Prospection par email en B2B : ce que la loi permet

Commençons par la phrase qui surprend le plus de dirigeants : en B2B, le consentement préalable n’est pas exigé.

La règle qui impose de recueillir un accord avant tout email commercial vise les particuliers. Pour la prospection de professionnels, la CNIL admet un autre fondement, l’intérêt légitime, dès lors que l’objet de la sollicitation est en rapport avec la profession de la personne démarchée.

Ce n’est pas une tolérance officieuse, c’est écrit sur la page de référence de l’autorité. Et l’exemple qu’elle donne est parlant : un message présentant les mérites d’un logiciel adressé à un directeur informatique entre dans ce cadre.

Cela ne signifie pas que tout est permis. Trois conditions s’appliquent, et deux d’entre elles sont presque toujours négligées. Ce texte les détaille, avec les sanctions réellement prononcées et une décision de juin 2026 qui vient de modifier le paysage.

Une précision d’usage : nous ne sommes pas juristes, ce texte décrit l’état des règles au 3 août 2026 à partir de leur lecture directe, et ne remplace pas l’avis d’un avocat sur votre situation.

Les trois conditions du B2B

Ces trois conditions sont cumulatives : il faut les trois.

L’objet doit être en rapport avec la profession de la personne. C’est la condition la plus structurante et la moins respectée. Elle interdit d’envoyer n’importe quoi à n’importe qui sous prétexte qu’il s’agit d’une adresse professionnelle. Proposer un logiciel de gestion des stocks à un responsable logistique, oui. Proposer une offre de mutuelle à la même personne parce que son adresse figure dans votre fichier, non.

La personne doit avoir été informée que ses coordonnées pouvaient être utilisées à des fins de prospection. Cette information se donne au moment de la collecte lorsque vous collectez vous-même, et selon des modalités particulières lorsque les données viennent d’ailleurs, ce que nous détaillons plus bas.

Elle doit pouvoir s’opposer facilement, à tout moment et sans frais. Et surtout, cette opposition doit être prise en compte durablement, ce qui suppose de tenir une liste d’opposition qui survit aux changements d’outil et aux nouveaux fichiers. Réimporter six mois plus tard un fichier contenant une personne qui s’était désinscrite est une faute évitable, et elle est fréquente.

Un point capital pour la construction d’un fichier : les adresses génériques ne sont pas concernées. La CNIL indique que les adresses du type contact@, info@ ou commande@, qui se rapportent à des personnes morales, ne sont pas soumises à ces principes. Une adresse nominative de la forme prenom.nom@entreprise.fr, en revanche, identifie une personne physique et reste une donnée personnelle.

Cette distinction a une conséquence pratique immédiate : une campagne construite sur des adresses génériques se trouve dans une situation nettement plus simple qu’une campagne construite sur des adresses nominatives. Elle est aussi moins efficace, ce qui pose un arbitrage réel plutôt qu’une question de conformité.

Les fichiers achetés ou constitués par extraction

Les fichiers achetés sont le sujet où l’écart entre la pratique et la règle est le plus large.

L’obligation d’information s’applique aussi, et elle a un délai. L’article 14 du règlement européen impose, lorsque les données n’ont pas été collectées directement auprès de la personne, de l’informer dans un délai raisonnable et au plus tard un mois après leur obtention. Cette information doit notamment indiquer la source des données.

C’est l’obligation la moins respectée du B2B français, et elle est pourtant simple à satisfaire : une phrase dans le premier message, indiquant d’où viennent les coordonnées, la remplit pour l’essentiel. Écrire « nous avons trouvé vos coordonnées sur votre site » ou « votre profil professionnel indique que vous êtes responsable de X » n’est pas seulement honnête, c’est ce que le texte demande.

Le fait qu’une donnée soit publique ne la rend pas réutilisable. La CNIL a publié une position explicite sur la réutilisation des données publiquement accessibles en ligne à des fins de démarchage : elles ne sont pas librement réutilisables par tout responsable de traitement. Le raisonnement « c’est sur internet, donc c’est libre » ne tient pas.

Un cas concret vaut mieux qu’un principe

Par une délibération du 8 décembre 2020, la CNIL a sanctionné une société de 20 000 euros pour avoir fait extraire les noms et fonctions de salariés depuis un réseau social professionnel, reconstitué leurs adresses électroniques professionnelles selon un format déduit, et adressé des messages publicitaires à environ 635 000 personnes, sans information suffisante sur l’origine des données. Le montant est modeste rapporté aux plafonds théoriques, et c’est précisément ce qui le rend instructif : c’est l’ordre de grandeur qui concerne une entreprise ordinaire.

Deux enseignements pratiques en découlent pour qui achète ou construit un fichier.

Demandez au vendeur l’origine des données et la preuve de l’information des personnes. Un courtier sérieux répond ; les autres vous vendent votre propre risque.

Prévoyez la phrase d’information dès le premier message. Elle coûte une ligne, elle règle l’essentiel, et elle améliore souvent le taux de réponse, parce qu’un destinataire qui comprend d’où vous sortez se méfie moins.

Comment construire un fichier qui tient ?

La conformité et l’efficacité se rejoignent au moment de la constitution du fichier, ce qui rend cette étape doublement rentable.

Partez de la fonction, pas du secteur. La condition légale porte sur le rapport avec la profession de la personne. Un fichier construit par fonction, du type responsable de la maintenance dans l’industrie mécanique, satisfait cette condition par construction. Un fichier construit par taille et par région, sans considération de fonction, oblige à une gymnastique pour justifier que le message concerne bien chaque destinataire.

Préférez la source identifiable. Un contact issu d’un annuaire professionnel, d’un salon auquel vous avez participé, d’une fédération dont vous êtes membre ou du site de l’entreprise elle-même se documente en une ligne. Un contact issu d’un fichier revendu trois fois ne se documente pas, et c’est exactement ce que l’obligation d’information vous demandera de faire.

Nettoyez avant d’envoyer, pas après

Trois vérifications suffisent : les doublons, les adresses de personnes ayant déjà exprimé une opposition, et les entreprises déjà clientes. Cette dernière est la plus embarrassante commercialement quand on l’oublie.

Séparez les adresses génériques des adresses nominatives. Puisque leur régime diffère, les mélanger dans une même campagne revient à appliquer le régime le plus contraignant à tout le fichier, ou pire, à appliquer le plus souple à des données qui ne le permettent pas.

Un mot sur le volume, qui est le paramètre le plus mal réglé. Un fichier de dix mille adresses mal ciblées produit moins de rendez-vous qu’un fichier de trois cents adresses choisies, et il produit en plus des plaintes, une dégradation de la réputation d’expédition et une exposition réglementaire. Le volume est la variable qu’on augmente quand on n’a pas envie de travailler le ciblage.

Ce qui fait échouer une campagne, et qui n’est pas juridique

La conformité réglée, la plupart des campagnes échouent pour des raisons qui n’ont rien à voir avec le droit. Trois dominent.

La délivrabilité. Un message parfaitement légal qui atterrit en indésirable n’a pas été envoyé. Trois éléments techniques la conditionnent, et ils se règlent une fois pour toutes : l’authentification du domaine expéditeur, l’usage d’un domaine dédié à la prospection plutôt que de votre domaine principal, et la montée progressive du volume plutôt que l’envoi massif dès le premier jour. Ce dernier point est celui que la précipitation fait sauter le plus souvent, et il grille durablement une adresse d’expédition.

L’absence de raison d’écrire à cette personne-là. Un message qui pourrait être adressé à n’importe qui sera traité comme tel. La personnalisation utile n’est pas l’insertion du prénom, c’est la phrase qui montre que vous savez à qui vous écrivez et pourquoi maintenant. Elle demande du travail, ce qui explique qu’elle soit rare, et c’est précisément ce qui la rend efficace.

La promesse trop grosse. En B2B, un premier message qui promet de transformer l’activité du destinataire obtient moins de réponses qu’un message qui propose une conversation précise sur un point précis. L’acheteur professionnel a reçu la première version des centaines de fois.

Une remarque qui relie les deux volets de cet article. Les trois causes d’échec ci-dessus se corrigent par le même geste que la conformité : réduire le volume, cibler par fonction, expliquer d’où l’on vient. Il est rare qu’une contrainte réglementaire pointe dans la même direction que l’efficacité commerciale, et c’est le cas ici.

Que doit contenir un message de prospection ?

Quatre éléments, dont trois relèvent du bon sens commercial autant que de la règle.

