Prospection commerciale RGPD 2026 : guide B2B et B2C

L’essentiel. En prospection électronique, la règle dépend du destinataire : vers un consommateur (B2C), le consentement préalable (opt-in) est obligatoire pour l’email et le SMS ; vers un professionnel (B2B), un régime d’opposition (opt-out) suffit si le message porte sur son activité et si la personne a été informée (art. L34-5 du CPCE). Dans les deux cas, il faut une base légale RGPD, une information complète, un moyen d’opposition simple et gratuit dans chaque message, et une traçabilité des sources. Le droit d’opposition à la prospection est absolu : aucune justification n’est exigée. Les manquements se paient : la CNIL a prononcé des amendes de plusieurs centaines de milliers d’euros pour prospection non conforme.

La prospection commerciale reste l’un des terrains de contrôle privilégiés de la CNIL. La multiplication des canaux — email, SMS, téléphone, LinkedIn — et l’essor des outils d’automatisation rendent indispensable une compréhension précise du cadre. Ce guide détaille les règles applicables en B2B comme en B2C, les conditions d’exemption de consentement, les bonnes pratiques par canal, les transferts hors UE et un modèle de mentions à intégrer dans vos campagnes.

Opt-in ou opt-out : la règle en un tableau

Le régime applicable croise deux variables : le canal et la qualité du destinataire (consommateur ou professionnel). Le tableau ci-dessous synthétise le droit français (RGPD + directive ePrivacy transposée à l’article L34-5 du Code des postes et des communications électroniques).

Canal	B2C (consommateur)	B2B (professionnel)
Email	Consentement préalable (opt-in), sauf « soft opt-in » clients	Opt-out si l’objet est lié à la fonction du destinataire
SMS / MMS	Consentement préalable (opt-in)	Opt-out (même régime que l’email)
Téléphone (opérateur humain)	Autorisé, mais opposition Bloctel + horaires encadrés	Autorisé, opposition simple
Automate d’appel / SMS automatisé	Consentement préalable	Consentement préalable
Courrier postal	Intérêt légitime + droit d’opposition	Intérêt légitime + droit d’opposition
Message LinkedIn / réseau social	Régime email si finalité commerciale + CGU de la plateforme	Exception B2B possible si conditions L34-5 réunies + CGU

Pour approfondir la logique consentement/opposition, voir notre article dédié à l’opt-in et l’opt-out.

La prospection B2C : le principe du consentement

L’opt-in, règle de principe

Vers un consommateur, la prospection par email et SMS suppose un consentement préalable, libre, spécifique, éclairé et univoque (art. 4-11 et 7 du RGPD), matérialisé par une action positive : case à cocher non pré-cochée, double opt-in recommandé. Un modèle de recueil de consentement conforme et une preuve conservée sont indispensables. Sur les conditions de validité, voir notre guide du consentement RGPD.

L’exception « soft opt-in » pour les clients existants

L’article L34-5 du CPCE prévoit une exception : le consentement n’est pas requis lorsque les trois conditions suivantes sont réunies —

1. les coordonnées ont été recueillies directement auprès de la personne à l’occasion d’une vente ou d’une prestation ;
2. la prospection concerne des produits ou services analogues fournis par la même entreprise ;
3. la personne s’est vu offrir, au moment de la collecte et dans chaque message, la possibilité de s’opposer simplement et gratuitement.

Cette exception ne vaut que pour vos propres clients, sur des produits similaires : elle ne couvre ni la revente de fichiers ni la prospection croisée entre entités d’un groupe.

La prospection téléphonique B2C

Le démarchage par un opérateur humain reste autorisé, mais fortement encadré. Le consommateur peut s’inscrire sur la liste d’opposition Bloctel, que le professionnel doit interroger. Depuis 2023, un décret restreint en outre les horaires de démarchage (créneaux autorisés en semaine, interdiction les week-ends et jours fériés) et encadre la fréquence des appels. Les automates d’appel et SMS automatisés, eux, exigent toujours un consentement préalable.

Le cadre juridique de la prospection B2B

L’exception B2B de l’article L34-5 du CPCE

Le droit français prévoit une exception au consentement pour la prospection électronique adressée à des professionnels. L’article L34-5 du CPCE dispose que les règles de consentement ne s’appliquent pas aux sollicitations adressées à des personnes physiques au titre de leur fonction dans un organisme, dès lors que le message est en rapport avec leur activité professionnelle.

Cette exception est spécifique au droit français. D’autres États membres ont fait des choix différents : en Allemagne, le consentement préalable est requis même en B2B. Les entreprises prospectant dans plusieurs pays doivent donc vérifier le droit local de chaque marché ciblé.

