Ce que le RGPD impose à un emailing, en une page.
Envoyer des courriers électroniques à des gens, c'est traiter des données personnelles : une adresse professionnelle nominative en est une. Le règlement européen sur la protection des données s'applique donc à tout emailing, newsletter, prospection ou relance client, dès qu'une adresse identifie une personne. Il ne l'interdit pas, il l'encadre.
Deux textes s'ajoutent en France. Le code des postes et des communications électroniques, à son article L34-5, dit quand on peut prospecter sans accord préalable. La CNIL, l'autorité qui contrôle, publie la lecture qu'elle en fait, et sa page sur la prospection commerciale par courrier électronique, mise à jour en juin 2026, est la référence que nous suivons.
- Vers un particulier, il faut son accord avant le premier message. Une case cochée par lui, jamais pré-cochée, au moment où il a donné son adresse. Sans cet accord, pas de prospection, sauf pour un client existant sur des produits analogues.
- Vers un professionnel, l'accord préalable n'est pas exigé. À trois conditions : le message a un lien avec sa fonction, la personne est informée que son adresse sert à la prospection, et elle peut s'y opposer simplement et gratuitement.
- Dans tous les cas, chaque message identifie l'expéditeur et permet de dire stop. C'est la règle que la CNIL rappelle pour tous les cas, et celle que les contrôles regardent en premier.
- L'opposition s'applique tout de suite. Un désabonnement qui met une semaine à prendre effet est une infraction, pas un délai technique.
Quelle base légale pour quel emailing.
Le RGPD exige qu'un traitement repose sur une base légale, parmi six possibles. Pour l'emailing, deux comptent : le consentement et l'intérêt légitime. Choisir la bonne n'est pas un détail de juriste, c'est ce qui décide de ce que vous avez le droit d'envoyer, et à qui.
Le consentement : quand il est nécessaire
Il est obligatoire pour prospecter un particulier, et pour une newsletter à laquelle on s'abonne. Il doit être libre, spécifique, éclairé et univoque : une case décochée que la personne coche elle-même, avec une phrase qui dit ce qu'elle recevra. Une case pré-cochée est interdite. Un consentement donné pour une newsletter ne vaut pas pour des offres de partenaires. Et il doit pouvoir se prouver : date, source, formulation exacte, conservées tant que vous envoyez.
L'intérêt légitime : la base de la prospection B2B
La CNIL l'admet pour les professionnels quand l'objet du message est en rapport avec la profession de la personne démarchée. Son exemple : un appel qui présente un logiciel au directeur informatique d'une entreprise. La condition tient dans ce rapport avec la fonction. Écrire à un responsable achats pour un fournisseur industriel en relève. Écrire au même responsable pour une offre de vacances n'en relève pas, quelle que soit l'adresse.
L'intérêt légitime demande aussi une mise en balance : votre intérêt commercial contre les attentes raisonnables de la personne. Un professionnel s'attend à recevoir des sollicitations liées à son métier. Il ne s'attend pas à en recevoir dix par semaine du même expéditeur.
Les clients existants
Une personne qui vous a acheté quelque chose peut recevoir des offres pour des produits ou services analogues sans nouveau consentement, à condition d'avoir pu s'y opposer au moment de la collecte et à chaque message. C'est ce que la CNIL décrit comme l'exception pour les produits ou services analogues fournis par la même société. Un client qui a acheté un logiciel de facturation peut recevoir l'annonce du module de relance. Il ne devrait pas recevoir une offre sans lien, ni une offre d'un partenaire.
La CNIL le rappelle : les adresses du type contact@, info@ ou commande@ concernent des personnes morales et ne sont pas soumises aux principes ci-dessus. Cela ne veut pas dire qu'on peut leur envoyer n'importe quoi. Cela veut dire qu'un message envoyé à contact@ ne pose pas de question de consentement, et qu'il a aussi toutes les chances de n'être lu par personne.
Informer les destinataires, et écrire les bonnes mentions.
Le RGPD ne demande pas seulement une base légale. Il demande que les personnes sachent que vous avez leur adresse, d'où elle vient et ce que vous en faites. Les articles 13 et 14 fixent ce qu'il faut dire, et le moment change selon que l'adresse vient de la personne ou d'ailleurs.
