L’intérêt légitime est l’une des six bases légales du RGPD. Désigner une base légale, c’est entrer dans le régime du règlement, pas en sortir.
Deuxième élément, la condition. Elle porte sur « l’objet de la sollicitation en rapport avec la profession de la personne démarchée ». C’est le contenu du message qui est le critère, pas le domaine de l’adresse électronique. Une offre de logiciel de trésorerie adressée à un directeur financier et une promotion sans rapport avec ses fonctions ne se lisent pas de la même façon.
Troisième élément, le cas visé par la phrase suivante. La CNIL enchaîne sur l’hypothèse où « les données sont déjà en possession de la société ou acquises auprès de tiers », et impose alors information préalable et possibilité de s’opposer. Une landing page où le visiteur saisit ses coordonnées n’est pas cette hypothèse : c’est une collecte directe.
Ce qu’on lit partout. En B2B, le consentement n’est pas nécessaire, une adresse professionnelle suffit.
Ce que dit la source. La CNIL (2026) écrit que cette prospection « peut être fondée sur l’intérêt légitime », sous condition d’un objet en rapport avec la profession. Une base légale, pas une dispense.
Un cas particulier : la même page indique que les adresses génériques de contact « qui concernent de personnes morales, ne sont pas soumises aux principes rappelés ci-dessus ».
Prospection, transactionnel, relationnel : trois natures de messages
La CNIL distingue trois natures de messages aux fondements différents. Sa page sur les communications électroniques, également mise à jour le 10 juin 2026, sépare la prospection commerciale, les communications transactionnelles et les communications relationnelles, selon la CNIL (2026).
- La prospection commerciale regroupe les messages qui promeuvent des produits, des services ou l’image de l’entreprise.
- Les communications transactionnelles sont nécessaires à la gestion ou à l’exécution d’un contrat. Le fondement indiqué est l’exécution du contrat.
- Les communications relationnelles relèvent du suivi client sans finalité promotionnelle directe. Le fondement indiqué est l’intérêt légitime.
Pour ces deux dernières catégories, la page n’exige pas de consentement préalable, mais maintient l’obligation d’information et le droit d’opposition. L’absence de consentement requis ne signifie jamais l’absence d’obligations.
Cette distinction déplace une bonne partie du débat sur la case à cocher. Le message de confirmation qui suit l’envoi d’un formulaire ou le compte rendu d’un rendez-vous ne relèvent pas de la prospection commerciale que définit cette page. Les traiter comme tels revient à demander un consentement pour un envoi qui n’en relève pas, ce qui brouille le consentement réellement utile. Nous détaillons ces envois dans notre guide sur ce qui se passe après l’envoi du formulaire.
Pour le B2B, la même page pose trois conditions cumulatives quand le consentement préalable n’est pas systématiquement requis : le lien avec l’activité professionnelle de la personne contactée, l’information sur l’origine des données et sur la finalité, et la possibilité de s’opposer simplement. Elle rappelle aussi qu’un consentement valide suppose des cases non pré-cochées.
Quels sont les trois régimes que le mot « consentement » recouvre ?
Trois choses différentes portent le même mot sur une même landing page, sans relever des mêmes textes ni des mêmes règles. Les confondre est l’erreur la plus fréquente sur le sujet.
Le premier régime est celui des traceurs. Il relève de l’article 82 de la loi Informatique et Libertés, transposition de la directive dite ePrivacy, un texte distinct du RGPD. La page qui l’expose, publiée le 29 septembre 2020, rappelle que le consentement préalable est requis avant le stockage ou l’accès à des informations sur le terminal, sauf exceptions strictes, et que les conditions générales seules ne valent pas recueil valable, selon la CNIL (2020). Les exemptions sont encadrées : la page sur la mesure d’audience, du 4 juillet 2025, les réserve aux traceurs « utilisés pour une finalité strictement limitée à la seule mesure de l’audience du site », selon la CNIL (2025). Ces conditions pèsent sur l’arbitrage que nous décrivons sur le passage au tracking côté serveur.
Le deuxième régime est celui de la base légale du traitement. La CNIL pose que « tout traitement de données doit se fonder sur l’une des “bases légales” » et que « le choix de la base légale est une opération décisive ». Le RGPD en prévoit six : consentement, contrat, obligation légale, mission d’intérêt public, intérêt légitime, intérêts vitaux. Le consentement n’en est qu’une.
Le troisième régime est celui du consentement à recevoir de la prospection. Il vit dans le code des postes et des communications électroniques autant que dans le RGPD, et c’est celui qu’expose la première partie de cet article.