Les quatre conditions cumulatives de l’exception B2B

1. Le message s’adresse à une personne physique dans le cadre de ses fonctions. Un email à contact@entreprise.com ne soulève pas les mêmes questions qu’un message à jean.dupont@entreprise.com, ce dernier constituant un traitement de données personnelles.
2. L’objet est en rapport avec la profession du destinataire. Proposer des services de comptabilité au directeur financier respecte cette condition ; proposer des offres de vacances à sa messagerie professionnelle ne la respecte pas.
3. La personne a été informée, au moment de la collecte, de l’utilisation de ses coordonnées à des fins de prospection. C’est souvent la condition la plus difficile à remplir, en particulier lorsque les coordonnées proviennent de sources tierces. Le responsable de traitement doit pouvoir démontrer que cette information a été délivrée.
4. La personne peut s’opposer simplement et gratuitement à tout moment. Chaque message doit comporter un mécanisme d’opposition fonctionnel (lien de désinscription, mention du droit d’opposition).

La base légale RGPD : l’intérêt légitime

Lorsque l’exception B2B s’applique, la base légale appropriée est l’intérêt légitime (art. 6-1-f du RGPD). Le considérant 47 mentionne explicitement que la prospection peut répondre à un intérêt légitime. Encore faut-il documenter le triple test :

• Identification de l’intérêt : l’intérêt commercial à développer sa clientèle est généralement reconnu.
• Nécessité : le traitement doit être nécessaire à cette fin.
• Balance des intérêts : les droits des personnes ne doivent pas prévaloir, compte tenu de leurs attentes raisonnables, de la nature des données et de l’impact du traitement.

Cette analyse doit être formalisée et conservée dans le registre des traitements, conformément au principe de responsabilité (art. 5-2). Sur le choix de la base légale, voir aussi notre décryptage de l’article 6.

L’obligation d’information : un point critique

Le contenu requis

Les articles 13 (collecte directe) et 14 (collecte indirecte) du RGPD imposent une information complète, y compris en B2B :

• l’identité et les coordonnées du responsable de traitement ;
• les finalités et la base légale (l’intérêt légitime, le cas échéant) ;
• les catégories de données traitées ;
• les destinataires ou catégories de destinataires ;
• la durée de conservation ou ses critères ;
• les droits (accès, rectification, effacement, opposition, limitation, portabilité) ;
• le droit d’introduire une réclamation auprès de la CNIL ;
• la source des données lorsque la collecte est indirecte.

Le timing

En collecte directe (formulaire, échange de carte de visite), l’information est fournie au moment de la collecte. En collecte indirecte (base achetée, annuaire), l’article 14 impose de fournir l’information dans un délai raisonnable, au plus tard un mois après la collecte ou lors de la première communication. En pratique, le premier email de prospection doit contenir les mentions requises ou un lien vers la politique de confidentialité. Cette exigence relève des bonnes pratiques de transparence de l’article 12.

La source des données

L’article 14-2-f impose d’indiquer la source des données et si elles proviennent de sources accessibles au public. Cette obligation, souvent négligée, est essentielle à la loyauté du traitement.

La prospection sur LinkedIn

Le cadre général

La collecte et l’utilisation de données de profils LinkedIn (nom, fonction, entreprise) constituent un traitement de données personnelles. Le caractère public d’une donnée ne la soustrait pas au RGPD, comme la CNIL l’a rappelé à de multiples reprises.

Les messages directs

L’envoi de messages de prospection via la messagerie LinkedIn (InMail, messages de connexion) est soumis aux conditions d’utilisation de LinkedIn, qui interdisent les messages commerciaux non sollicités à des personnes sans relation existante. Du point de vue RGPD, l’exception B2B de l’article L34-5 peut s’appliquer si les conditions sont remplies.

Le scraping de profils LinkedIn

La collecte automatisée de données de profils (scraping) pose des problèmes juridiques importants :

• Violation des conditions d’utilisation : les CGU de LinkedIn interdisent explicitement le scraping.
• Absence de base légale solide : le scraping massif à des fins de prospection peut difficilement être fondé sur l’intérêt légitime. La balance penchera généralement en faveur des personnes, dont les attentes raisonnables ne couvrent pas la collecte automatisée de leurs données professionnelles à grande échelle par des tiers inconnus.
• Manquement à la loyauté : le RGPD exige un traitement loyal (art. 5-1-a). La collecte systématique et automatisée sans information préalable est susceptible d’être déloyale.