L’identité claire de l’expéditeur. Le code de la consommation qualifie de trompeuse une pratique commerciale lorsque la personne pour le compte de laquelle elle est mise en œuvre n’est pas clairement identifiable. Cela vise directement les envois masqués derrière un prénom seul, une entité floue ou une adresse d’expédition sans rapport avec l’entreprise.

Un objet qui ne trompe pas. Les objets simulant une réponse à une conversation qui n’a jamais eu lieu, du type « Re: notre échange », entrent dans le champ des pratiques trompeuses en plus d’être commercialement contre-productifs auprès d’un acheteur professionnel.

Un moyen simple de s’opposer. Et son corollaire, la prise en compte durable de la demande.

L’origine des données, lorsqu’elles ne viennent pas du destinataire.

Un mot sur une pratique répandue : la relance automatique en cascade. Rien ne l’interdit en soi, mais deux limites méritent d’être connues. D’une part, l’insistance sans nouvelle information est difficile à défendre comme un intérêt légitime, qui suppose une mise en balance avec les droits de la personne. D’autre part, une personne qui ne répond pas n’a pas donné son accord tacite : l’absence de réponse n’est pas un signal positif, et la traiter comme tel construit une réputation d’expéditeur qui finit par se payer en délivrabilité.

Combien de temps garder les données de prospection ?

Question rarement posée, et qui apparaît pourtant dans les motifs de sanction sous l’intitulé de conservation excessive.

Le principe est simple : une donnée se conserve le temps nécessaire à la finalité pour laquelle elle a été collectée, puis elle est supprimée ou archivée. Pour de la prospection, la durée usuellement retenue est de trois ans à compter du dernier contact émanant de la personne, un contact étant par exemple une réponse, un clic, un téléchargement ou une demande.

Trois précisions rendent cette règle applicable.

Un envoi de votre part n’est pas un contact. Relancer indéfiniment une personne qui n’a jamais réagi ne fait pas repartir le compteur. C’est même l’inverse : trois ans d’envois sans aucune réaction constituent un assez bon indice que la personne n’est pas concernée, ce qui fragilise l’intérêt légitime invoqué.

L’opposition, elle, se conserve indéfiniment

Le sort de l’opposition est le point contre-intuitif. Vous supprimez les données de prospection, mais vous devez garder la trace de qui s’est opposé, précisément pour ne pas le recontacter au prochain import. Cette liste d’opposition doit donc vivre hors de votre outil d’envoi, faute de quoi elle disparaîtra le jour où vous changerez de prestataire.

L’archivage n’est pas la conservation. Des données conservées pour une obligation légale, comptable par exemple, ne peuvent pas être réutilisées pour prospecter. Elles changent de statut en même temps que de finalité.

Une conséquence pratique pour qui achète des fichiers : la question à poser au vendeur n’est pas seulement d’où viennent les données, mais de quand elles datent. Un fichier constitué il y a quatre ans et jamais rafraîchi pose deux problèmes distincts, l’un réglementaire et l’autre d’efficacité, puisque la moitié des personnes auront changé de poste.

Les sanctions réelles, et leur ordre de grandeur

Les montants médiatisés donnent une image faussée du risque, comme nous l’avons montré ailleurs pour les obligations d’affichage d’un site. Voici ce qui concerne réellement une PME.

La CNIL a prononcé dix décisions de sanction relatives à la prospection commerciale en 2025. Trois cas documentés donnent l’échelle.

20 000 euros, en décembre 2020, pour l’extraction de profils professionnels et le démarchage de 635 000 personnes sans information sur l’origine des données.

80 000 euros, par une délibération du 15 mai 2025, contre une société de courtage de données, pour un consentement recueilli au moyen de formulaires favorisant visuellement l’acceptation, une transmission des données à des partenaires sans base légale valable, et une conservation excessive.

Ce second cas mérite attention pour une raison indirecte : si vous achetez des fichiers, vous achetez le travail de sociétés de ce type. La conformité de votre fournisseur devient un élément de votre propre exposition.

Un troisième cas, prononcé le même jour que le précédent, donne le haut de l’échelle : 900 000 euros contre une autre société de courtage de données, pour le démarchage de prospects sans consentement valable et la transmission de leurs données à des partenaires sans base légale. La décision s’accompagne d’une injonction de cesser toute prospection électronique sans consentement valable, assortie d’une astreinte de 10 000 euros par jour de retard au terme d’un délai de neuf mois. C’est ce mécanisme d’astreinte, plus que le montant initial, qui rend une sanction réellement contraignante.

