Email transactionnel ou prospection : la règle CNIL 2026

Un email de confirmation de commande auquel votre équipe marketing a ajouté un bloc « Ces produits pourraient vous intéresser » n’est plus un email transactionnel. C’est de la prospection commerciale, et elle exige un consentement préalable que vous n’avez probablement pas recueilli.

Le 10 juin 2026, la CNIL a refondu l’ensemble de ses fiches sur la prospection et posé une distinction en trois catégories — prospection, transactionnel, relationnel — dont dépend le régime juridique applicable. Elle s’appuie sur un arrêt de la CJUE du 13 novembre 2025 qui déplace nettement le curseur. Voici comment qualifier vos messages, et où se situent réellement les zones de risque.

Trois catégories, trois régimes juridiques

La distinction n’est pas cosmétique : elle détermine votre base légale, vos obligations de recueil de consentement et votre exposition aux sanctions.

Type de message	Objet	Base légale	Consentement préalable
Prospection commerciale	Promouvoir directement ou indirectement un produit, un service ou l’image de l’entreprise	Consentement — Art. 6(1)(a) RGPD	Oui en B2C, sauf exception « client existant »
Transactionnel	Exécuter ou gérer un service demandé par la personne	Exécution du contrat — Art. 6(1)(b) RGPD	Non
Relationnel	Accompagner l’usage d’un produit ou d’un service, sans finalité promotionnelle	Intérêt légitime — Art. 6(1)(f) RGPD	Non, mais opposition possible

Sont transactionnels : la confirmation de commande, la facture, l’alerte de sécurité, la réinitialisation de mot de passe, la notification d’expédition, le mail de bienvenue à la création de compte. Sont relationnels : un conseil d’utilisation, une recommandation de paramétrage, une enquête de satisfaction sans offre associée.

Le piège tient en une phrase de la CNIL : ces messages « ne doivent pas être utilisés pour dissimuler un contenu promotionnel ». Dès qu’un contenu commercial significatif s’y glisse, le message est requalifié en prospection — avec l’exigence de consentement qui l’accompagne.

Le critère décisif n’est pas le contenu, c’est la finalité

C’est le point le plus important de la mise à jour de juin 2026, et celui qui met en défaut le plus de dispositifs.

La CNIL énonce que « la qualification de prospection commerciale ne dépend pas uniquement du contenu du message, mais avant tout de son objectif ». Un message peut donc être parfaitement informatif dans sa forme et relever malgré tout de la prospection s’il vise à inciter la personne à consommer davantage, à utiliser plus fréquemment une plateforme ou à souscrire une offre.

Cette lecture vient directement de l’arrêt CJUE, 13 novembre 2025, Inteligo Media SA c/ ANSPDCP, C-654/23. Un éditeur de presse en ligne envoyait une lettre d’information éditoriale à des utilisateurs de comptes gratuits. Contenu : des articles d’actualité. Objectif réel : les amener à consulter suffisamment de contenus gratuits pour souscrire un abonnement payant. La Cour a retenu la qualification de prospection commerciale.

Dans mon expérience d’accompagnement d’éditeurs et de plateformes SaaS, c’est exactement là que se situe l’angle mort. Les équipes qualifient leurs messages depuis le back-office marketing — « c’est une newsletter éditoriale », « c’est un email produit » — alors que le régulateur les qualifie depuis l’intention commerciale documentée dans le brief de campagne. Si votre KPI de campagne est un taux de conversion, votre message est de la prospection.

Le test pratique

Posez-vous trois questions sur chaque scénario d’envoi :

1. Le message existerait-il si la personne n’avait rien acheté ni demandé ? Si oui, ce n’est pas du transactionnel.
2. Le message contient-il un appel à l’action commercial — code promo, bloc de recommandations, incitation à passer à une offre supérieure, mise en avant d’une offre partenaire ?
3. Comment mesurez-vous son succès ? Un taux d’ouverture technique n’indique rien ; un taux de conversion ou un chiffre d’affaires attribué révèle une finalité promotionnelle.

Une réponse positive à la deuxième ou à la troisième question fait basculer le message dans le régime du consentement RGPD valable.

L’exception « client existant » : trois conditions cumulatives

L’article L. 34-5 du code des postes et des communications électroniques pose le principe : pas de prospection par courriel ou SMS vers un particulier sans consentement préalable. Il prévoit une exception, systématiquement invoquée et rarement bien appliquée. Elle suppose trois conditions cumulatives :

1. Les coordonnées ont été recueillies directement auprès de la personne à l’occasion d’une vente ou d’une prestation de service ;
2. La prospection porte sur des produits ou services analogues fournis par la même entreprise ;
3. La personne s’est vu offrir, au moment de la collecte et dans chaque message, la possibilité de s’opposer facilement.

