Prospection commerciale B2B et B2C : les règles RGPD et CNIL

Un fichier de 40 000 prospects acheté à un courtier, une séquence d'emails automatisée, une équipe de télévendeurs : chaque outil de prospection commerciale relève d'un régime différent. La CNIL a sanctionné Solocal Marketing Services de 900 000 euros en mai 2025 pour des consentements recueillis par ses partenaires. Depuis le 11 août 2026, appeler un particulier sans son accord préalable est interdit. Voici les règles qui s'appliquent en B2B et en B2C, canal par canal, et ce qu'elles impliquent pour vos fichiers.

Prospection commerciale : le canal et la cible fixent la règle

Le droit de la prospection ne se lit pas en un seul texte. Trois corpus se superposent : le RGPD pour tout traitement de données personnelles, l'article L. 34-5 du code des postes et des communications électroniques (CPCE) pour les emails, SMS et automates d'appel, et le code de la consommation pour le téléphone. La bonne question n'est donc pas « ai-je le droit de prospecter ? » mais « qui je contacte, et par quel canal ? ».

• Email, SMS, MMS, automate d'appel vers un particulier : consentement préalable, sauf exception clients.
• Email vers un professionnel : information et droit d'opposition, si le message est en rapport avec sa profession.
• Téléphone vers un particulier : consentement préalable depuis le 11 août 2026, prouvé et limité à un an.
• Téléphone vers un professionnel : intérêt légitime et droit d'opposition.
• Courrier postal : intérêt légitime et droit d'opposition, pour les deux publics.

Ce que la loi appelle prospection directe

L'article L. 34-5 du CPCE vise « tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l'image » d'un professionnel. Une newsletter qui met en avant une offre, une invitation à un webinaire commercial, un message de relance de panier : tout cela entre dans le champ. Le format compte aussi. Dans sa délibération SAN-2024-019 du 14 novembre 2024, la CNIL a infligé 50 millions d'euros à Orange, notamment pour des publicités insérées entre les courriels de sa messagerie sans consentement. Elle s'est appuyée sur l'arrêt StWL de la CJUE du 25 novembre 2021 (C-102/20), qui assimile ces encarts à de la prospection par courrier électronique.

Prospection B2C par email et SMS : le consentement préalable

Vers un particulier, le principe est l'opt-in. L'article L. 34-5 interdit la prospection par email, SMS ou automate d'appel utilisant les coordonnées d'une personne qui n'a pas « exprimé préalablement son consentement » à recevoir des prospections par ce moyen. Ce consentement doit répondre aux exigences de l'article 4.11 du RGPD : libre, spécifique, éclairé et univoque, exprimé par un acte positif clair.

Un consentement valable, concrètement

• une case dédiée, décochée par défaut, distincte de l'acceptation des CGV ou du règlement d'un jeu ;
• une formulation qui nomme le canal (email, SMS) et l'émetteur ;
• un refus aussi simple que l'acceptation, sans bouton mis en avant ni vocabulaire ambigu ;
• une trace : date, heure, texte présenté, source du formulaire.

La sanction Solocal (SAN-2025-001 du 15 mai 2025, 900 000 euros) illustre ce qui ne fonctionne pas. Sur onze formulaires d'un partenaire, huit étaient « à bouton unique » : un clic sur « JE PARTICIPE » validait à la fois l'inscription au jeu-concours et l'accord pour recevoir la prospection de partenaires. La CNIL a jugé ce consentement ni libre ni univoque. Les formulaires à deux boutons n'ont pas été jugés plus valables lorsque le bouton de refus laissait croire qu'il empêchait de jouer.

L'exception clients, ou soft opt-in

L'article L. 34-5 autorise l'envoi d'emails sans consentement préalable à trois conditions cumulatives : les coordonnées ont été recueillies auprès de la personne à l'occasion d'une vente ou d'une prestation, le message porte sur des produits ou services analogues fournis par la même entreprise, et la personne a pu s'opposer dès la collecte puis dans chaque message. La CNIL précise que la simple création d'un compte en ligne ne suffit pas : sans achat ni prestation, pas d'exception. Un e-commerçant qui écrit à un acheteur de chaussures pour lui proposer d'autres chaussures est couvert. La filiale du groupe qui vend de l'assurance ne l'est pas : ce n'est ni la même personne morale, ni un produit analogue.

