En bref. Un mail de prospection B2B est permis sans consentement préalable si le message concerne le métier de la personne, si elle est informée (qui lui écrit, pourquoi, et d'où viennent ses coordonnées), et si elle peut refuser la suite simplement et gratuitement.
Ce guide est une synthèse pratique des textes et des recommandations de la CNIL. Il ne remplace pas l'avis d'un juriste pour un cas particulier.
Particuliers et professionnels : deux régimes.
La prospection par mail est encadrée par deux textes : l'article L.34-5 du Code des postes et des communications électroniques, qui pose le principe du consentement préalable, et le RGPD. En les appliquant, la CNIL distingue deux régimes : l'un pour les particuliers, l'autre, plus souple, pour les professionnels.
| Écrire à un particulier | Écrire à un professionnel | |
|---|---|---|
| Le principe | Consentement préalable obligatoire : la personne doit avoir accepté de recevoir vos messages | Pas de consentement préalable : la personne doit être informée et pouvoir s'opposer |
| La condition | Exception pour vos clients, pour des produits ou services proches de ceux qu'ils ont achetés | Le message doit être en rapport avec sa profession |
| Ce qui vous y autorise (base légale du RGPD) | Le consentement | L'intérêt légitime de l'entreprise qui prospecte |
| La désinscription | Obligatoire dans chaque message | Obligatoire dans chaque message |
Retenez la conséquence la plus importante : si votre message n'a aucun rapport avec le métier de la personne, ce sont les règles des particuliers qui s'appliquent, et il vous faut son consentement préalable.
Les trois conditions de la prospection B2B.
1. Un message en rapport avec son métier
Proposer un logiciel de gestion de flotte à un responsable logistique : c'est permis. Proposer un séjour de vacances à ce même responsable, sur son adresse professionnelle : non, l'offre n'a pas de lien avec sa fonction.
C'est pour cela qu'un bon ciblage n'est pas qu'une question d'efficacité : viser la bonne fonction, c'est aussi ce qui rend votre démarche légale.
2. Une personne informée, qui peut s'opposer
La personne doit savoir qui la contacte et pouvoir refuser les prochains messages, simplement et gratuitement : un lien de désinscription ou une simple réponse, sans formulaire compliqué ni création de compte.
Si son adresse n'a pas été obtenue auprès d'elle (annuaire, réseau professionnel, base de données), le RGPD demande aussi de l'informer au plus tard lors du premier contact, et en tout cas dans le mois qui suit l'obtention de ses coordonnées : qui vous êtes, pourquoi vous la contactez, d'où viennent ses coordonnées et comment exercer ses droits (article 14 du RGPD). En pratique, une courte mention en bas du premier mail, avec un lien vers votre politique de confidentialité. Et si vous achetez un fichier, vérifiez que le fournisseur a bien prévenu les personnes que leurs coordonnées pouvaient servir à de la prospection.
3. Des données gérées sérieusement
Les adresses doivent être obtenues de façon loyale et vérifiées : une adresse fausse ou périmée, c'est un message qui n'aurait jamais dû partir. Décrivez aussi ce que vous faites des données dans votre registre des traitements (le document, obligatoire, qui liste ce que votre entreprise fait des données personnelles), et assurez-vous que vos fournisseurs de données respectent eux-mêmes le RGPD.
Le cas des adresses génériques.
Les adresses du type contact@, info@ ou commande@ désignent une entreprise, pas une personne. La CNIL précise qu'elles ne sont pas soumises aux règles ci-dessus, parce qu'elles concernent des personnes morales. Attention toutefois : l'adresse contact@ d'un indépendant qui travaille seul désigne en réalité une personne, et les règles ci-dessus s'appliquent alors.
Deux nuances. D'abord, l'article L.34-5 continue de s'appliquer dans tous les cas : l'expéditeur doit être identifiable, et le destinataire doit disposer d'un moyen de faire cesser les envois. Ensuite, une adresse générique est rarement lue par le bon décideur : c'est une question d'efficacité plus que de droit. C'est pour cela que nos prospections visent des décideurs nommés.
Ce que chaque mail doit contenir.
- L'identité de l'expéditeur. L'entreprise pour le compte de laquelle le message est envoyé ne doit jamais être cachée.
