C'est la première question que posent les entreprises avant de lancer une prospection, et les réponses trouvées en ligne oscillent entre « c'est interdit » et « personne ne contrôle ». Ni l'une ni l'autre n'est exacte. Voici ce que disent les textes, avec les articles, et ce que cela change concrètement pour vos envois.
Prospecter des professionnels par email sans leur accord préalable est licite en France, à trois conditions cumulatives : le message doit être en rapport avec la profession de la personne, celle-ci doit avoir été informée de l'usage de son adresse, et elle doit pouvoir s'y opposer simplement et gratuitement.
Pour les particuliers, la règle s'inverse : leur consentement préalable est nécessaire. C'est cette frontière, et elle seule, qui sépare la prospection légale du spam.
On résume souvent la règle par « en B2B on a le droit, en B2C il faut le consentement ». C'est presque exact, mais le raccourci fait manquer le critère qui compte réellement. Ce n'est pas le statut de votre destinataire qui décide, c'est le rapport entre votre message et son métier.
La CNIL formule le principe ainsi : « La prospection à l'égard de professionnels peut être fondée sur l'intérêt légitime de l'organisme lorsque l'objet de la sollicitation est en rapport avec la profession. »Source : CNIL, la prospection commerciale par courrier électronique
La conséquence pratique est nette. Proposer un logiciel de gestion de chantier au gérant d'une entreprise de maçonnerie entre dans le cadre. Proposer une offre de mutuelle personnelle ou un placement financier à ce même gérant, sur son adresse professionnelle, n'y entre pas : le message n'a rien à voir avec l'exercice de son métier, et il relève alors du régime applicable aux particuliers, donc du consentement préalable.
Une offre de service adressée à quelqu'un dont la fonction la rend pertinente : un outil de facturation à un dirigeant, une prestation de recrutement à un responsable des ressources humaines, une solution logistique à un directeur d'exploitation.
Toute sollicitation adressée à un particulier, et toute offre sans lien avec la fonction de la personne, même envoyée sur une adresse professionnelle. Le support ne change pas la nature du message.
C'est le point qui pose le plus de difficultés en pratique, parce que toutes les adresses d'une entreprise n'ont pas le même statut juridique. Une adresse qui identifie une personne physique est une donnée personnelle et déclenche le RGPD. Une adresse qui ne désigne que la société ne le fait pas de la même façon.
| Type d'adresse | Statut | Ce que vous pouvez faire | Le point de vigilance |
|---|---|---|---|
| Nominative professionnelle prenom.nom@societe.fr |
Donnée personnelle | Prospection possible sur la base de l'intérêt légitime, si le message est lié à la fonction de la personne. | C'est le cas le plus courant et le plus encadré : information de la personne et droit d'opposition obligatoires. |
| Générique d'entreprise contact@, info@, commercial@ |
Personne morale | La CNIL indique que ces adresses, qui concernent des personnes morales, ne sont pas soumises aux principes applicables aux personnes physiques. | Le taux de réponse y est nettement plus faible, et rien ne dispense de rester pertinent et identifiable. |
| Personnelle prenom@gmail.com |
Régime particulier | Consentement préalable requis, même si la personne s'en sert pour son activité professionnelle. | Fréquent chez les indépendants et les très petites entreprises : dans le doute, abstenez-vous. |
| Personne qui s'est opposée quel que soit le format |
Interdit | Aucun envoi, sur aucun canal, pour aucune campagne future. | L'opposition doit être enregistrée dans une liste d'exclusion partagée par tous vos outils, pas seulement celui qui a envoyé le message. |
| Client existant contact déjà en relation |
Cadre plus large | La relation commerciale existante facilite la sollicitation pour des produits ou services analogues. | Le droit d'opposition reste entier : un client peut demander l'arrêt des sollicitations à tout moment. |
Deux corpus se superposent, ce qui explique une bonne partie de la confusion ambiante. Le premier régit l'envoi du message, le second le traitement des données qui permet de l'envoyer. Respecter l'un sans l'autre ne suffit pas.
Les articles L32 et L34-5 encadrent la prospection directe par voie électronique. C'est de là que vient l'exigence de consentement préalable pour les particuliers, et l'obligation, dans chaque message, de permettre au destinataire de connaître l'identité de l'expéditeur et d'exprimer son refus par un moyen simple.
