Cold email B2B et RGPD : a-t-on le droit de prospecter par email ?

Oui, la prospection par email entre professionnels est autorisée en France sans consentement préalable, à trois conditions rappelées par la CNIL : le message concerne la fonction de la personne, elle a été informée que son adresse pourrait servir à de la prospection, et elle peut s’y opposer simplement, à tout moment. La base légale est l’intérêt légitime, pas le consentement.

B2B et B2C : pourquoi les règles diffèrent ?

La confusion vient de là. Pour les particuliers, la règle est le consentement préalable : aucun email commercial ne peut partir sans un accord explicite, recueilli avant l’envoi. C’est ce que beaucoup de dirigeants ont en tête quand ils s’inquiètent de la légalité du cold email.

Pour les professionnels, la CNIL applique une logique différente, décrite dans sa fiche sur la prospection commerciale par courrier électronique. Une personne contactée à son adresse professionnelle, au sujet de sa fonction, n’a pas à donner son accord au préalable. Elle doit en revanche pouvoir refuser, et ce refus doit être respecté. Le raisonnement est simple : un responsable des achats a, par sa fonction, vocation à recevoir des propositions de fournisseurs ; un particulier n’a vocation à rien recevoir du tout.

La ligne de partage n’est pas le type d’adresse mais la nature du message et de la relation. Un email envoyé à une adresse professionnelle pour vendre un produit de consommation personnelle, sans lien avec le poste, relève du régime des particuliers. Un email envoyé à un dirigeant d’entreprise individuelle, à propos de son activité, relève du régime professionnel, même si l’adresse est une adresse personnelle.

Quelles sont les trois conditions de la CNIL ?

Au moment où nous écrivons, la CNIL pose trois conditions cumulatives pour la prospection B2B par email sans consentement.

Condition	Ce que cela veut dire en pratique	Ce qui ne passe pas
Le message est en rapport avec la profession de la personne	Le produit ou service proposé concerne l’activité, le poste ou l’entreprise du destinataire	Vendre un abonnement de salle de sport à un directeur financier sur son adresse de bureau
La personne a été informée de l’usage de son adresse	Le premier message indique d’où vient l’adresse et à quoi elle sert	Une adresse récupérée sans que la personne puisse savoir comment
La personne peut s’opposer simplement et à tout moment	Un moyen de refus clair dans chaque message, pris en compte sans délai	Un lien de désinscription qui mène à un formulaire de dix champs, ou une demande ignorée

La troisième condition est celle qui se vérifie le plus facilement de l’extérieur, et celle que les entreprises négligent le plus. Un « répondez stop pour ne plus recevoir nos messages » suffit, à condition que le stop soit réellement traité, sur tous les outils d’envoi, y compris pour les campagnes suivantes. Sur nos missions, chaque refus est ajouté à une liste d’exclusion partagée entre toutes les campagnes du client, ce qui garantit que la personne ne sera pas recontactée par une autre séquence six mois plus tard.

Quelle base légale invoquer ?

Le RGPD impose de fonder tout traitement de données personnelles sur une base légale. Une adresse email nominative est une donnée personnelle, même professionnelle. Pour la prospection B2B, la base retenue est l’intérêt légitime, que la CNIL décrit comme applicable quand le traitement est nécessaire à un intérêt de l’entreprise, ici le développement commercial, et qu’il ne porte pas une atteinte disproportionnée aux droits des personnes.

Cet équilibre suppose trois choses de la part de l’entreprise qui prospecte. Elle doit pouvoir expliquer pourquoi ce traitement sert son activité, ce qui est évident pour de la prospection. Elle doit limiter le traitement à ce qui est nécessaire : contacter des personnes dont la fonction correspond à l’offre, pas toute une base achetée. Et elle doit respecter les droits des personnes, en premier lieu le droit d’opposition, qui s’exerce sans avoir à se justifier.

L’intérêt légitime ne dispense pas de l’information. Le RGPD, dont la CNIL résume les principes dans sa présentation générale, prévoit que les personnes soient informées de l’identité du responsable du traitement, de la finalité, de la base légale, de la durée de conservation et de leurs droits. En prospection, cette information tient dans une phrase du premier message et un lien vers la politique de confidentialité du site.

Quelles obligations concrètes dans chaque email ?

Un cold email conforme, tel que nous le pratiquons, contient quatre éléments.

Une identité claire : le nom de l’expéditeur, l’entreprise, et une adresse de réponse qui fonctionne. Un email envoyé depuis un nom inventé ou une adresse sans réponse possible pose un problème avant même la question du RGPD.

Un moyen de refus simple, dans chaque message de la séquence, pas seulement le premier. La formule peut être une phrase en fin d’email, ou un lien de désinscription. Les règles de Google pour les expéditeurs vont dans le même sens : pour les envois en volume, la désinscription doit être possible en un clic et traitée sous deux jours, sous peine de voir les messages filtrés.

Une information sur la provenance de l’adresse, formulée simplement : « votre adresse provient de votre profil professionnel public » ou « de l’annuaire de votre fédération ». La CNIL attend que la personne puisse comprendre comment elle a été identifiée.