Prospection B2B : l'opposition suffit, sous conditions

Vers un professionnel, le régime est l'opt-out. L'article 13 de la directive 2002/58 laisse aux États le choix pour les communications qui ne visent pas des personnes physiques, et la CNIL admet depuis longtemps la prospection par email de professionnels sur la base de l'intérêt légitime. Le considérant 47 du RGPD le confirme : la prospection « peut être considérée comme étant réalisée pour répondre à un intérêt légitime ». Ce n'est pas un blanc-seing.

Les trois conditions de la CNIL

1. Le lien avec la profession. Proposer un logiciel de paie à une DRH, oui. Proposer une croisière à la même DRH sur son adresse professionnelle, non : le message n'a plus de rapport avec sa fonction, et le régime B2C s'applique.
2. L'information. La personne doit savoir, au plus tard au premier message, que ses coordonnées sont utilisées à des fins de prospection, et d'où elles viennent si elles n'ont pas été collectées auprès d'elle (article 14.3 du RGPD : un mois au plus, et au plus tard à la première communication).
3. L'opposition. Un lien de désinscription simple et gratuit dans chaque message, et une liste repoussoir pour que le refus soit durable.

Les adresses génériques de type contact@ ou commande@ ne visent pas une personne identifiée : la CNIL les place hors de ces principes. Une adresse prenom.nom@entreprise.fr reste en revanche une donnée personnelle, même professionnelle.

LinkedIn, extensions et outils d'enrichissement

Le scraping de profils et les outils qui « trouvent l'email » d'un décideur sont le point faible de la prospection B2B. Dans sa délibération SAN-2024-020 du 5 décembre 2024, la CNIL a sanctionné la société Kaspr de 240 000 euros. Son extension Chrome collectait les coordonnées de membres LinkedIn qui avaient limité leur visibilité à leurs relations. La CNIL a écarté l'intérêt légitime : ces personnes ne pouvaient raisonnablement s'attendre à voir leurs coordonnées revendues. Elle a aussi rappelé qu'une donnée professionnelle reste une donnée personnelle. L'utilisateur d'un tel outil hérite du risque : la base légale de son fichier dépend de la manière dont il a été constitué.

Pour les messages envoyés via la messagerie d'un réseau social, aucune décision publiée relevée ne tranche leur qualification de « courrier électronique » au sens de L. 34-5. Par prudence, je recommande d'appliquer le même régime que l'email : lien avec la profession, identification claire, moyen simple de refuser.

Démarchage téléphonique : ce qui a changé le 11 août 2026

La loi n° 2025-594 du 30 juin 2025 a renversé la logique pour les consommateurs. Jusqu'au 10 août 2026, il suffisait de ne pas appeler les numéros inscrits sur la liste d'opposition. Depuis le 11 août 2026, l'article L. 223-1 du code de la consommation interdit de démarcher par téléphone un consommateur qui n'a pas « exprimé préalablement son consentement ». Les articles qui organisaient la liste d'opposition sont abrogés. Le détail de la réforme est traité dans notre article sur la loi sur le démarchage téléphonique consenti.

Un consentement encadré par le décret du 23 juillet 2026

Le décret n° 2026-662 précise ce que doit contenir la demande de consentement (article R. 223-1) :

• l'identité du professionnel, et celle du centre d'appels qui agit pour son compte ;
• la nature des biens ou services concernés ;
• la durée de l'accord, qui ne peut dépasser un an et ne se renouvelle jamais tacitement ;
• la possibilité de le retirer à tout moment, y compris oralement (article R. 223-3) ;
• l'accès, sur demande, à la preuve du consentement.