La conséquence pratique tient en une phrase. Sur une même landing page, trois questions se posent en même temps : que fait votre bandeau de traceurs, sur quelle base traitez-vous les données saisies, à quel titre enverrez-vous des messages ensuite. Une case à cocher ne répond qu’à la troisième.
Que devez-vous afficher au moment de la collecte ?
L’information doit être délivrée « au moment du recueil des données » quand la personne saisit elle-même ses coordonnées, et elle doit être « concise, transparente, compréhensible et aisément accessible », selon la CNIL (2019). Cette page date du 26 juillet 2019, l’une des plus anciennes du dossier.
La liste des mentions à fournir en collecte directe y comprend neuf points :
- l’identité et les coordonnées de l’organisme ;
- les finalités du traitement ;
- la base légale du traitement ;
- le caractère obligatoire ou facultatif de la fourniture des données ;
- les destinataires ou catégories de destinataires ;
- la durée de conservation ou les critères permettant de la déterminer ;
- les droits des personnes ;
- les coordonnées du délégué à la protection des données, s’il y en a un ;
- le droit d’introduire une réclamation auprès de la CNIL.
Deux de ces mentions retiennent l’attention sur des landing pages réelles. Le caractère obligatoire ou facultatif est traité visuellement, par l’astérisque qui marque les champs requis. La durée de conservation, elle, apparaît rarement à côté du formulaire : elle est le plus souvent renvoyée à une politique de confidentialité liée. Sur ce point, la CNIL rappelle, dans sa page du 2 avril 2026, qu’« une durée de conservation doit être déterminée par le responsable de traitement en fonction de l’objectif ayant conduit à la collecte de ces données ». Aucune durée chiffrée applicable aux prospects B2B ne figure sur les pages consultées.
L’exigence de forme a une traduction concrète en conception de page : une mention illisible sous le bouton d’envoi et une mention lisible au-dessus des champs délivrent la même information juridique, pas la même expérience. C’est un sujet de hiérarchie visuelle, et il rejoint notre approche des structures de landing page selon l’objectif.
Faut-il conditionner l’envoi du formulaire au consentement marketing ?
Le texte européen n’interdit pas ce conditionnement : il en fait un critère d’appréciation du caractère libre du consentement. L’article 7, paragraphe 4, du RGPD, republié par la CNIL, est explicite :
« Au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l’exécution d’un contrat, y compris la fourniture d’un service, est subordonnée au consentement au traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat. »
Trois lectures s’imposent, et aucune ne débouche sur une règle automatique. Le texte demande de « tenir le plus grand compte » du conditionnement, il ne le prohibe pas. Le pivot du raisonnement est le mot « nécessaire ». Enfin, ce paragraphe vise l’hypothèse où la base légale retenue est le consentement ; sous une autre base, la question ne se pose pas dans ces termes.
À cela s’ajoute le critère « libre », l’un des quatre critères cumulatifs rappelés par la CNIL sur une page du 3 août 2018 :
« La personne doit se voir offrir un choix réel, sans avoir à subir de conséquences négatives en cas de refus. »
La même page ajoute qu’un consentement « doit correspondre à un seul traitement, pour une finalité déterminée », et qu’il doit être donné « par une déclaration ou tout autre acte positifs clairs ».
Aucune position officielle consultée ne dit si une case marketing requise pour envoyer un formulaire est valide ou non. Le raisonnement se construit à partir de ces critères et n’aboutit pas à un résultat mécanique. La décision revient donc à un professionnel du droit qui connaît vos traitements et vos finalités déclarées.
Deux éditeurs français, deux choix opposés sur le même sujet
Deux logiciels B2B français ont retenu des dispositifs strictement inverses. Le premier rend l’acceptation du marketing obligatoire pour envoyer le formulaire. Le second inscrit par défaut et propose de se retirer.
Réserves de lecture, avant le tableau. Ces observations sont datées du 27 juillet 2026. Une page de conversion est un objet vivant, souvent testé en variantes, et sa description peut être obsolète à la lecture. Aucune source officielle consultée ne qualifie l’un ou l’autre de ces dispositifs. Le tableau décrit et interroge, il ne note pas.