Il s'applique dès que vous manipulez une donnée identifiant une personne physique. Il fournit la base légale de la prospection B2B, l'intérêt légitime, impose d'informer les personnes y compris quand la donnée ne vient pas d'elles, et consacre un droit d'opposition à la prospection.
S'appuyer sur l'intérêt légitime n'est pas une case à cocher. La CNIL demande trois choses : que l'intérêt poursuivi soit réel et légitime, que le traitement soit nécessaire pour l'atteindre, et qu'il ne crée pas de déséquilibre au détriment des droits des personnes concernées. Cette mise en balance doit être documentée, précisément pour pouvoir être présentée en cas de contrôle.Source : CNIL, la base légale de l'intérêt légitime
C'est une bonne nouvelle pour qui prospecte sérieusement : une cible étroite et pertinente est plus facile à justifier qu'un fichier de cinquante mille adresses achetées. La conformité et l'efficacité poussent ici dans le même sens.
C'est l'obligation la plus systématiquement oubliée, et c'est celle qui distingue le plus nettement une prospection tenue d'une prospection improvisée. Quand vous obtenez une adresse ailleurs que de la personne elle-même, par un annuaire professionnel, un salon, un site public ou un fournisseur de données, vous devez l'informer de ce que vous faites de ses données.
Ce que cette information doit couvrir : qui vous êtes, pourquoi vous la contactez, d'où vient son adresse, combien de temps vous la conservez, et comment exercer ses droits. Elle peut tenir en quelques lignes en bas du message renvoyant vers une page dédiée, ce qui est la pratique la plus courante et la plus lisible.
La formulation compte moins que le fait qu'elle soit concise, compréhensible et facilement accessible. Une politique de confidentialité de douze pages écrite en langage juridique remplit mal cette obligation, même si elle contient tout.
Cochez ce qui est déjà en place chez vous. Ce qui reste vide est exactement ce qu'un contrôle regarderait en premier.
Les articles alarmistes agitent le plafond de sanction du RGPD, vingt millions d'euros ou quatre pour cent du chiffre d'affaires mondial. Ce plafond existe, il vise les manquements les plus graves, et il ne décrit pas ce qui attend une PME dont la prospection est mal cadrée.
La séquence réelle commence presque toujours par une plainte. Une personne contactée signale l'envoi, la CNIL instruit, et selon la gravité elle adresse un rappel à l'ordre, une mise en demeure de se mettre en conformité, une injonction assortie d'une astreinte, ou une amende. Pour une petite structure, le scénario le plus fréquent reste la mise en demeure, avec un délai pour corriger.
Le risque le plus coûteux au quotidien est ailleurs, et il est immédiat : la réputation d'expédition. Des envois massifs mal ciblés génèrent des signalements en courrier indésirable, votre nom de domaine se retrouve mal classé par les fournisseurs de messagerie, et vos emails ordinaires, devis compris, finissent par ne plus arriver. On répare une amende, on répare beaucoup plus lentement un domaine grillé.
Cette page est une synthèse documentaire à visée pratique, pas un conseil juridique. Elle s'appuie sur les publications de la CNIL et sur les textes cités, mais chaque situation a ses particularités. Pour un cas sensible, faites valider votre dispositif par un conseil ou par votre délégué à la protection des données.
On peut être parfaitement en règle et n'être lu par personne. Les fournisseurs de messagerie appliquent leurs propres critères, indépendants du droit, et ils filtrent d'abord sur la réputation de votre domaine d'envoi. Trois enregistrements techniques conditionnent cette réputation, et leur absence suffit à faire basculer vos messages en indésirables.
SPF déclare quels serveurs ont le droit d'envoyer en votre nom. DKIM signe cryptographiquement vos messages pour prouver qu'ils n'ont pas été modifiés. DMARC dit aux fournisseurs quoi faire quand l'un des deux échoue, et vous renvoie des rapports. Les trois se configurent dans les enregistrements DNS du domaine, une fois pour toutes.
Envoyer une campagne depuis votre domaine principal expose votre courrier quotidien : si la réputation se dégrade, vos devis et vos factures cessent d'arriver en même temps que vos messages de prospection. Un sous-domaine dédié isole le risque, au prix d'une montée en charge progressive avant d'atteindre un volume normal.
Le lien avec ce qui précède est direct. Un fichier mal ciblé produit des signalements en indésirable, ces signalements dégradent la réputation, et la dégradation punit tous vos envois. Une prospection conforme, restreinte et pertinente n'est donc pas seulement plus sûre juridiquement, elle est mécaniquement plus lisible. Les deux exigences convergent, ce qui n'est pas si fréquent.