Pour situer ces montants dans l’ensemble, le bilan 2025 de la CNIL recense 83 sanctions pour un total de 486 839 500 euros, mais aussi 143 mises en demeure, 31 rappels aux obligations légales et 2 avertissements. Deux enseignements pour une PME. D’abord, les montants spectaculaires concernent une poignée de très grands acteurs, deux d’entre eux concentrant à eux seuls 325 et 150 millions d’euros pour des manquements liés aux traceurs. Ensuite, la mise en demeure est de loin la suite la plus probable d’un contrôle, avec près de deux fois plus de mises en demeure que de sanctions. Elle n’est pas publique par défaut et elle ouvre un délai pour se mettre en conformité.

Signalons au passage une confusion très répandue. Une sanction de 525 000 euros pour prospection à partir de données de courtiers, prononcée en avril 2024, est régulièrement attribuée à une grande enseigne de commerce en ligne. Elle visait en réalité une autre société. Nous ne la détaillons pas davantage car la décision n’est plus consultable en ligne, mais l’exemple illustre à quel point ces chiffres circulent mal.

Ce qui a changé le 25 juin 2026

Une décision récente modifie le paysage, et elle est passée inaperçue du secteur.

Par sa décision n° 2026-1210 QPC du 25 juin 2026, le Conseil constitutionnel a jugé contraires à la Constitution les dispositions permettant que les mêmes faits de prospection non sollicitée soient sanctionnés par trois autorités différentes : la CNIL, l’autorité de régulation des communications électroniques et la direction générale de la concurrence, de la consommation et de la répression des fraudes.

Le motif tient à la nécessité des peines : ces dispositions permettaient de punir des faits identiques, qualifiés de la même manière, par des sanctions de même nature, aux fins de protéger les mêmes intérêts.

Deux conséquences pratiques, et il faut être précis sur ce qu’elles ne changent pas.

Ce qui change. L’abrogation est reportée au 31 octobre 2027, mais dès à présent, des poursuites ne peuvent être engagées ou continuées par une autorité dès lors qu’une autre les a déjà engagées pour les mêmes faits. Le risque de double sanction disparaît.

Ce qui ne change pas. Les règles de fond restent identiques. Le consentement, l’information, le droit d’opposition, les obligations relatives aux fichiers : rien de tout cela n’est remis en cause. Une entreprise reste sanctionnable, simplement par une seule autorité.

Autrement dit, cette décision assainit la procédure, elle n’ouvre aucune porte. Elle mérite d’être connue parce que vous rencontrerez, dans les mois qui viennent, des argumentaires qui en tireront des conclusions abusives.

Ce qui change le 11 août 2026, et ce qui ne change pas

Une échéance proche mérite d’être posée, parce qu’elle va provoquer beaucoup de confusion et qu’elle ne concerne pas ce que la plupart des gens croient.

À compter du 11 août 2026, en application de la loi du 30 juin 2025, un consommateur ne pourra plus être démarché par téléphone sans avoir donné son consentement préalable, sauf lorsque l’appel porte sur un contrat en cours. C’est un basculement complet : le régime actuel repose sur l’opposition, avec une liste sur laquelle il faut s’inscrire pour ne plus être appelé, et il devient un régime d’accord préalable.

La CNIL rappelle les caractéristiques que ce consentement doit présenter : il doit être « libre, spécifique, éclairé et univoque », supposer « une action positive et spécifique de la personne concernée », par exemple une case à cocher dédiée et non pré-cochée. Elle précise aussi que « l’acceptation de conditions générales d’utilisation ne peut pas suffire », et que l’accord doit pouvoir être retiré à tout moment.

Voici ce qu’il faut en retenir précisément, car la portée est plus étroite qu’il n’y paraît.

Cela vise le téléphone, pas le courrier électronique. Les règles applicables à la prospection par courriel, exposées plus haut, ne sont pas modifiées par ce texte.

Cela vise les consommateurs

La prospection entre professionnels relève d’un cadre distinct, celui décrit au début de cette page, qui ne bascule pas vers le consentement préalable.

La frontière est moins nette qu’elle n’en a l’air. Un artisan, un indépendant ou un dirigeant de très petite structure joint sur une ligne qui est aussi sa ligne personnelle rend l’exercice de qualification délicat. Si votre prospection téléphonique touche ce type d’interlocuteurs, l’échéance vous concerne en pratique, même si votre démarche est commerciale entre professionnels.