| Spendesk, démonstration | Sellsy, essai gratuit | |
|---|---|---|
| Dispositif observé | Case requise : « J’accepte d’être contacté(e) par Spendesk à des fins d’information et de marketing conformément à la Politique de protection des Données personnelles. * » | Case de retrait : « Je ne souhaite pas recevoir les communications de Sellsy » |
| Position par défaut | Aucune communication sans action du visiteur | Visiteur inscrit par défaut, il coche pour se soustraire |
| Service accessible en refusant ? | Non, le formulaire ne part pas sans la case | Oui, la case n’empêche pas la création du compte |
| Question ouverte par l’article 7.4 du RGPD | Le consentement marketing est-il nécessaire à l’objet demandé, une démonstration ? | Sans objet si la base légale retenue n’est pas le consentement |
| Question ouverte par le critère « libre » | Y a-t-il « un choix réel, sans avoir à subir de conséquences négatives en cas de refus » ? | L’information est-elle claire et l’opposition simple ? |
| Question ouverte par la règle des cases pré-cochées | Non concernée : la case est vide, le visiteur doit la cocher | La case est vide, mais l’inscription est l’état par défaut : les deux notions ne se recouvrent pas |
Ces deux choix sont aussi commerciaux, et leurs contreparties sont symétriques. La case obligatoire produit une base entièrement consentie, au prix des visiteurs qui renoncent à la démonstration. Le retrait maximise le volume d’inscriptions, au prix d’une base moins homogène en intention. Deux lectures opposées du même cadre, que le relevé ne départage pas.
Pourquoi un opt-out n’est pas une case pré-cochée
Ce sont deux dispositifs distincts, et les assimiler serait une erreur de raisonnement. La CNIL cite « les cases pré-cochées ou pré-activées » parmi les modalités invalides de recueil du consentement, aux côtés des consentements groupés.
Le point à saisir : un dispositif d’opposition n’est pas un recueil de consentement. Une case pré-cochée prétend établir un consentement là où aucun acte positif n’a été accompli, ce qui contredit le critère « univoque ». Une case de retrait ne prétend pas établir un consentement : elle organise l’exercice d’une opposition, dans un régime où le fondement du traitement est ailleurs.
Les deux dispositifs s’apprécient donc avec des critères différents. Cela ne signifie pas qu’un opt-out est automatiquement suffisant : aucune source consultée ne le dit. Cela signifie qu’on ne peut pas condamner l’un en citant la règle qui vise l’autre.
Combien de champs pouvez-vous demander sur un formulaire ?
Aucun nombre maximal n’existe dans les publications de la CNIL, et aucune liste de champs autorisés ou interdits non plus. Le principe applicable est la minimisation, posée à l’article 5, paragraphe 1, point c) du RGPD, republié par la CNIL : les données doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ».
La page consacrée à la minimisation, publiée le 27 janvier 2020, en tire des recommandations applicables sans avocat, selon la CNIL (2020) :
- documenter les types de données nécessaires avant de mettre le dispositif en place ;
- ne pas collecter une donnée inutile pour une catégorie de personnes donnée ;
- réduire la précision de la donnée quand c’est possible ;
- rendre optionnelles les fonctions non essentielles ;
- documenter une durée de conservation par catégorie de données.
Le précédent le plus proche d’un formulaire jugé trop gourmand porte sur un tout autre terrain. Le 25 avril 2024, la CNIL (2024) a mis en demeure une société, non nommée, au sujet d’un formulaire de candidature à l’embauche : lieu de naissance, nationalité, situation de famille et données du conjoint, âge des enfants, historique des salaires antérieurs. La société s’est conformée et la procédure a été close.
Deux réserves encadrent ce précédent : c’est une mise en demeure, pas une sanction, et il concerne un formulaire de recrutement, avec des données de vie privée, pas un formulaire commercial. Ce qu’il montre reste utile : la minimisation s’apprécie champ par champ, au regard de la finalité annoncée, jamais en valeur absolue.
Appliquez cette grille à un cas fréquent, celui d’un champ de chiffre d’affaires exigé pour télécharger un livre blanc. Si la finalité déclarée est l’envoi d’un document, la question de la pertinence du champ se pose. Si elle inclut la qualification commerciale et que la personne en est informée à la collecte, elle se pose autrement. Aucune source consultée ne tranche ce cas, et nous ne le tranchons pas. Nous abordons l’arbitrage de conversion correspondant dans notre analyse des champs d’un formulaire de landing page B2B.
Quelles décisions la CNIL a-t-elle publiées, et sur quoi portent-elles ?
Aucune sanction portant spécifiquement sur le formulaire d’une landing page B2B n’a été trouvée dans les publications consultées le 27 juillet 2026. C’est une information en soi : les décisions brandies dans les discussions sur les cases à cocher portent sur d’autres périmètres.
La délibération SAN-2024-003 du 31 janvier 2024, publiée sur Légifrance (2024), a prononcé une amende de 310 000 euros contre la société FORIOU. Le périmètre est celui de la prospection vers des particuliers, à partir de formulaires de jeux-concours, et le manquement retenu est l’absence de base légale. Ce n’est pas un formulaire de démonstration B2B.