Ce cadre n'est pas une contrainte que nous subissons, c'est ce qui structure la façon dont le système est construit. Le ciblage part d'une définition explicite de qui doit être contacté et pourquoi, ce qui donne des volumes modestes et un intérêt légitime facile à justifier. Chaque message identifie Richad et l'entreprise pour laquelle il écrit, porte un lien de désinscription fonctionnel et renvoie vers l'information sur l'origine des données.
Une opposition arrête la séquence immédiatement et alimente une liste d'exclusion permanente qui vaut pour toutes les campagnes suivantes. Les relances sont limitées en nombre et espacées, parce qu'insister auprès de quelqu'un qui ne répond pas dégrade la délivrabilité sans produire de client. Le détail du dispositif est décrit sur la page prospection automatisée B2B.
Oui dès lors qu'elle permet d'identifier une personne physique, ce qui est le cas de prenom.nom@societe.fr : le RGPD s'applique alors pleinement, y compris l'obligation d'information et le droit d'opposition. Une adresse générique du type contact@societe.fr est traitée différemment puisqu'elle désigne la personne morale, et la CNIL indique que ces adresses ne sont pas soumises aux principes applicables aux personnes physiques. C'est la seule distinction qui compte vraiment quand vous constituez un fichier.
Sept principes structurent le règlement : licéité, loyauté et transparence du traitement ; finalité déterminée et explicite ; minimisation des données collectées ; exactitude ; limitation de la durée de conservation ; intégrité et confidentialité ; et responsabilité, qui oblige à pouvoir démontrer sa conformité. En prospection, les deux plus souvent négligés sont la minimisation, parce qu'on collecte plus que nécessaire par confort, et la limitation de conservation, parce que personne ne purge jamais une base de contacts.
Ne collecter que ce qui sert la finalité annoncée, et informer les personnes de ce que vous faites de leurs données. Appliqué à la prospection B2B, cela veut dire se limiter aux coordonnées professionnelles utiles à votre message, sans agréger au passage tout ce que vous pourriez trouver sur la personne, et prévenir de l'usage de son adresse même lorsque celle-ci provient d'une source tierce. Un fichier enrichi de données dont vous n'avez pas l'usage est un risque sans contrepartie.
Elle doit être concise, compréhensible et aisément accessible, formulée en termes clairs et simples. C'est cette exigence qui rend insuffisante une politique de confidentialité interminable et truffée de renvois juridiques, même complète sur le fond. En pratique, deux ou trois phrases en bas du message, renvoyant vers une page qui détaille l'origine des données et les droits des personnes, remplissent mieux l'obligation qu'un document que personne ne lira.
Les outils de vérification interrogent le serveur de messagerie pour savoir si la boîte existe, sans envoyer de message. Cette étape sert autant la conformité que la délivrabilité : écrire à des adresses mortes fait grimper votre taux d'échec, ce que les fournisseurs de messagerie interprètent comme un signal de fichier acheté. Un taux d'échec élevé dès les premiers envois est le meilleur indicateur qu'un fichier ne devrait pas être utilisé du tout.
Un transfert vers un pays tiers n'est possible que s'il offre des garanties suffisantes, soit parce que la Commission européenne a reconnu son niveau de protection comme adéquat, soit par un encadrement contractuel adapté. Le cas se présente plus souvent qu'on ne le croit, puisque beaucoup d'outils d'envoi et d'enrichissement hébergent leurs serveurs hors d'Europe. Cela ne les rend pas inutilisables, mais c'est un point à vérifier dans les conditions de chaque prestataire plutôt qu'à découvrir en cas de contrôle.
La CNIL dispose d'une échelle graduée : rappel à l'ordre, mise en demeure, injonction sous astreinte, puis amende administrative, dont le RGPD fixe le plafond à vingt millions d'euros ou quatre pour cent du chiffre d'affaires mondial pour les manquements les plus graves. Ces plafonds visent des situations sans rapport avec une PME qui prospecte maladroitement, pour laquelle la mise en demeure assortie d'un délai de correction reste le scénario le plus probable.
Dites-nous qui vous voulez atteindre. On vous dit si c'est faisable proprement, et comment le dispositif se cadre.
Parler de ma prospection →