RGPD et prospection B2B : ce qui est autorisé (et interdit) en France en 2026

Le cold email B2B est-il légal en France ?

Oui. C’est la question qui retient le plus de dirigeants de petites entreprises avant d’écrire à un inconnu. La réponse tient en une phrase de la CNIL : « La prospection à l’égard de professionnels peut être fondée sur l’intérêt légitime de l’organisme » (page de la CNIL sur la prospection par courrier électronique).

Vers un particulier, il faut son accord préalable, sauf s’il est déjà votre client et que vous lui proposez des produits analogues. Vers un professionnel, à son adresse professionnelle, vous pouvez écrire sans accord préalable, à trois conditions que la CNIL rappelle sur la même page :

• l’objet du message est « en rapport avec la profession de la personne démarchée » ;
• la personne a été informée de l’utilisation de son adresse ;
• elle est « en mesure de s’y opposer ».

La base légale : l’intérêt légitime

L’article 6.1.f du RGPD permet de traiter des données personnelles quand le traitement est nécessaire à l’intérêt légitime de celui qui le fait, sauf si les droits de la personne prévalent (article 6 du RGPD, sur le site de la CNIL).

Exemple : proposer un logiciel de paie au DRH d’une entreprise de 40 salariés concerne sa profession. Proposer une offre de voyages à la même personne, sur son adresse professionnelle, ne la concerne pas.

Les règles, une par une

1. Savoir quelle adresse vous visez

Une adresse nominative, comme prenom.nom@entreprise.fr, est une donnée personnelle : le RGPD s’applique. Selon la CNIL, les adresses génériques comme contact@ ou info@, qui désignent une personne morale, ne sont pas soumises aux règles de consentement et d’information rappelées ci-dessus.

Une règle vaut pour toutes : l’article L34-5 du Code des postes et des communications électroniques interdit d’envoyer un message de prospection sans indiquer de coordonnées valables pour demander l’arrêt des envois, et de masquer l’identité de l’émetteur (article L34-5 sur Légifrance).

2. Proposer une offre liée à la profession

C’est la condition la plus souvent négligée. Votre message doit parler du métier de la personne : un outil RH au DRH, un service comptable au DAF. Une offre sans rapport avec sa profession sort du cadre de l’intérêt légitime.

3. Informer le destinataire (article 14)

Quand vous n’avez pas obtenu ses coordonnées auprès de la personne elle-même, l’article 14 du RGPD vous oblige à l’informer. L’article 14 fixe le délai : un mois au plus après avoir obtenu ses coordonnées, et dès votre premier message si vous lui écrivez avant (article 14 du RGPD, sur le site de la CNIL).

En pratique, quelques lignes dans le premier email : qui vous êtes, d’où viennent ses coordonnées, pourquoi vous lui écrivez, et, sur une ligne à part, comment refuser la suite. Ajoutez un lien vers votre politique de confidentialité : elle donne le reste de ce que demande l’article 14, dont la durée de conservation, les droits de la personne et la possibilité de saisir la CNIL.

4. Respecter le droit d’opposition (article 21)

L’article 21 du RGPD permet à toute personne de s’opposer à tout moment à la prospection. Une fois qu’elle s’est opposée, ses données ne peuvent plus servir à la prospecter (article 21 du RGPD, sur le site de la CNIL).

Le moyen doit être simple : une réponse « STOP », un lien qui fonctionne. Et l’opposition doit être prise en compte partout, sur tous vos envois.

Ce qui est interdit

• Masquer votre identité, ou écrire un objet sans rapport avec votre offre (article L34-5).
• Recontacter une personne qui s’est opposée (article 21).
• Garder indéfiniment les données d’un prospect : la CNIL recommande de les conserver au plus trois ans à compter de leur collecte ou du dernier contact venant du prospect, par exemple un clic sur un lien dans un email (questions-réponses de la CNIL sur la gestion commerciale). Au terme de ce délai, vous pouvez lui demander si elle veut continuer à recevoir vos messages. Sans réponse positive et explicite, vous supprimez ou archivez ses données.
• Collecter des coordonnées dont la personne a limité la visibilité, par exemple à ses seules relations sur LinkedIn : c’est ce que la CNIL a sanctionné en 2024 (ci-dessous).