Quand la personne vous a donné son adresse
L'information se donne au moment de la collecte : sur le formulaire, à côté du champ. Qui vous êtes, pourquoi vous collectez, combien de temps vous gardez, comment s'opposer, et où lire le reste. Une phrase et un lien suffisent.
Quand l'adresse vient d'une autre source
C'est le cas de toute prospection B2B construite à partir d'annuaires, de registres ou de recherches. L'article 14 impose d'informer la personne au plus tard un mois après la collecte, ou au premier message si vous lui écrivez avant. Concrètement, le premier message dit d'où vient l'adresse et comment ne plus rien recevoir. La CNIL ajoute que lorsque les données sont acquises auprès de tiers, il faut s'assurer que la personne a été informée de cet usage possible et qu'elle est en mesure de s'y opposer.
Ce que chaque message doit contenir
Le nom de l'expéditeur et un moyen de le joindre. Un lien ou une phrase pour s'opposer, qui fonctionne. Pour un message de prospection à froid, une ligne sur la source de l'adresse. Pour une newsletter, un lien de désabonnement en un clic. Rien de tout cela ne doit être caché en gris clair sous la signature : un contrôle regarde si une personne normale peut le trouver.
| Type d'envoi | Base légale | Ce qu'il faut avoir |
|---|---|---|
| Newsletter par abonnement | consentement | la case cochée, sa date et sa formulation, un désabonnement en un clic |
| Prospection à froid vers un professionnel | intérêt légitime | le lien avec la fonction, la source de l'adresse dans le message, l'opposition simple |
| Relance d'un client existant | intérêt légitime, produits analogues | l'opposition proposée dès la collecte et dans chaque message |
| Prospection vers un particulier | consentement préalable | l'accord donné avant le premier envoi, prouvable |
Construire une campagne conforme, de bout en bout.
La conformité ne se vérifie pas à la fin, elle se construit à chaque étape. Voici ce que nous faisons pour chaque campagne, et ce qu'un contrôle de la CNIL demanderait de voir.
La qualité et l'origine des données
Chaque adresse porte sa source : registre public, site de l'entreprise, recherche nominative. Une adresse dont on ne sait pas d'où elle vient ne devrait pas être dans la base, parce qu'on ne pourra ni l'expliquer dans le message ni la justifier en cas de demande. Les fichiers achetés posent exactement ce problème : leur vendeur promet qu'ils sont conformes, et vous restez responsable de ce que vous envoyez.
La conservation
Le RGPD impose une durée limitée, sans la chiffrer. La CNIL a longtemps donné trois ans à compter du dernier contact comme repère pour les données de prospection. Le principe est simple : une personne qui n'a jamais répondu en trois ans ne devrait plus être dans la base. Et une personne qui s'est opposée reste dans une liste de refus, avec le strict minimum, pour que vous ne la recontactiez pas.
La sous-traitance
L'outil d'envoi, le prestataire de prospection, l'hébergeur de votre base sont des sous-traitants. L'article 28 impose un contrat écrit qui dit ce qu'ils font des données, où elles sont, et qu'ils ne les utilisent pas pour eux. Demandez-le avant de signer. Un prestataire qui n'en a pas n'a pas réfléchi à la question, et c'est vous qui répondrez.
Le suivi des ouvertures et des clics
Mesurer qui a ouvert et cliqué est un traitement en plus, et il doit être annoncé dans l'information donnée. Pour une prospection B2B, mesurer les réponses suffit à savoir si la campagne marche, et évite un suivi que la personne n'attend pas. Pour une newsletter, le suivi est courant et doit figurer dans les mentions. Dans les deux cas, le pixel de suivi n'est pas invisible aux yeux du droit.
Les droits des personnes, et ce que vous risquez.
Toute personne à qui vous écrivez a des droits sur ses données, et un emailing qui ne sait pas y répondre est en infraction même si chaque message est parfait.
