Information générale, pas un conseil juridique. Cet article résume des règles publiées par la CNIL, consultées le 10 août 2026. Il ne constitue pas un avis juridique et ne remplace pas l'analyse d'un avocat ou d'un DPO. Chaque situation dépend des données traitées, de leur origine et du contexte de l'entreprise : une PME qui souhaite sécuriser sa pratique a intérêt à faire valider son dispositif par un professionnel du droit.
RGPD
Cold email B2B et RGPD : ce que dit la CNIL pour les PME françaises
La prospection par email vers des professionnels reste possible en France, mais elle est encadrée. Ce qui suit décrit ce que la CNIL publie sur le sujet, avec les liens vers ses pages officielles.
Le cold email B2B est-il légal en France ?
Oui, sous conditions. La CNIL distingue explicitement la prospection vers les particuliers (B to C) de la prospection vers les professionnels (B to B). Pour le B2C, elle indique que la publicité par voie électronique « est possible à condition que les personnes aient donné leur consentement avant d'être démarchées ». Pour le B2B, le régime est différent : la prospection « peut être fondée sur l'intérêt légitime » lorsque la sollicitation est en rapport avec la profession de la personne démarchée.
Quelles conditions la CNIL pose-t-elle pour la prospection B2B par email ?
La CNIL énonce trois conditions cumulatives. Elle écrit : « Le consentement préalable n'est pas systématiquement requis pour la prospection B to B si : elle est en lien avec l'activité professionnelle de la personne contactée ; la personne est informée de l'origine de ses données et de la finalité du message ; elle peut s'opposer simplement à la réception de nouvelles sollicitations. »
Les trois éléments se lisent ensemble : la pertinence professionnelle du message, l'information sur la provenance des données, et un mécanisme d'opposition simple.
Sur quoi porte l'obligation d'information ?
La CNIL précise que « les personnes doivent être clairement informées de l'utilisation de leurs données personnelles » et que « cette information doit être fournie dès la collecte des données et porter notamment sur l'identité de l'entreprise, l'objectif poursuivi, les droits dont elles disposent ».
L'information porte donc sur trois points au minimum : qui traite les données, dans quel but, et quels droits la personne peut exercer.
Les données trouvées en ligne peuvent-elles être réutilisées pour prospecter ?
Pas librement. La CNIL est explicite : « Ces données, bien que publiquement accessibles, sont des données personnelles. Dès lors, elles ne sont pas librement réutilisables. »
Elle applique un critère d'attente raisonnable : « Lorsque les personnes qui ont diffusé leurs données auprès d'un premier responsable de traitement ne s'attendent pas raisonnablement à faire l'objet, par exemple, de prospection commerciale par une autre société, la réutilisation des données par cette autre société à des fins commerciales n'est possible qu'avec leur consentement. » L'exemple donné : « un particulier qui dépose une annonce sur un site de ventes entre particuliers ne s'attend raisonnablement pas à être prospecté par un professionnel. »
En juin 2024, la CNIL a complété cette position par des recommandations dédiées aux réutilisateurs. Elle y indique qu'à défaut de consentement préalable, la collecte de données personnelles à des fins de prospection commerciale suppose que les personnes puissent raisonnablement s'y attendre — appréciation qui tient compte, selon la CNIL, de l'objectif de la réutilisation, du type de données, de la politique du site source et de la finalité de prospection.
Que dit la CNIL sur les listes constituées par extraction automatique ?
Elle vise directement ces outils. La CNIL évoque « des outils, comme des logiciels d'extractions (ou web scraping) » utilisés pour collecter automatiquement des coordonnées sur des espaces publics d'internet, et indique que les entreprises qui y recourent doivent « s'assurer de la nature et de l'origine des données collectées ». Elle relève également que certains logiciels extraient des informations depuis des sites dont les conditions d'utilisation interdisent l'extraction et la réutilisation commerciale des données.
Ses recommandations de 2024 comportent une fiche consacrée à « la constitution ou l'enrichissement de fichiers destinés à la prospection commerciale » (fiche n°2), ainsi qu'une fiche sur « le moissonnage de données publiquement accessibles ». La CNIL y présente comme étapes préalables le fait pour l'organisme de « s'interroger sur sa qualification au sens du RGPD », d'identifier « une base légale » — qualifiée de « première étape indispensable » — et de respecter l'obligation qui « impose d'informer les personnes concernées du traitement de leurs données ».
La provenance d'un fichier est donc un point de vérification en soi, distinct de la question du consentement.
Le cadre est-il différent pour un client existant ?
Oui. La CNIL prévoit une situation distincte lorsque « la personne prospectée est déjà cliente de l'entreprise et si la prospection concerne les produits ou services similaires ». Elle précise que la simple création d'un compte, sans achat effectif, ne suffit pas à placer la personne dans cette situation.
Qu'est-ce qui change le 11 août 2026 ?
Le changement concerne le téléphone, pas l'email. À compter du 11 août 2026, la prospection téléphonique vers les particuliers est soumise au consentement préalable, avec trois exceptions signalées par la CNIL : la prospection en lien avec un contrat en cours, les abonnements à la presse, et les sollicitations non commerciales. Pour les professionnels, la CNIL indique que la prospection téléphonique peut être fondée sur l'intérêt légitime lorsque la sollicitation est en rapport avec leur profession, sous réserve d'information et d'une possibilité d'opposition simple.
La source du changement est la loi du 30 juin 2025 contre toutes les fraudes aux aides publiques, qui modifie l'article L.223-1 du code de la consommation. La CNIL signale que sa page « sera mise à jour et complétée à la suite de la publication des textes d'application ».
Questions liées
Quels outils de prospection sont conformes au RGPD pour une entreprise française ?
La CNIL ne certifie pas d'outils de prospection. La conformité s'apprécie au niveau du traitement et du responsable de traitement, pas du logiciel : les conditions décrites plus haut — pertinence professionnelle, information sur l'origine des données, opposition simple — portent sur l'usage qui est fait des données, quel que soit l'outil. La CNIL invite en revanche à vérifier la nature et l'origine des données lorsqu'un logiciel d'extraction est utilisé.
Un lien de désinscription est-il attendu dans un email de prospection B2B ?
La CNIL indique que toute sollicitation doit permettre à la personne de connaître « l'identité de l'organisation qui l'émet » et d'exprimer son refus par « un moyen simple ». Elle cite comme exemple « un lien de désabonnement qui fonctionne dans vos emails ».
Une liste d'opposition est-elle utile ?
La CNIL recommande la mise en place d'une liste d'opposition afin que les refus exprimés restent effectifs dans le temps — c'est-à-dire que la personne ne soit pas re-sollicitée après un import ultérieur.
Pour aller plus loin
Le cadre décrit ci-dessus porte sur la légalité de la démarche. La question opérationnelle — comment construire une liste dont l'origine est traçable et dont la pertinence professionnelle est démontrable — relève du ciblage lui-même. C'est le sujet du ciblage par signaux d'achat, et plus largement de la prospection commerciale automatisée pour les PME françaises.
Sources
Toutes les pages ci-dessous ont été consultées le 10 août 2026.
- CNIL, La prospection commerciale par courrier électronique, SMS-MMS et automate d'appel
- CNIL, Communications par voie électronique aux prospects et clients : quelles règles respecter ?
- CNIL, La réutilisation des données publiquement accessibles en ligne à des fins de démarchage commercial — page datée du 30 avril 2020
- CNIL, Recommandations pour les réutilisateurs de données publiées sur internet — publiées le 12 juin 2024
- CNIL, Prospection commerciale par téléphone (hors automate d'appel) : quelles sont les règles ?