Chacune de ces conditions a déjà donné lieu à sanction.

La création de compte ne vaut pas relation commerciale. Dans la délibération n° SAN-2021-008 du 14 juin 2021, la CNIL a sanctionné la société Brico Privé à hauteur de 500 000 €. L’entreprise prospectait des personnes qui avaient créé un compte sans jamais passer commande. Sans achat ni prestation, pas d’exception : le consentement préalable redevient obligatoire.

« Analogue » s’apprécie strictement, et par la même entreprise. Dans la délibération n° SAN-2022-017 du 3 août 2022, une enseigne hôtelière a écopé de 600 000 € pour avoir utilisé les adresses de ses clients afin de promouvoir des offres de partenaires — billets d’avion notamment. Ni le même produit, ni la même entreprise : l’exception tombe.

L’inverse est vrai aussi. Un client qui achète un billet de train peut recevoir, sans nouveau consentement, des offres portant sur d’autres trajets, des abonnements de transport ou des options de voyage. Le périmètre du « service analogue » est plus large qu’on ne le croit à l’intérieur d’une même gamme, et plus étroit qu’on ne l’espère dès qu’un partenaire entre en jeu.

Point d’attention issu de l’arrêt Inteligo : la gratuité n’exclut pas nécessairement la relation commerciale. Un compte gratuit qui fonctionne comme levier d’acquisition, financé indirectement par des abonnements payants, peut relever de l’exception client existant — à condition que l’information et la faculté d’opposition aient bien été fournies dès la collecte. La CNIL raisonne ici en modèle économique, pas en flux de trésorerie.

Le B2B n’est pas une zone franche

Le régime d’opposition applicable en B2B suppose trois conditions, et là encore elles sont cumulatives :

• le message est en lien avec l’activité professionnelle de la personne contactée ;
• la personne est informée de l’origine de ses données et de la finalité du message ;
• elle peut s’opposer simplement à toute nouvelle sollicitation.

La deuxième condition est celle que presque personne ne respecte. Indiquer l’origine des données — « votre adresse professionnelle a été collectée sur votre profil LinkedIn » ou « auprès du fournisseur X » — n’est pas une bonne pratique optionnelle : c’est une condition d’application du régime. Sans elle, vous retombez dans le droit commun du consentement. C’est un point que je vérifie systématiquement en audit, et qui pèche dans la grande majorité des séquences de prospection commerciale B2B que j’examine.

Rappelons par ailleurs que le droit d’opposition à la prospection est absolu au titre de l’Art. 21(2) RGPD : aucune mise en balance, aucun motif à opposer. C’est ce qu’expose en détail notre analyse de l’article 21 du RGPD.

La liste repoussoir : l’obligation qu’on oublie

La CNIL insiste dans sa fiche de juin 2026 : lorsqu’une personne s’oppose, « cette demande doit être prise en compte durablement ». Elle recommande la mise en place d’une liste d’opposition, dite « liste repoussoir ».

Le mécanisme est contre-intuitif pour les équipes techniques : il suppose de conserver une donnée (l’adresse ou le numéro) précisément pour ne plus solliciter la personne. Supprimer purement et simplement l’enregistrement du CRM est une erreur classique — le contact réapparaît au prochain import de fichier, et vous voilà en infraction avec une trace horodatée de la demande initiale.

En pratique :

• conservez une empreinte de l’identifiant (idéalement une valeur hachée) dans une table dédiée, isolée des bases opérationnelles ;
• filtrez chaque envoi contre cette liste, y compris les campagnes lancées depuis un outil tiers ;
• documentez la date et le canal de l’opposition ;
• ne réutilisez jamais cette liste à une autre fin — sa base légale est le respect d’une obligation légale, rien d’autre.

C’est typiquement le genre de contrôle croisé que les outils de gouvernance automatisent, là où un tableur finit toujours par diverger de la réalité des envois.

Décision QPC du 25 juin 2026 : la fin du cumul des sanctions

Une évolution passée relativement inaperçue et qui mérite d’être connue : par sa décision n° 2026-1210 QPC du 25 juin 2026, le Conseil constitutionnel a censuré les dispositions de l’article L. 34-5 du CPCE permettant le cumul de poursuites et de sanctions administratives pour les mêmes faits par deux autorités différentes.