L'opposition, immédiate et sans justification
L'article 21 du RGPD donne un droit d'opposition à tout moment à la prospection, sans motif. Une fois exprimé, il s'applique tout de suite : plus aucun message, y compris les relances déjà programmées. C'est la raison technique pour laquelle une séquence de prospection doit s'arrêter dès qu'une réponse arrive, avant même qu'un humain l'ait lue. Un prospect qui se désinscrit et reçoit quand même la relance suivante est la plainte la plus fréquente, et la plus facile à éviter.
L'accès, la rectification, l'effacement
La personne peut demander ce que vous avez sur elle, d'où ça vient, et exiger une correction ou une suppression. Vous avez un mois pour répondre. Pour une base de prospection, la réponse tient en quelques lignes si chaque adresse a sa source, et devient impossible si elle n'en a pas.
Les sanctions, et ce qui arrive vraiment
Le RGPD prévoit des amendes jusqu'à vingt millions d'euros ou quatre pour cent du chiffre d'affaires mondial. La CNIL a sanctionné des entreprises pour de la prospection sans base légale, sans information ou sans opposition effective, avec des montants qui vont de quelques dizaines de milliers d'euros pour des petites structures à plusieurs millions pour des grandes. Ce qui arrive le plus souvent à une PME n'est pas l'amende : c'est une plainte, un courrier de la CNIL qui demande des explications, et l'obligation de prouver ce qu'on a fait. Sans source, sans date de consentement, sans liste d'opposition, on ne peut rien prouver.
L'obligation de répondre à une opposition ou à une demande d'accès ne s'arrête pas quand vous déléguez l'envoi. Le prestataire est sous-traitant, vous restez responsable du traitement. Choisissez-le pour sa capacité à arrêter une séquence en une seconde et à vous dire d'où vient chaque adresse, pas pour son volume.
Quatre cas pratiques pour une PME.
Le cabinet de conseil qui veut prospecter par courrier électronique
Cible : des directeurs financiers de PME industrielles. Base légale : l'intérêt légitime, le message porte sur leur fonction. Ce qu'il faut : des adresses nominatives dont on connaît la source, une phrase dans le premier message qui dit d'où elle vient, une opposition dans chaque message, et une séquence qui s'arrête sur réponse. Ce qu'il ne faut pas : un fichier acheté, une relance après un refus, un message envoyé à contact@ en espérant qu'il soit transféré.
La boutique en ligne qui envoie une newsletter
Base légale : le consentement, recueilli par une case décochée au moment de la commande ou de l'inscription. Ce qu'il faut : la preuve du consentement pour chaque adresse, un désabonnement en un clic dans chaque envoi, une mention du suivi des ouvertures si vous le faites. Ce qu'il ne faut pas : inscrire tous les acheteurs sans leur demander, ni envoyer les offres d'un partenaire à une liste qui a consenti à vos nouveautés.
L'éditeur de logiciel qui relance ses clients
Base légale : l'intérêt légitime, exception des produits analogues. Ce qu'il faut : avoir proposé l'opposition dès la collecte, et dans chaque message. Ce qu'il ne faut pas : considérer qu'un client est acquis pour tout ce que vous vendrez un jour, ni continuer après une résiliation sans lui avoir reproposé le choix.
L'artisan qui a récupéré des cartes de visite sur un salon
Base légale : l'intérêt légitime, si le message est lié à la fonction de la personne. Ce qu'il faut : l'informer dans le premier message qu'il a reçu l'adresse sur ce salon, et lui permettre de s'opposer. Ce qu'il ne faut pas : attendre un an pour écrire, ni ajouter ces adresses à une newsletter grand public sans leur accord.
Ces quatre cas ont une chose en commun : la conformité tient dans trois habitudes, connaître la source, informer dans le message, arrêter dès qu'on le demande. Le reste est de la documentation. Pour le cas précis du cold email B2B, texte par texte, avec la checklist, notre page dédiée va plus loin. Et la méthode complète de prospection, dont le cadre légal n'est qu'une étape, est sur la page prospection B2B.
Comment nous appliquons ces règles chez Onven.