Un régime horaire s’applique encore d’ici là. Jusqu’au 11 août 2026, la prospection téléphonique reste autorisée du lundi au vendredi, de 10 à 13 heures et de 14 à 20 heures, et interdite en dehors de ces plages ainsi que les samedis, dimanches et jours fériés, sauf accord de la personne.

Une conséquence stratégique, pour finir. Ce mouvement d’ensemble va dans une direction constante depuis plusieurs années : ce qui reposait sur l’opposition passe progressivement au consentement. Construire aujourd’hui une prospection dont la légalité dépend entièrement de l’absence d’opposition revient à bâtir sur un régime qui se referme. Un fichier constitué à partir de personnes qui ont manifesté un intérêt réel ne subit pas ces basculements, ce qui est un argument de méthode autant que de conformité.

Le cas des messages sur les réseaux professionnels

Question posée à chaque fois, et la réponse honnête est qu’il s’agit d’une zone grise.

La doctrine de la CNIL sur la prospection définit son champ par le courrier électronique, les messages textuels et les automates d’appel. Elle ne traite pas explicitement des messageries de réseaux sociaux. Nous n’avons trouvé aucune position officielle tranchant la question de savoir si un message privé sur un réseau professionnel relève du même régime que l’email.

Ce qui est établi, en revanche, c’est le régime de la collecte : extraire des données depuis un réseau professionnel pour prospecter ensuite est ce qui a valu la sanction évoquée plus haut. Le fait que la plateforme soit accessible ne rend pas ses données réutilisables.

Le contrat de la plateforme, lui, est distinct du droit et il est explicite : ce qu’il interdit, ce qu’il ne chiffre pas, et ce que la pratique coûte réellement sont traités dans social selling, le coût réel.

En pratique, deux positions se défendent. La prudente consiste à appliquer au message privé les mêmes principes qu’à l’email, ce qui ne coûte rien puisque ces principes relèvent de toute façon du bon usage commercial. L’autre consiste à s’en tenir à la lettre des textes, en assumant l’incertitude. Nous recommandons la première, non par excès de précaution, mais parce que les conditions d’utilisation des plateformes elles-mêmes encadrent souvent la prospection de masse, indépendamment du droit français.

Une remarque de fond pour terminer sur ce point : la question réglementaire masque souvent une question d’efficacité. Un message envoyé à mille personnes sans rapport avec leur fonction est à la fois plus exposé juridiquement et moins performant qu’un message envoyé à cinquante personnes dont le métier correspond réellement à ce que vous proposez. La condition légale du rapport avec la profession et la condition commerciale de la pertinence désignent la même chose.

Ce point s’inscrit dans un arbitrage plus large, celui du partage entre publicité payante et acquisition organique, que nous traitons pilier en main avec les travaux disponibles et leurs limites.

En bref

• Le consentement préalable n’est pas exigé en B2B. La prospection de professionnels peut se fonder sur l’intérêt légitime, à trois conditions cumulatives.
• Ces trois conditions sont l’objet en rapport avec la profession, l’information de la personne, et l’opposition facile. Les deux dernières sont presque toujours négligées.
• Les adresses génériques sont hors champ. La CNIL l’écrit : contact@ ou info@ se rapportent à une personne morale.
• Un fichier acheté ou extrait impose d’informer les personnes sous un mois, en indiquant la source. C’est l’obligation la moins respectée, et une phrase dans le premier message la satisfait pour l’essentiel.
• Une donnée publique n’est pas librement réutilisable. La CNIL a publié une position explicite sur ce point.
• Les sanctions qui vous concernent se comptent en dizaines de milliers d’euros, pas en millions. Dix décisions ont visé la prospection en 2025.
• La décision du 25 juin 2026 supprime le cumul de sanctions entre trois autorités, sans modifier aucune règle de fond. Méfiez-vous des lectures abusives.
• La condition juridique et la condition commerciale se rejoignent : un message adressé à quelqu’un dont ce n’est pas le métier est à la fois plus exposé et moins efficace.

Si votre prospection repose sur un fichier dont personne ne connaît l’origine, c’est le premier point à traiter, avant même la rédaction des messages. Parlons de votre projet, ou découvrez notre approche de l’emailing B2B.