Ce que la CNIL sanctionne

Le 5 décembre 2024, la CNIL a prononcé une amende de 240 000 euros contre la société KASPR, qui vend une extension donnant les coordonnées des personnes dont on consulte le profil LinkedIn (l’article de la CNIL sur cette sanction). La CNIL a relevé quatre manquements :

• la collecte des coordonnées de personnes qui avaient limité leur visibilité sur LinkedIn, ce qui excédait selon elle « ce à quoi pouvaient raisonnablement s’attendre les personnes » ;
• une conservation de cinq ans, renouvelée à chaque mise à jour des données ;
• une information des personnes arrivée quatre ans après le lancement de l’extension, et rédigée en anglais ;
• une réponse aux demandes d’accès limitée à « sources publiquement accessibles », alors que la société connaissait une partie de ses sources.

La CNIL lui a donné jusqu’au 18 juin 2025 pour se mettre en conformité.

Cette décision vise un fournisseur de données. Les obligations en cause valent pour tout responsable de traitement, donc pour vous : dire d’où viennent les données (article 15), ne pas les garder trop longtemps (article 5), informer dans une langue que la personne maîtrise (articles 12 et 14).

Ce qu’il faut retenir

En pratique avec FindMyLead

L’expéditeur, c’est vous. Vous êtes responsable de vos campagnes : vous informez chaque destinataire de l’origine de ses coordonnées dans votre premier email, à envoyer dans le mois qui suit son ajout à une liste. FindMyLead n’ajoute aucun texte à vos emails. Nommez la source précise, par exemple : « J’ai trouvé vos coordonnées professionnelles avec FindMyLead, un outil de recherche de profils professionnels ».

Une réponse « STOP » désinscrit aussitôt la personne, et FindMyLead l’exclut de tous les envois suivants. Chaque email porte aussi un en-tête de désinscription reconnu par les messageries.

FindMyLead ne vous montre des personnes qu’à leur titre professionnel : poste, entreprise, LinkedIn, email professionnel. Une personne qui le demande sur la page d’opposition disparaît des résultats de recherche. Nos serveurs et notre base de données sont hébergés en France ; l’envoi des emails et la rédaction par l’IA passent par des prestataires établis aux États-Unis, sous clauses contractuelles types (notre politique de confidentialité).

Pour trouver ces personnes et leur email, lisez notre guide pour trouver le dirigeant, le DRH ou le DAF d’une entreprise.

Ce que comprend chaque formule est sur la page des tarifs de FindMyLead.

Questions fréquentes

Faut-il le consentement d’un professionnel pour lui envoyer un email de prospection ?

Non, si vous lui écrivez à son adresse professionnelle et que votre offre concerne sa profession. Vous devez l’informer de l’origine de ses coordonnées et lui permettre de refuser la suite.

Que doit contenir le premier email de prospection ?

Votre identité, l’origine des coordonnées du destinataire, la raison de votre message, un moyen simple de refuser la suite présenté à part, comme répondre « STOP », et un lien vers votre politique de confidentialité pour le reste des informations.

Combien de temps peut-on garder les données d’un prospect ?

La CNIL recommande trois ans au plus, à compter de la collecte ou du dernier contact venant du prospect. Passé ce délai, sans réponse positive et explicite de sa part, supprimez ou archivez ses données.

Peut-on écrire à contact@ ou info@ ?

Oui. Selon la CNIL, ces adresses génériques ne sont pas soumises aux mêmes principes. Votre message doit tout de même indiquer qui vous êtes et comment demander l’arrêt des envois.

Cet article a une vocation informative et ne constitue pas un conseil juridique. Pour une question propre à votre situation, consultez directement le site de la CNIL ou un professionnel du droit.