Ce qu’elle apporte n’est donc pas un verdict transposable, mais un raisonnement. La délibération examine la hiérarchie visuelle du formulaire, pas seulement son texte : « L’aperçu global des interfaces met particulièrement en valeur le bouton qui se distingue par sa taille et couleur », tandis que « le lien hypertexte permettant de participer sans accepter la transmission est présenté dans le corps du texte, en caractères d’une taille nettement inférieure ». Regarder ainsi la taille, la couleur et la position des éléments d’acceptation et de refus est utile quel que soit le marché.
La délibération du 5 décembre 2024 contre la société KASPR, 240 000 euros, est la plus proche du B2B : elle porte sur des données professionnelles aspirées via une extension de navigateur, avec des manquements visant la base légale, la durée de conservation et la transparence, selon la CNIL (2024). Son enseignement est net, le caractère professionnel des données ne les fait pas sortir du RGPD. Sa limite l’est tout autant : il s’agit d’une collecte indirecte, sans formulaire rempli volontairement.
La délibération du 15 mai 2025 contre SOLOCAL MARKETING SERVICES, 900 000 euros, concerne à nouveau des particuliers issus de jeux-concours, selon la CNIL (2025). Un manquement dépasse ce périmètre : l’article 7 du RGPD impose de pouvoir prouver le consentement. Un formulaire qui en recueille un sans en conserver la trace horodatée s’expose au même grief, quel que soit le marché visé.
Toutes les pages de la CNIL n’ont pas la même fraîcheur
Les pages citées ici s’échelonnent de 2018 à 2026, et cet écart mérite d’être connu. Dates affichées au relevé du 27 juillet 2026.
| Page de la CNIL | Date affichée | Ce qu’elle fonde ici |
|---|---|---|
| Prospection par courrier électronique | 10 juin 2026 | Régime des professionnels, intérêt légitime |
| Communications électroniques | 10 juin 2026 | Les trois natures de messages |
| Durées de conservation | 2 avril 2026 | Principe de durée déterminée |
| Cookies, mesure d’audience | 4 juillet 2025 | Exemption des traceurs de mesure |
| Cookies, que dit la loi | 29 septembre 2020 | Cadre ePrivacy, action positive |
| Minimiser les données collectées | 27 janvier 2020 | Recommandations de minimisation |
| Information et transparence | 26 juillet 2019 | Mentions et moment de l’information |
| Bases légales, consentement | 3 août 2018 | Les quatre critères cumulatifs |
La page qui porte les critères les plus discutés, celle du consentement, est la plus ancienne du lot. Cela n’en fait pas une source périmée, puisqu’elle reste publiée par l’autorité. Cela impose de la citer avec sa date.
Un point de vigilance, enfin. La page d’index de la CNIL sur la prospection commerciale indique que « les règles concernant la prospection commerciale par téléphone changent à partir du 11 août 2026 ». Le contenu de ce changement n’a pas été documenté ici et nous ne le décrivons donc pas. Nous le signalons parce qu’un formulaire qui collecte un numéro alimente une prospection téléphonique : portez cette date à votre calendrier de vérification, avec votre conseil.
Si vous corrigez ce point isolément sans regarder le reste du parcours, le gain se perdra ailleurs : tunnel de conversion B2B décrit la chaîne entière.
Une application concrète de ces règles mérite d’être vue en situation : le document téléchargeable contre formulaire, où conditionner l’accès à l’acceptation de recevoir des offres contraint le consentement. Voir livre blanc B2B.
En bref
- Séparez les trois régimes avant de discuter d’une case. Traceurs, base légale du traitement et consentement à la prospection relèvent de textes distincts. Une case à cocher ne répond qu’au troisième.
- Vérifiez l’objet de vos messages, pas le domaine de vos adresses. La CNIL conditionne le régime applicable aux professionnels à un objet de sollicitation en rapport avec la profession de la personne démarchée.
- Documentez la finalité de chaque champ et conservez la trace du consentement. La minimisation s’apprécie champ par champ, et l’article 7 du RGPD impose de pouvoir prouver un consentement recueilli.
- Faites valider votre dispositif par un professionnel du droit. Cet article donne une grille de lecture et des sources datées, il ne remplace ni un avocat ni un délégué à la protection des données.
C’est la méthode que nous appliquons sur les landing pages et la conversion en B2B : distinguer la conception de page de l’analyse juridique, sourcer chaque affirmation avec sa date, et renvoyer au bon interlocuteur ce qui n’est pas de notre ressort. Si vous voulez confronter vos pages à ces repères, discutons de votre projet.