RGPD et prospection B2B : ce que la CNIL autorise vraiment en 2026

[01]Le principe : opt-out en B2B, opt-in en B2C

Pour l'email, le droit français distingue deux publics. Les particuliers doivent avoir consenti à recevoir de la prospection (opt-in), sauf exception pour les clients existants. Les professionnels relèvent d'un régime d'opposition (opt-out) : on peut leur écrire sans accord préalable, tant qu'ils peuvent refuser. La fiche de la CNIL, mise à jour le 10 juin 2026, précise que la prospection des professionnels « peut être fondée sur l'intérêt légitime » de l'organisme.

[02]Les trois conditions de la prospection email B2B

1. Un message en rapport avec la profession

La CNIL l'énonce clairement : le régime s'applique lorsque « l'objet de la sollicitation est en rapport avec la profession de la personne démarchée ». Son exemple : proposer un logiciel au directeur informatique d'une entreprise. Proposer des vacances au même directeur sur son adresse professionnelle ne rentre pas dans ce cadre.

C'est un argument de plus pour un ciblage fin. Si vous avez bien défini votre client idéal et ciblez les bonnes fonctions, la condition est naturellement remplie.

2. Une personne informée

Si vous n'avez pas collecté l'adresse directement auprès de la personne (fichier acheté, adresse reconstituée, annuaire), l'article 14 du RGPD impose de l'informer : identité du responsable, finalité, source des données, droits. Lorsque les données servent à communiquer avec elle, cette information doit intervenir au plus tard lors de la première communication. En pratique, un court paragraphe en pied de premier email suffit, avec un lien vers votre politique de confidentialité.

Pour un fichier acheté, la CNIL précise qu'il faut s'assurer que la personne a été informée que son adresse pouvait être utilisée à des fins de prospection et qu'elle pouvait s'y opposer. Demandez cette garantie par écrit à votre fournisseur.

3. Une opposition simple, à chaque message

Chaque message doit permettre d'identifier l'expéditeur et de refuser les sollicitations futures « par un moyen simple ». Un lien de désinscription ou une phrase du type « répondez STOP » fonctionnent, à condition d'être réellement traités. La CNIL rappelle que les demandes d'exercice des droits doivent recevoir une réponse sous un mois maximum.

Vous recevez ce message car votre fonction chez [Entreprise]
correspond à notre offre. Votre adresse professionnelle provient
de [source]. [Votre société], responsable du traitement, l'utilise
pour vous présenter ses services sur la base de son intérêt
légitime. Pour ne plus être contacté, répondez « STOP ».
En savoir plus : [lien vers la politique de confidentialité]

[03]Adresses génériques ou nominatives

Une adresse nominative (prenom.nom@entreprise.fr) concerne une personne physique : c'est une donnée personnelle, soumise au RGPD. Les adresses génériques (contact@, info@, commande@) relèvent selon la CNIL de la personne morale et « ne sont pas soumises » aux principes du régime de prospection. Cela ne veut pas dire qu'elles sont efficaces : un message sur une boîte générique atteint rarement le décideur.

[04]Démarchage téléphonique : ce qui a changé le 11 août 2026

C'est la grande actualité réglementaire de l'année. La loi n° 2025-594 du 30 juin 2025 (article 13) a réécrit l'article L223-1 du Code de la consommation, et le décret n° 2026-662 du 23 juillet 2026 en fixe les modalités. Depuis le 11 août 2026, le démarchage téléphonique des consommateurs suppose leur consentement préalable, et le dispositif Bloctel disparaît, selon la DGCCRF.

Et en B2B ? Le texte vise le consommateur. Plusieurs analyses, comme celle d'Assurup, estiment que la nouvelle règle ne s'applique pas, en principe, à la prospection téléphonique entre professionnels, qui reste possible si l'offre a un rapport direct avec la fonction de la personne et si celle-ci peut s'opposer simplement. La prudence s'impose pour les très petites entreprises et les entrepreneurs individuels, dont la frontière avec le consommateur peut être discutée : faites valider votre approche.

[05]Et LinkedIn ?

Un message LinkedIn envoyé à une personne précise reste un traitement de données personnelles : les principes du RGPD s'appliquent (finalité, information, droit d'opposition). S'ajoutent les conditions d'utilisation de la plateforme, qui interdisent notamment l'extraction automatisée de profils. Nous détaillons ces règles dans notre guide de prospection LinkedIn.

[06]Ce que sanctionne la CNIL

La liste officielle des sanctions montre que la prospection électronique est un motif récurrent. En 2025, on y trouve notamment :

Pour mémoire, le RGPD prévoit des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves (article 83). Le message est clair : les manquements les plus sanctionnés sont aussi les plus simples à éviter — base légale, information, opposition, conservation.

[07]Données publiques : ce qu'elles permettent (et pas)

Les registres officiels (SIRENE, Registre national des entreprises, BODACC) sont publiés en données ouvertes. Ils permettent de qualifier une entreprise : activité, taille, établissements, dirigeants déclarés. Le fait qu'un nom de dirigeant soit public ne dispense pas des règles du RGPD lorsque vous l'utilisez pour le démarcher : finalité claire, information et opposition restent dues. Les données des entrepreneurs ayant demandé la non-diffusion ne sont d'ailleurs pas exposées par les services publics comme l'API Recherche d'entreprises.

[08]Checklist de conformité