Un lien vers la politique de confidentialité, qui porte le reste de l’information : durée de conservation, droits d’accès et de rectification, coordonnées pour les exercer. Sur la durée, la CNIL retient comme repère une conservation des données de prospects limitée dans le temps à compter du dernier contact, généralement trois ans, au-delà de laquelle la personne qui n’a pas répondu doit être supprimée de la base.

Le tout tient en deux lignes de pied de message. Un email de prospection bien écrit, comme ceux que nous décrivons dans comment écrire un cold email B2B, n’a aucun mal à les accueillir sans alourdir le message.

Que risque-t-on en cas de manquement ?

Deux types de conséquences, qui n’ont pas le même poids au quotidien.

La conséquence juridique, c’est un contrôle de la CNIL, déclenché le plus souvent par une plainte. La CNIL peut adresser une mise en demeure, rendue publique ou non, puis prononcer une amende administrative, dont le montant dépend de la gravité et de la taille de l’entreprise. Les cas sanctionnés en prospection concernent presque toujours des bases achetées et utilisées sans information ni possibilité d’opposition, à grande échelle. Une PME qui prospecte des professionnels sur leur fonction, avec un moyen de refus fonctionnel, n’est pas dans ce cas de figure. Cela ne dispense pas de vérifier sa situation avec un conseil pour les cas particuliers, notamment si des données de santé ou des professions réglementées sont concernées.

La conséquence pratique arrive bien plus vite : la délivrabilité. Un destinataire qui ne trouve pas comment refuser clique sur « signaler comme spam ». Au-delà d’un très faible taux de plaintes, les fournisseurs de messagerie filtrent tous les messages du domaine, et la campagne s’arrête d’elle-même. Nous détaillons ce mécanisme dans notre article sur la délivrabilité, SPF, DKIM et DMARC. Le respect du droit d’opposition est une obligation, et c’est aussi ce qui permet aux messages d’arriver.

Liste de vérification avant d’envoyer

Avant le premier envoi d’une campagne, nous passons chaque point de cette liste. Elle tient sur une page et évite l’essentiel des problèmes.

1. Chaque contact de la liste occupe une fonction en rapport avec l’offre proposée.
2. La liste ne contient aucune adresse personnelle utilisée à des fins sans lien avec l’activité professionnelle.
3. Le premier message indique l’identité de l’expéditeur et la provenance de l’adresse.
4. Chaque message de la séquence contient un moyen de refus simple et visible.
5. Les refus sont traités sous 48 heures et propagés à toutes les campagnes, présentes et futures.
6. La politique de confidentialité du site couvre la prospection : finalité, base légale, durée de conservation, droits.
7. Les contacts sans réponse sont supprimés de la base au terme de la durée de conservation fixée.
8. Un registre des traitements mentionne la prospection, avec la source des données et la durée de conservation.

Une agence qui ne peut pas répondre à ces huit points sur ses propres campagnes vous expose à sa place. C’est une question à poser avant de signer, au même titre que celles que nous listons dans comment choisir son agence de prospection B2B. Sur nos campagnes de cold email, cette liste fait partie du cadrage, avant le premier envoi.

Questions fréquentes

Peut-on utiliser les adresses trouvées sur LinkedIn pour envoyer des emails ?

LinkedIn n’affiche pas les adresses email. Les adresses utilisées en prospection sont reconstituées ou trouvées via des services d’enrichissement à partir du nom et du domaine de l’entreprise. Le régime reste celui de la prospection professionnelle : fonction en rapport avec l’offre, information sur la provenance, possibilité de refus. La source doit pouvoir être indiquée à la personne qui le demande.

Faut-il un consentement pour envoyer un cold email à un dirigeant d’entreprise individuelle ?

Non, dès lors que le message concerne son activité professionnelle. Un artisan, un consultant indépendant ou un gérant de société unipersonnelle est contacté au titre de sa fonction. En revanche, s’il s’agit de lui vendre un produit sans rapport avec cette activité, le régime des particuliers s’applique et le consentement préalable devient nécessaire.

Une adresse générique comme contact@ est-elle une donnée personnelle ?

Une adresse qui ne permet pas d’identifier une personne physique n’est pas une donnée personnelle au sens du RGPD. Les règles de la prospection commerciale continuent de s’appliquer, notamment l’identification de l’expéditeur et le moyen de refus, mais les obligations propres aux données personnelles ne jouent pas. Dans les faits, ces adresses obtiennent peu de réponses et nous les évitons.

Combien de temps peut-on conserver l’adresse d’un prospect qui n’a jamais répondu ?

La CNIL retient un repère de trois ans à compter du dernier contact pour les données de prospects. Passé ce délai, sans réponse ni interaction, l’adresse doit être supprimée. Une personne qui a refusé doit rester dans une liste d’exclusion, sous la seule forme nécessaire à empêcher un nouveau contact.

Sources et références

• CNIL, la prospection commerciale par courrier électronique : les conditions applicables aux professionnels et aux particuliers.
• CNIL, la base légale de l’intérêt légitime : la base légale de la prospection B2B et l’équilibre à documenter.
• CNIL, RGPD : de quoi parle-t-on : les principes généraux, dont l’information des personnes et la durée de conservation.
• Google, règles pour les expéditeurs d’emails : les exigences de désinscription et de taux de plainte pour les envois en volume.