- Un objet en rapport avec ce que vous proposez. L'article L.34-5 interdit les objets sans rapport avec le service proposé. Pas de faux « RE : » pour faire croire à une conversation en cours.
- Un moyen simple et gratuit de ne plus recevoir de messages. Un lien de désinscription qui fonctionne, ou la possibilité de répondre.
- Au premier contact, l'origine des coordonnées. Si l'adresse n'a pas été obtenue auprès de la personne, une courte information sur sa provenance et sur ses droits.
Exemple de mention en bas de mail
« Vous recevez ce message parce que votre fonction chez [Entreprise] correspond à nos services. Vos coordonnées professionnelles proviennent de [source]. Pour ne plus recevoir nos messages : [lien]. Pour en savoir plus sur vos données et vos droits : [lien]. »
Combien de temps garder les données ?
La CNIL retient une durée de trois ans à compter de la collecte des données ou du dernier contact venant du prospect (une réponse, un clic sur un lien, une demande de documentation ; la simple ouverture d'un mail ne compte pas). Passé ce délai sans nouvelle de sa part, les données doivent être supprimées, ou archivées quand une obligation légale l'impose.
Et quand quelqu'un demande à ne plus être contacté ? On ne se contente pas d'effacer son adresse : on la place sur une liste d'opposition. Cette liste sert à une seule chose, garantir que la personne ne sera plus sollicitée, même si son adresse réapparaît plus tard dans une autre source.
Les erreurs à éviter.
- Écrire à quelqu'un sur un sujet sans rapport avec son métier.
- Envoyer un mail sans lien de désinscription, ou avec un lien qui ne fonctionne pas.
- Recontacter une personne qui s'est désinscrite, faute de liste d'opposition.
- Masquer l'expéditeur ou utiliser un objet trompeur.
- Garder indéfiniment les données de prospects qui n'ont jamais répondu.
Les sanctions peuvent être lourdes : le RGPD prévoit des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, et la CNIL a déjà sanctionné des entreprises pour des campagnes de prospection non conformes.
Comment nous appliquons ces règles.
Chez Acquivia, la conformité fait partie du service, pas des options :
- nous ne ciblons que des personnes dont la fonction correspond à l'offre de notre client ;
- chaque adresse est vérifiée avant envoi, et les adresses génériques sont écartées ;
- chaque mail indique clairement qui écrit et contient un lien de désinscription ;
- une personne qui se désinscrit est retirée des envois et placée sur une liste d'opposition conservée trois ans ;
- les clients et contacts en cours de nos clients sont exclus avant le premier envoi.
Pour le détail, voyez notre politique de confidentialité. Et si vous préférez confier toute votre prospection à une équipe qui applique ces règles au quotidien, découvrez notre service de prospection par mail.
Sources
- CNIL, « La prospection commerciale par courrier électronique » (mise à jour du 10 juin 2026)
- Code des postes et des communications électroniques, article L.34-5 (Légifrance)
- Règlement général sur la protection des données (RGPD), articles 6, 14 et 21 (EUR-Lex)
- CNIL, référentiel relatif à la gestion des activités commerciales (durées de conservation)
Questions fréquentes
Faut-il le consentement d'un prospect professionnel pour lui écrire ?
Non, pas en B2B, à condition que le message concerne son métier, que la personne soit informée (qui lui écrit, pourquoi, et d'où viennent ses coordonnées) et qu'elle puisse refuser les prochains messages simplement et gratuitement. Le consentement préalable est obligatoire pour les particuliers, ou si votre message n'a pas de rapport avec la profession de la personne.
Le RGPD s'applique-t-il aux adresses du type contact@ ?
Les règles de la prospection B2B ne s'appliquent pas aux adresses génériques (contact@, info@, commande@), qui désignent une entreprise et non une personne. L'expéditeur doit tout de même être identifiable et offrir un moyen de ne plus recevoir de messages.
Combien de temps peut-on garder les données d'un prospect ?
La CNIL retient trois ans à compter de la collecte ou du dernier contact venant du prospect. Passé ce délai sans nouvelle de sa part, les données doivent être supprimées ou archivées.
Que faire quand quelqu'un demande à ne plus être contacté ?
Le retirer immédiatement des envois et conserver son adresse sur une liste d'opposition, qui sert uniquement à garantir qu'il ne sera plus sollicité, même si son adresse réapparaît dans une autre source.