Nous ne prospectons que des professionnels, pour des offres liées à leur fonction. Chaque adresse de nos fichiers porte sa source et son niveau de confiance. Le premier message dit d'où vient l'adresse et comment ne plus rien recevoir. Toute réponse, quelle qu'elle soit, arrête la séquence avant qu'un humain l'ait lue, et une opposition met l'adresse dans une liste de refus qui survit à la campagne. Nous ne suivons pas les ouvertures, nous mesurons les réponses. Et nous refusons les fichiers achetés, pour la conformité autant que pour la réputation du domaine d'envoi.
Ce que nous ne faisons pas non plus : donner un avis juridique sur votre situation. Cette page décrit les règles telles que la CNIL les publie et telles que nous les appliquons. Pour un cas particulier, un traitement sensible ou un doute, l'avis d'un avocat ou d'un délégué à la protection des données reste la bonne réponse.
Questions fréquentes.
Que dit l'article 34 du RGPD ?
Il traite de la communication d'une violation de données aux personnes concernées. Quand une fuite ou un accès non autorisé présente un risque élevé pour les personnes, l'entreprise doit les prévenir directement, dans les meilleurs délais, en décrivant la nature de la violation et les mesures prises. Pour un emailing, cela vise le cas d'une base d'adresses exposée ou dérobée. Il ne faut pas le confondre avec l'article L34-5 du code des postes et des communications électroniques, qui, lui, fixe les règles françaises de la prospection par courrier électronique.
L'automatisation par IA augmente-t-elle le risque de ne pas respecter le RGPD ?
Elle l'augmente si on lui laisse décider de qui contacter ou de quand relancer sans règle. Elle le réduit si elle applique mécaniquement ce qu'un humain oublie : mettre la source dans chaque message, arrêter la séquence dès qu'une réponse arrive, tenir la liste d'opposition. Le point à surveiller est ce qu'on donne au modèle : une adresse nominative et un historique d'échange sont des données personnelles, et l'outil qui les traite est un sous-traitant qui doit avoir un contrat.
Comment être sûr que les contacts utilisés peuvent légalement être prospectés ?
En vérifiant trois choses pour chaque adresse : qu'elle désigne un professionnel dans sa fonction, que votre message a un rapport avec cette fonction, et que vous savez d'où elle vient pour pouvoir le dire dans le message. Une adresse dont la source est inconnue ne remplit pas la troisième condition. C'est pourquoi un fichier acheté sans détail de provenance ne peut pas être utilisé sereinement, quelle que soit la promesse de conformité du vendeur.
Que se passe-t-il si un prospect se désinscrit mais reçoit quand même un email ?
C'est une infraction, et la plainte la plus fréquente à la CNIL en matière de prospection. Le droit d'opposition s'applique immédiatement, relances programmées comprises. Techniquement, cela impose que la désinscription arrête la séquence sans intervention humaine et que l'adresse entre dans une liste de refus consultée avant chaque envoi, y compris des campagnes futures. Si cela vous arrive, présentez vos excuses, confirmez l'arrêt, et corrigez l'outil : un second envoi après une plainte se défend beaucoup moins bien.
Une solution de prospection conforme vaut-elle le coût face à un envoi manuel ?
L'envoi manuel n'est pas plus conforme, il est seulement plus lent. Ce qui rend une prospection conforme, c'est la source de chaque adresse, l'information dans le message, l'arrêt sur opposition et la preuve de tout cela. À la main, on oublie l'un des quatre au premier mois chargé. Une solution qui les applique mécaniquement coûte moins que le temps qu'elle remplace, à condition qu'elle sache réellement arrêter une séquence et dire d'où vient une adresse. Une solution qui envoie au volume sans ces deux fonctions n'est pas conforme, quel que soit son prix.
Qui est responsable en cas de problème : mon entreprise ou le logiciel d'emailing ?
Votre entreprise, en tant que responsable du traitement. Le logiciel ou le prestataire d'envoi est un sous-traitant : il agit sur vos instructions, doit avoir un contrat qui l'encadre, et peut être tenu responsable de ses propres manquements, une fuite de données par exemple. Mais le choix des destinataires, la base légale, l'information et le respect de l'opposition restent votre responsabilité. Déléguer l'envoi ne délègue pas la conformité.