Une mention prérédigée ou la simple poursuite de la navigation ne valent pas acte positif clair. La preuve, avec la date et l'heure du recueil, se conserve trois ans (article R. 223-2). La charge de la preuve pèse sur le professionnel.

Les exceptions et les interdits

• Contrat en cours : l'appel reste possible s'il a un rapport avec l'objet du contrat, y compris pour proposer des produits complémentaires.
• Rappel sur demande : un appel qui répond à une demande d'information du consommateur, passé dans les cinq jours ouvrables et limité à son objet (article R. 223-4).
• Presse : journaux, périodiques et magazines restent hors du consentement (article L. 223-5).
• Secteurs interdits : rénovation énergétique, énergies renouvelables et adaptation du logement au vieillissement ou au handicap, même avec consentement. L'article L. 223-8 étend l'interdiction aux emails, messageries et réseaux sociaux dans ces secteurs.

Les créneaux restent fixés par l'article D. 223-9 : du lundi au vendredi hors jours fériés, de 10 h à 13 h et de 14 h à 20 h, et pas plus de quatre appels au même consommateur sur trente jours.

Point de vigilance. L'annonceur ne peut plus se retrancher derrière son centre d'appels. L'article L. 223-1 présume responsable tout professionnel qui a tiré profit d'un démarchage illicite, sauf preuve qu'il n'en est pas à l'origine. Et le contrat conclu à la suite de cet appel est nul : le chiffre d'affaires de la campagne peut disparaître avec lui.

Et le téléphone en B2B ?

L'article L. 223-1 protège le consommateur. Appeler un acheteur, un directeur technique ou un gérant de PME sur sa ligne professionnelle reste soumis au RGPD : intérêt légitime, information, opposition immédiate et respectée. L'entrepreneur individuel joint sur son portable personnel est une zone grise : quand l'offre ne touche pas son activité, mieux vaut le traiter comme un particulier.

Fichiers achetés et partenaires : la responsabilité de l'annonceur

La plupart des sanctions récentes ne visent pas celui qui a conçu le formulaire, mais celui qui a utilisé les données. Dans sa délibération SAN-2024-004 du 4 avril 2024, la CNIL a infligé 525 000 euros à un réseau de boutiques de téléphonie. Il avait envoyé 1,4 million de SMS et passé 3,2 millions d'appels à partir de fichiers achetés à des courtiers, alimentés par des jeux-concours. La CNIL a rappelé que l'existence d'une responsabilité des fournisseurs n'exonère pas l'acheteur.

La décision Caloga (SAN-2025-002 du 15 mai 2025, 80 000 euros) vise un courtier en données. Elle ajoute un point de conservation : un prospect non client se conserve trois ans à compter de la collecte ou de son dernier contact, et la simple ouverture d'un email n'est pas un contact. Un clic sur un lien, une demande de documentation, en sont un.

Ce que la CNIL attend de la chaîne

• le collecteur recueille lui-même le consentement à la transmission, par une case décochée ;
• une liste exhaustive et à jour des partenaires est accessible au moment du recueil ;
• le consentement ne se transmet pas en cascade : un partenaire qui revend doit en recueillir un nouveau ;
• le partenaire informe la personne au premier contact, et au plus tard dans le mois, en citant la source des données.

Solocal a fini par mettre en place un contrôle automatisé de chaque formulaire de ses partenaires, doublé d'une revue humaine : présence d'une case à cocher, mentions d'information, détection des présentations trompeuses. La CNIL a clôturé l'injonction le 17 septembre 2026 (SAN-2026-012), tout en rappelant que la société reste responsable des consentements recueillis pour son compte.

Conseil d'avocat. Avant d'acheter ou de louer un fichier, exigez par contrat les captures des formulaires, le texte exact de la case, la liste des partenaires affichée, la date de collecte de chaque contact et un droit d'audit. Un fournisseur qui refuse ne vous vend pas un fichier : il vous vend un risque.

