Cold email RGPD : les règles B2B de la CNIL en France

En bref

La question revient à chaque fois qu’une équipe française commence à prospecter par email : est-ce que le RGPD l’interdit ? La réponse de la CNIL est publique et tient en peu de mots : entre professionnels, la prospection par courrier électronique est possible sans consentement préalable, à condition que la personne ait été informée lors de la collecte de son adresse, qu’elle puisse s’y opposer simplement et gratuitement, et que le message concerne son activité professionnelle. Ce n’est ni un vide juridique ni une tolérance : c’est un cadre, et il est plus clair que la plupart des gens ne le croient.

Ce guide reprend ce cadre point par point, en s’appuyant sur la page de la CNIL consacrée à la prospection par courrier électronique, et il précise ce qui reste interdit. Il ne remplace pas un avis juridique ; il vous donne les règles à appliquer et les mots à mettre dans vos emails. Ces règles sont celles que suit l’agent de prospection Mailbase : origine de l’adresse indiquée, opposition en une réponse, liste d’exclusion tenue par entreprise.

La distinction qui change tout : particulier ou professionnel

Le droit français distingue la prospection vers les particuliers (B2C), qui exige un consentement préalable explicite sauf exceptions étroites, et la prospection vers les professionnels (B2B), qui relève d’un régime d’opposition. Ce qui compte n’est pas la forme de l’adresse mais le lien avec la fonction : une adresse professionnelle nominative (prenom.nom@entreprise.fr) est une donnée personnelle, mais on peut y écrire sans consentement si le message a un rapport avec la fonction de la personne dans l’entreprise. Écrire à un directeur d’achats pour lui proposer un fournisseur est de la prospection B2B ; lui proposer une assurance auto personnelle n’en est pas.

Les adresses génériques (contact@, info@, commande@) ne sont pas des données personnelles : le RGPD ne s’y applique pas directement, mais les règles de loyauté (identification claire de l’expéditeur, possibilité de s’opposer) restent de bonne pratique et le régime de l’opposition s’applique de toute façon aux messages de prospection. Enfin, un entrepreneur individuel est une personne physique : son adresse est personnelle, mais la prospection liée à son activité reste du B2B.

• B2C : consentement préalable ; B2B : information et droit d’opposition
• Le critère est le lien entre le message et la fonction de la personne
• Adresse générique : pas une donnée personnelle, mais opposition à respecter
• Entrepreneur individuel : personne physique, prospection B2B si liée à l’activité

Les quatre conditions à respecter en B2B

Première condition : l’adresse doit être liée à la fonction. Vous écrivez à quelqu’un en tant que dirigeant, acheteur, responsable d’un service, et votre proposition concerne cette fonction. Deuxième condition : la personne doit être informée. Quand vous collectez l’adresse sans qu’elle vous l’ait donnée (sur un site, dans un annuaire, dans le registre), l’article 14 du RGPD vous impose de l’informer au plus tard lors de la première communication : qui vous êtes, d’où vient l’adresse, pourquoi vous écrivez, comment s’opposer. Une phrase en fin d’email suffit.

Troisième condition : l’opposition doit être simple et gratuite, dans chaque message. « Répondez stop » ou un lien fonctionnent, à condition que la demande soit réellement appliquée, tout de suite, et que la personne ne reçoive plus rien ensuite, y compris d’un autre commercial de votre équipe. Quatrième condition : la durée de conservation doit être limitée. La CNIL retient, dans son référentiel sur la gestion commerciale, une durée de trois ans à compter du dernier contact émanant du prospect pour les données de prospection ; au-delà, on supprime. Une liste d’exclusion, elle, se conserve : c’est la preuve que vous respectez l’opposition.

• Adresse liée à la fonction, message lié à la fonction
• Information au premier message : qui, d’où, pourquoi, comment s’opposer
• Opposition simple, gratuite, appliquée sans délai, partagée par toute l’équipe
• Trois ans après le dernier contact du prospect, puis suppression

Ce qui reste interdit, même en B2B

Quatre pratiques sont hors cadre. Écrire à un particulier sans consentement, ce qui inclut l’adresse personnelle d’un dirigeant si le message n’a aucun lien avec sa fonction. Masquer ou falsifier l’identité de l’expéditeur, l’objet ou l’adresse de réponse : le message doit dire honnêtement qui écrit et pourquoi. Ne pas offrir d’opposition, ou en offrir une qui ne fonctionne pas. Et continuer à écrire après un « stop », ce qui transforme une prospection licite en harcèlement et vaut signalement, plainte, et parfois sanction.

Deux zones grises méritent une règle de prudence. La collecte automatisée massive d’adresses sur le web, même professionnelles, pose un problème de proportionnalité : ce n’est pas la collecte qui est en cause, c’est son échelle et l’absence d’information. Écrire à quelques personnes choisies, avec l’origine de l’adresse indiquée, est défendable ; aspirer cent mille adresses et les arroser ne l’est pas. Et l’achat de fichiers : vous répondez de l’origine des adresses que vous utilisez, et si le vendeur ne peut pas prouver que les personnes ont été informées, c’est vous qui portez le risque. Une liste construite depuis le registre et les mentions légales a l’avantage d’avoir une origine que vous pouvez expliquer.

• Pas de prospection vers des particuliers sans consentement
• Pas d’expéditeur, d’objet ou d’adresse de réponse trompeurs
• Pas de message sans opposition, pas de message après un stop
• Collecte massive et fichiers achetés : le risque est pour vous

Mettre les règles dans vos emails et vos outils

Concrètement, chaque email de prospection B2B comporte : votre nom et votre entreprise, une adresse de réponse réelle, une ligne sur l’origine de l’adresse, et un moyen de s’opposer. Votre outil doit tenir une liste d’exclusion partagée, appliquée avant chaque envoi, et une trace de la date et de l’origine de chaque adresse. Votre site doit avoir une politique de confidentialité qui mentionne la prospection et les droits des personnes, ce que les mentions obligatoires supposent déjà.

Ces règles servent aussi votre délivrabilité : les signalements pour spam viennent presque toujours de messages qui ne disent pas d’où vient l’adresse, n’offrent pas de sortie, ou arrivent en salve. Un email honnête, court, envoyé à quelques personnes par jour, respecte la CNIL et reste dans les seuils que les fournisseurs de messagerie imposent aux expéditeurs.

• Identité, adresse de réponse réelle, origine de l’adresse, opposition : dans chaque email
• Liste d’exclusion partagée et appliquée avant chaque envoi
• Date et origine de chaque adresse conservées
• Politique de confidentialité à jour sur votre site

Erreurs fréquentes

• Acheter un fichier au lieu de partir du registre SIRENE, qui est exhaustif, gratuit et à jour.
• Deviner une adresse email au lieu de la lire dans les mentions légales, puis de la vérifier.
• Écrire le même texte à cent entreprises au lieu d’un email par personne, à partir d’un fait vrai.
• Envoyer en salve depuis son domaine principal et le brûler pour tous les envois suivants.

Sources et lectures

Official docs for current setup details, pricing, and API behavior — verify specifics there, since they change.

Guides associés

More on cold email rgpd and the surrounding prospection workflow: