En bref : en B2B, vous avez le droit d’envoyer des emails de prospection sans consentement préalable, à condition que votre message concerne la fonction professionnelle du destinataire et qu’il puisse se désinscrire facilement. La base légale s’appelle l’intérêt légitime. Les vrais risques ne viennent pas de la règle, que tout le monde connaît, mais des angles morts : les indépendants, l’origine de vos fichiers et la durée de conservation des données.
Beaucoup de dirigeants de PME ont rangé l’emailing de prospection au rayon des pratiques interdites depuis 2018. Par prudence, par peur de la CNIL, ou parce qu’un prestataire leur a dit que « le RGPD a tout changé ». C’est faux. La prospection par email reste parfaitement légale en B2B, et elle l’est toujours en 2026. Encore faut-il savoir où se situe la ligne.
L’enjeu n’est pas de réciter le règlement. Il est de comprendre ce que vous pouvez faire concrètement, demain matin, sans vous exposer. Voyons ça point par point.
La prospection B2B par email est autorisée, sous conditions
Le principe de base tient en une phrase. Vous pouvez adresser un email commercial à un professionnel sans avoir recueilli son accord au préalable. C’est le régime de l’opt-out, par opposition à l’opt-in qui s’impose pour les particuliers.
Cette différence vient de l’article L.34-5 du Code des postes et des communications électroniques, la transposition française de la directive ePrivacy. Le texte interdit la prospection sans consentement vers une « personne physique ». Une entreprise, en tant que personne morale, n’est pas visée par cette interdiction. C’est précisément ce qui fonde la liberté du B2B en France.
La CNIL pose quatre conditions cumulatives pour que cette prospection soit valable :
| Condition | Ce que ça implique |
|---|---|
| Destinataire professionnel | Vous écrivez à une personne dans le cadre de ses fonctions, pas à un particulier |
| Objet en rapport avec son métier | Un logiciel de paie présenté à un DAF, oui. Des fournitures de bureau à un chirurgien, non |
| Information préalable | La personne a été informée, au moment de la collecte, que ses coordonnées pouvaient servir à de la prospection |
| Droit d’opposition | Chaque email contient un moyen simple et gratuit de se désinscrire |
Une distinction mérite votre attention. Une adresse générique du type contact@entreprise.fr appartient à la personne morale. Elle n’est pas une donnée personnelle et échappe à ces règles. Une adresse nominative comme prenom.nom@entreprise.fr identifie un individu. Elle reste une donnée personnelle, soumise au RGPD, même si elle est professionnelle. Le gérant d’une SARL contacté sur son adresse nominative entre donc dans le champ du règlement, tout en relevant du régime opt-out B2B. Si vous voulez bâtir des campagnes propres dès le départ, notre guide complet de l’email marketing B2B détaille la mécanique en amont de la conformité.
L’intérêt légitime n’est pas un blanc-seing
On vous dira souvent : « En B2B, fondez-vous sur l’intérêt légitime, vous êtes tranquille. » La formule est juste mais elle escamote l’essentiel. L’intérêt légitime, c’est l’article 6.1.f du RGPD. Et ce n’est pas une case à cocher, c’est un raisonnement que vous devez être capable de tenir si la CNIL vous le demande.
Ce raisonnement repose sur une mise en balance. Vos intérêts commerciaux d’un côté, les droits du destinataire de l’autre. Trois questions suffisent à le documenter :
- Votre intérêt est-il réel et légitime ? Développer son activité en est un, sans difficulté.
- Le traitement est-il nécessaire ? Existe-t-il un moyen moins intrusif d’atteindre cette personne ?
- Vos intérêts priment-ils sur ses droits fondamentaux ? Un décideur s’attend à recevoir des sollicitations professionnelles. Un particulier sur son adresse perso, beaucoup moins.
Posez ces trois questions par écrit, gardez la trace. Cette demi-page vaut mieux qu’un long contrat. En janvier 2026, la CNIL a d’ailleurs lancé une concertation publique sur la preuve du consentement en marketing direct, signe que la documentation va devenir un point de contrôle de plus en plus scruté.
Les pièges que personne ne vous signale
La règle de base, tout le monde la connaît. Les ennuis, eux, se nichent dans trois zones grises que les guides survolent.
Le cas des indépendants et auto-entrepreneurs
Un consultant RH, un graphiste freelance, un artisan plombier qui travaille sous son nom propre. Professionnel ou particulier ? La réponse surprend souvent. Quand l’activité se confond avec la personne, et plus encore quand l’adresse est une boîte Gmail personnelle, la frontière B2B s’efface. Le consentement préalable redevient alors nécessaire. Si votre cible commerciale comprend beaucoup d’indépendants, c’est probablement votre risque numéro un, et celui que vous n’aviez pas vu venir.
L’origine de vos fichiers
Imaginez un contrôle. La question ne sera pas « avez-vous un lien de désinscription », vous l’avez. Elle sera : d’où vient cette adresse ? Pouvez-vous prouver que ce contact a été collecté loyalement, et qu’il a été informé d’un usage de prospection ? Une base achetée à un courtier douteux, sans traçabilité, vous place en porte-à-faux sur l’obligation d’information de l’article 14 du RGPD. La provenance de chaque contact dans votre CRM devient une pièce à conviction. Conservez-la.
L’objet qui sort du cadre métier
Le critère le plus oublié. Votre message doit concerner la fonction du destinataire. Démarcher un directeur informatique pour une solution de sécurité, c’est conforme. Lui proposer une offre de voyages d’affaires parce qu’il voyage, ça ne l’est plus. Dès que l’objet sort du périmètre professionnel de la personne, l’intérêt légitime tombe et le consentement redevient obligatoire.
Ce qui doit figurer dans chaque email
Au-delà du fond, la forme compte. Quelques éléments doivent apparaître dans tout message de prospection, sans exception :
- L’identité de l’expéditeur, lisible. Pas d’envoi masqué ou trompeur.
- La finalité commerciale, assumée. L’objet du mail ne doit pas déguiser la nature publicitaire du message.
- Un lien de désinscription fonctionnel, gratuit, accessible en un clic. C’est le pilier du droit d’opposition prévu par l’article 21 du RGPD.
- Le traitement effectif des désinscriptions, dans un délai raisonnable d’un mois au maximum.
Sur ce dernier point, une erreur revient sans cesse : remettre un désinscrit dans une campagne quelques mois plus tard, à la faveur d’un import de fichier. Une fois qu’une personne s’oppose, c’est définitif. Tenez une liste de suppression permanente et faites-la passer avant chaque envoi. C’est aussi une question de délivrabilité, sujet que nous creusons dans notre article sur comment éviter les filtres anti-spam.
Conserver les données sans dépasser les bornes
Vous n’avez pas le droit de garder un prospect indéfiniment. La CNIL recommande une conservation de trois ans à compter du dernier contact actif, c’est-à-dire la dernière fois que la personne a réagi : une réponse, un clic, une demande. Passé ce délai sans signe de vie, la donnée doit être supprimée ou anonymisée, conformément au principe de limitation de l’article 5 du RGPD.
Deux réflexes à intégrer. D’abord, le registre des traitements. Contrairement à une idée tenace, il est obligatoire pour toutes les entreprises qui traitent des données, sans seuil d’effectif, au titre de l’article 30. Une fiche dédiée à votre prospection email suffit : finalité, données collectées, base légale, durée de conservation. La CNIL fournit des modèles simplifiés pour les PME. Ensuite, l’archivage des oppositions. Quand quelqu’un se désinscrit, gardez la preuve de cette opposition dans une base à accès restreint, à des fins probatoires. Le jour où on vous reproche un envoi, c’est cette trace qui vous protège.
Le risque réel dépend de votre taille
Les articles de presse adorent citer les amendes spectaculaires infligées aux grands groupes. Pour un dirigeant de PME, ces montants relèvent d’un autre monde et brouillent le jugement. La réalité est plus mesurée.
La CNIL fonctionne d’abord par mise en demeure. Dans l’immense majorité des cas, une entreprise contrôlée reçoit l’ordre de se mettre en conformité avant toute sanction financière. Les manquements qui aboutissent réellement à des amendes concernent des pratiques caractérisées : prospection massive sans aucune base légale, formulaires trompeurs, conservation de données bien au-delà du raisonnable, refus de traiter les désinscriptions. Une PME qui applique les quelques règles vues plus haut ne risque pratiquement rien. Le danger n’est pas la sanction, c’est l’amateurisme qui s’accumule sans qu’on s’en rende compte.
Autrement dit, la conformité RGPD en B2B n’est pas un mur réglementaire. C’est une hygiène. Quelques mentions, une liste de suppression tenue à jour, une traçabilité de vos sources et un registre. Rien qui doive vous empêcher de prospecter.
Reste à router vos campagnes proprement. Lien de désinscription en un clic, gestion automatique des oppositions, traçabilité des envois : une plateforme d’emailing pensée pour la prospection B2B vous évite de tenir ces obligations à la main. C’est ce que propose Ediware aux PME qui veulent prospecter sereinement.
Questions fréquentes
Ai-je le droit d’envoyer des emails de prospection sans consentement en B2B ?
Oui. La prospection B2B par email relève du régime opt-out en France. Vous pouvez contacter un professionnel sans accord préalable, à condition que l’objet concerne sa fonction, qu’il ait été informé de cet usage et qu’il dispose d’un moyen simple de se désinscrire. La base légale est l’intérêt légitime.
Quelle est la différence entre opt-in et opt-out ?
L’opt-in exige un consentement recueilli avant tout envoi, par une case à cocher non pré-cochée. Il s’impose en B2C. L’opt-out autorise l’envoi sans accord préalable, mais oblige à offrir un droit d’opposition à tout moment. C’est le régime applicable à la prospection B2B vers des professionnels.
Peut-on prospecter un auto-entrepreneur par email ?
C’est le cas le plus délicat. Quand l’indépendant utilise une adresse personnelle et que son activité se confond avec sa personne, il est souvent assimilé à un particulier. Le consentement préalable redevient alors nécessaire. La prudence consiste à traiter les freelances et auto-entrepreneurs comme du B2C.
Combien de temps puis-je conserver les données d’un prospect ?
La CNIL recommande trois ans à compter du dernier contact actif du prospect : une réponse, un clic ou une demande de sa part. Au-delà, sans aucune interaction, vous devez supprimer ou anonymiser ses données pour respecter le principe de limitation de la conservation.
L’achat de fichiers email B2B est-il légal ?
L’achat n’est pas interdit en soi, mais il vous transfère la responsabilité. Vous devez pouvoir prouver que les contacts ont été collectés loyalement et informés d’un usage de prospection. Un fichier sans traçabilité claire de son origine vous expose à un manquement à l’obligation d’information du RGPD.
Que faire quand un prospect demande à être retiré de la liste ?
Vous traitez sa demande sans délai, et au plus tard sous un mois. Surtout, vous l’inscrivez sur une liste de suppression permanente pour ne jamais le recontacter, même après un futur import de fichier. Conservez la preuve de cette opposition à des fins probatoires.