Prospection postale, conservation et listes d'opposition

Le courrier postal reste le canal le plus souple. Il repose sur l'intérêt légitime, en B2B comme en B2C, à condition d'informer les personnes et de leur permettre de s'opposer simplement. L'article 21 du RGPD rend ce droit absolu en matière de prospection : une fois l'opposition exprimée, les données ne sont plus traitées à cette fin, sans pesée des intérêts.

Deux outils évitent la plupart des manquements :

• Une liste repoussoir commune à tous les canaux et à tous les outils (CRM, routeur d'emails, centre d'appels), conservée tant que l'opposition doit produire effet.
• Une purge automatique des prospects inactifs depuis trois ans, sauf nouveau consentement. Le traitement doit figurer à votre registre des traitements, avec ses durées.

Sanctions : CNIL, DGCCRF et décision du Conseil constitutionnel

Trois autorités peuvent sanctionner la prospection non conforme.

• La CNIL : pour un manquement à l'article L. 34-5, jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial (article 20 de la loi Informatique et Libertés). Pour un traitement sans base légale au sens de l'article 6 du RGPD, jusqu'à 20 millions d'euros ou 4 %.
• La DGCCRF : jusqu'à 75 000 euros pour une personne physique et 375 000 euros pour une personne morale, au titre de L. 34-5 comme du démarchage téléphonique (article L. 242-16 du code de la consommation), avec publication de la décision aux frais de l'entreprise.
• L'Arcep, sur le fondement de ses propres pouvoirs de sanction.

Ce cumul a été censuré. Par sa décision n° 2026-1210 QPC du 25 juin 2026, le Conseil constitutionnel a jugé que les dispositions de L. 34-5 permettant à ces trois autorités de réprimer les mêmes faits méconnaissent le principe de nécessité des peines. L'abrogation est reportée au 31 octobre 2027. D'ici là, une autorité ne peut plus engager ni poursuivre des poursuites lorsqu'une autre a déjà engagé les siennes pour les mêmes faits contre la même personne. Le risque de sanction ne baisse pas : il change de forme, et la CNIL reste l'autorité dont les plafonds sont les plus élevés.

Mettre une campagne de prospection en conformité : ma méthode

Je pars toujours des fichiers, pas des textes. La méthode tient en cinq étapes.

1. Cartographier les sources. Pour chaque segment du CRM : origine des données, date de collecte, cible B2B ou B2C, base légale. Un segment sans origine documentée est mis de côté.
2. Auditer les parcours de collecte. Formulaires du site, jeux-concours, salons, partenaires : texte des cases, ergonomie du refus, liste des partenaires, information sur la source.
3. Sécuriser les contrats. Clauses de garantie et d'audit avec les courtiers et centres d'appels, répartition des rôles au regard du RGPD, sort des données à la fin du contrat.
4. Outiller la preuve et l'opposition. Journal des consentements, liste repoussoir unique, purge à trois ans, preuve téléphonique accessible au consommateur pendant trois ans.
5. Former les équipes commerciales. Ce qu'un SDR peut faire avec un outil d'enrichissement, ce qu'il ne peut pas faire, et comment traiter un refus.

Pour les startups et entreprises innovantes qui structurent leur machine commerciale, c'est le moment le moins coûteux pour poser ces règles. Pour une entreprise déjà exposée, la mise en conformité RGPD de vos fichiers et de vos parcours de collecte commence par un audit des segments les plus risqués : fichiers achetés, SMS, appels vers des particuliers. En cas de plainte ou de mise en demeure, l'accompagnement face à un contrôle ou une procédure de la CNIL permet de documenter les mesures correctrices avant que la formation restreinte ne soit saisie.

La prospection n'est pas interdite : elle est encadrée, canal par canal. Les entreprises sanctionnées n'avaient pas toutes de mauvaises intentions. Elles n'avaient simplement pas vérifié d'où venaient leurs fichiers. Si vous préparez une campagne ou si vous héritez d'une base dont l'origine est floue, je vous propose d'échanger sur votre prochaine campagne de prospection.