Deux précisions s’imposent avant d’en tirer des conclusions hâtives :

• L’abrogation est reportée au 31 octobre 2027. Les dispositions restent en vigueur jusque-là, dans l’attente d’une intervention du législateur.
• Une réserve transitoire s’applique dès à présent : aucune poursuite ne peut être engagée ou continuée par une autorité si des poursuites ont déjà été engagées pour les mêmes faits contre la même personne par une autre autorité, ou si cette personne a déjà été définitivement sanctionnée à ce titre.

Ce que cette décision ne fait pas : elle ne remet pas en cause l’obligation de consentement, ni le pouvoir de sanction de la CNIL sur le fondement du RGPD. Elle encadre le cumul, pas le principe. Ne construisez aucune stratégie de conformité sur cette base.

La grille de qualification en cinq questions

Pour chaque scénario d’envoi de votre plan de communication, documentez les réponses suivantes. C’est cette documentation qui constituera votre preuve d’accountability au titre de l’Art. 24 RGPD.

1. Quelle est la finalité réelle du message ? Formulez-la sans euphémisme marketing.
2. Le destinataire est-il client au sens d’un achat ou d’une prestation effective, ou simple titulaire d’un compte ?
3. Le message porte-t-il sur un produit analogue fourni par la même entité juridique ?
4. Quelle base légale ? Contrat, intérêt légitime ou consentement — et pouvez-vous en apporter la preuve ?
5. Le moyen d’opposition est-il présent dans le message et a-t-il été offert au moment de la collecte ?

Un scénario qui ne passe pas les cinq questions doit être soit reconfiguré, soit basculé sous consentement. Sur la mécanique de recueil et d’archivage de ce consentement, notre guide email marketing RGPD détaille les configurations qui tiennent en contrôle.

Ce qu’il faut retenir

• La CNIL distingue depuis le 10 juin 2026 trois catégories de messages — prospection, transactionnel, relationnel — auxquelles correspondent trois bases légales différentes.
• La qualification dépend de la finalité du message, pas de son contenu apparent : un message informatif dont l’objectif est de faire consommer davantage est de la prospection (CJUE, 13 nov. 2025, C-654/23).
• L’exception « client existant » de l’article L. 34-5 CPCE suppose trois conditions cumulatives : collecte lors d’une vente, produits analogues de la même entreprise, opposition offerte à la collecte et dans chaque message.
• La création d’un compte sans achat ne suffit pas (SAN-2021-008, 500 000 €) ; les offres de partenaires sortent de l’exception (SAN-2022-017, 600 000 €).
• En B2B, informer de l’origine des données est une condition du régime d’opposition, pas une bonne pratique.
• Une liste d’opposition durable est indispensable : supprimer le contact du CRM ne protège de rien.

FAQ

Un email de confirmation de commande peut-il contenir une offre promotionnelle ?

Techniquement oui, mais il change alors de nature. La CNIL considère qu’un message transactionnel comportant un contenu commercial significatif peut être requalifié en prospection commerciale et soumis à l’exigence de consentement. Si vous tenez à y insérer des recommandations produits, il est recommandé de le traiter juridiquement comme un message de prospection.

Une newsletter éditoriale gratuite est-elle de la prospection commerciale ?

Cela dépend de son objectif. Depuis l’arrêt Inteligo Media du 13 novembre 2025, une lettre d’information dont le contenu est purement informatif relève tout de même de la prospection si elle vise à amener le lecteur vers une offre payante. Le critère est la finalité poursuivie, pas la nature des articles publiés.

Faut-il un consentement pour prospecter une adresse professionnelle nominative ?

Non, si trois conditions sont réunies : le message est en lien avec l’activité professionnelle de la personne, celle-ci est informée de l’origine de ses données et de la finalité du message, et elle peut s’opposer simplement. À défaut de l’une d’elles, le régime du consentement préalable redevient applicable.

Peut-on encore être sanctionné par la CNIL après la décision QPC de juin 2026 ?

Oui. La censure porte uniquement sur le cumul de poursuites et de sanctions par deux autorités pour les mêmes faits, avec un effet reporté au 31 octobre 2027. L’obligation de consentement de l’article L. 34-5 CPCE et le pouvoir de sanction de la CNIL au titre du RGPD demeurent pleinement applicables.

Que faire des personnes qui se désinscrivent ?

Ne supprimez pas leur enregistrement : inscrivez-les sur une liste d’opposition (« liste repoussoir ») consultée avant chaque envoi. Supprimer le contact expose à le réintégrer lors d’un import ultérieur, et donc à le solliciter de nouveau — avec une trace horodatée de sa demande initiale au dossier.

---

Recevez nos analyses conformité chaque semaine. Décisions CNIL, jurisprudence CJUE, évolutions réglementaires : une lecture par semaine pour rester à jour sans y passer vos journées. Inscrivez-vous à la newsletter.