La CNIL a sanctionné la société CLEARVIEW AI à hauteur de 20 millions d’euros en octobre 2022 pour la collecte massive de photographies sur internet. Bien que le contexte diffère (reconnaissance faciale), le raisonnement sur la collecte déloyale de données publiquement accessibles est directement transposable à la prospection.

Le cold outreach : bonnes pratiques

Le cold email est licite en B2B sous les conditions de l’article L34-5. La conformité exige :

• Source des contacts : privilégier les sources documentées (annuaires professionnels, sites d’entreprises, registres publics comme Infogreffe), plus défendables que les bases achetées.
• Personnalisation : un email générique envoyé en masse présente un risque plus élevé qu’un message personnalisé en rapport direct avec l’activité du destinataire.
• Volume et fréquence : l’envoi de milliers d’emails quotidiens, même en B2B, peut être jugé disproportionné. La CNIL examine la proportionnalité du traitement.
• Premier email : mentionner l’identité de l’expéditeur, la source des coordonnées, un lien de désinscription et un lien vers la politique de confidentialité. Ces mentions ne sont pas négociables.

Pour les règles propres aux campagnes email, voir notre guide sur l’email marketing et le RGPD.

Les bases de données achetées

Les problèmes récurrents

L’achat de fichiers B2B est courant mais juridiquement périlleux :

• Absence d’information : le fournisseur n’a généralement pas informé les personnes de la revente à des tiers non identifiés.
• Données obsolètes : coordonnées de personnes ayant changé de poste, en violation de l’exigence d’exactitude (art. 5-1-d).
• Absence de traçabilité : le parcours de la donnée est opaque, rendant la démonstration de conformité impossible.
• Opposition non répercutée : les personnes ayant exercé leur droit d’opposition ne sont pas toujours retirées des fichiers revendus.

Les précautions minimales

Si l’achat est envisagé : exiger une garantie contractuelle de conformité (preuve de l’information), vérifier la source et la documentation du fournisseur, informer les personnes dès le premier contact en mentionnant la source, permettre l’opposition immédiate, et supprimer les contacts sans réponse après un nombre raisonnable de sollicitations.

Le droit d’opposition : absolu en matière de prospection

L’article 21-2 du RGPD prévoit que, lorsque les données sont traitées à des fins de prospection directe, la personne a le droit de s’opposer à tout moment. Ce droit est absolu : contrairement au droit d’opposition général de l’article 21-1, il n’a pas à être justifié par une situation particulière. Toute demande doit être satisfaite sans discussion.

Lorsqu’une personne exerce son droit d’opposition, plusieurs obligations s’imposent :

• ses données sont retirées de la base de prospection active ;
• pour éviter de la recontacter, une liste d’opposition (liste d’exclusion) peut conserver la trace du refus, limitée à cette seule finalité et documentée comme telle ;
• le responsable ne peut pas contourner l’opposition par un autre canal ;
• l’opposition est prise en compte dans un délai d’un mois maximum (art. 12-3), les bonnes pratiques imposant un traitement quasi-immédiat.

Transferts hors UE : le cas des outils américains

La plupart des plateformes d’automatisation (CRM, outils de séquences d’emails, enrichissement de données) sont éditées par des sociétés américaines et hébergent, ou routent, des données dans des serveurs hors UE. Deux réflexes s’imposent :

• EU-US Data Privacy Framework (DPF) : si l’éditeur est certifié au DPF (à vérifier sur la liste officielle, statut consulté en juillet 2026), le transfert vers les États-Unis bénéficie d’une décision d’adéquation. À défaut de certification, il faut d’autres garanties.
• Clauses contractuelles types (CCT) : le recours aux CCT de la Commission (décision 2021/914) et, le cas échéant, à des mesures supplémentaires, encadre les transferts non couverts par une adéquation.

Documentez la localisation des données et le mécanisme de transfert de chaque outil dans votre registre.

Contractualiser avec les sous-traitants

Si vous utilisez des outils de prospection automatisée, vérifiez que le contrat comporte les clauses de l’article 28 du RGPD. Le recours à un outil automatisé ne transfère pas votre responsabilité de responsable de traitement. En pratique, un logiciel RGPD permet d’industrialiser la tenue du registre, la documentation de la balance des intérêts et la gestion des listes d’opposition, ce qui réduit sensiblement le risque opérationnel des campagnes.

Les sanctions de la CNIL

La CNIL sanctionne effectivement les manquements en prospection :

• EDF : 600 000 € (novembre 2022) pour des manquements liés au recueil du consentement en prospection.
• HUBSIDE.STORE : 525 000 € (décembre 2022) pour une prospection à partir de fichiers achetés sans information adéquate des personnes.
• D’autres sociétés ont été sanctionnées pour prospection fondée sur des données collectées de manière déloyale ; le montant des amendes tient compte de la gravité et du nombre de personnes concernées.

Au-delà de l’amende, les décisions de la CNIL sont souvent rendues publiques : le risque réputationnel est réel, en particulier en B2B où la confiance et le professionnalisme sont centraux. Voir notre synthèse des sanctions RGPD.

Checklist de prospection conforme

• [ ] Qualifier le destinataire (B2C / B2B) et le canal pour identifier le bon régime
• [ ] Recueillir le consentement (B2C email/SMS) avec preuve conservée, ou vérifier l’exception B2B
• [ ] Documenter la source de chaque contact
• [ ] Formaliser la balance des intérêts (triple test) dans le registre
• [ ] Informer dès le premier contact (identité, source, finalité, désinscription, politique de confidentialité)
• [ ] Intégrer un mécanisme d’opposition simple et gratuit dans chaque message
• [ ] Gérer les oppositions via une liste d’exclusion et un processus automatisé
• [ ] Vérifier Bloctel et les horaires pour la prospection téléphonique B2C
• [ ] Encadrer les transferts (DPF / CCT 2021/914) des outils hors UE
• [ ] Signer un contrat article 28 avec chaque outil de prospection
• [ ] Purger régulièrement (inactivité, contacts obsolètes) selon un tableau de durées
• [ ] Former les équipes commerciales et SDR/BDR aux règles et aux risques

FAQ

La prospection B2B nécessite-t-elle un consentement ?

Non, pas en droit français, si trois conditions sont réunies : le message s’adresse à un professionnel au titre de sa fonction, il porte sur son activité, et la personne a été informée et peut s’opposer. On parle de régime d’« opt-out ». Attention : cette souplesse est propre à la France ; d’autres pays de l’UE exigent un consentement même en B2B.

Quelle différence entre prospection B2B et B2C ?

En B2C (consommateurs), l’email et le SMS supposent un consentement préalable (opt-in), sauf « soft opt-in » pour vos clients sur des produits similaires. En B2B (professionnels), un régime d’opposition suffit lorsque le message est lié à l’activité du destinataire. Le téléphone obéit à des règles distinctes (Bloctel, horaires encadrés en B2C).

Le cold email est-il légal en France ?

Oui, en B2B, sous les conditions de l’article L34-5 du CPCE : destinataire professionnel, objet en rapport avec sa fonction, information délivrée et droit d’opposition dans chaque message. La base légale est l’intérêt légitime, à documenter par un triple test. Vers un consommateur, en revanche, le cold email est en principe interdit sans consentement préalable.

Peut-on acheter un fichier de prospection ?

C’est possible mais risqué. Vous devez pouvoir démontrer que les personnes ont été informées de la cession et de l’usage prospection, que les données sont exactes, et que les oppositions ont été répercutées. Exigez une garantie contractuelle, informez les personnes dès le premier contact en citant la source, et supprimez rapidement les contacts obsolètes ou non-répondants.

Comment répondre à une demande d’opposition ?

Immédiatement et sans condition : le droit d’opposition à la prospection est absolu. Retirez la personne de la base active, conservez éventuellement son contact dans une liste d’exclusion documentée (pour ne plus la solliciter), et ne la recontactez pas par un autre canal. Le délai légal maximal est d’un mois, mais un traitement quasi-immédiat est la bonne pratique.

Les outils américains (CRM, séquences d’emails) sont-ils conformes ?

Ils peuvent l’être, à condition d’encadrer le transfert de données hors UE. Vérifiez si l’éditeur est certifié au Data Privacy Framework (adéquation avec les États-Unis) ou, à défaut, s’il applique les clauses contractuelles types (décision 2021/914). Signez systématiquement un contrat de sous-traitance conforme à l’article 28 et documentez la localisation des données dans votre registre.

Conclusion

La prospection B2B bénéficie d’un régime plus souple que la prospection B2C, mais cette souplesse n’équivaut pas à une absence de règles. Le RGPD et le droit français imposent des obligations d’information, d’opposition, de conservation et de documentation, quel que soit le canal. Les outils d’automatisation et le cold outreach amplifient les volumes traités et les risques. Intégrer la conformité dès la conception des processus commerciaux n’est pas seulement une obligation : c’est un gage de professionnalisme auprès de prospects de plus en plus sensibles à la protection de leurs données.