E-mailing et RGPD : les regles d'opt-in a respecter en B2C et en B2B
Publie le 16/09/2026 · Temps de lecture : 10 min
Envoyer un email a un client ou a un prospect n'est pas un geste anodin au regard de la loi. Deux textes se combinent : le RGPD, qui exige une base legale pour tout traitement de donnees personnelles, et l'article L.34-5 du Code des postes et des communications electroniques (CPCE), qui encadre specifiquement la prospection directe par voie electronique. Le regime n'est pas le meme selon que le destinataire est une personne physique sollicitee a titre prive (B2C) ou un professionnel sollicite sur son adresse professionnelle pour un besoin lie a son metier (B2B). Beaucoup de TPE et de PME melangent les deux regimes, ce qui explique une part importante des plaintes recues chaque annee par la CNIL au sujet de la prospection commerciale.
Cet article detaille le principe general de l'opt-in, les deux exceptions qui permettent de s'en dispenser (le client existant et la prospection B2B), les mentions obligatoires de chaque email, et les risques lies a l'achat de fichiers de prospection.
Sommaire
- 1. Le cadre legal : RGPD et Code des postes
- 2. Le principe : opt-in obligatoire en B2C
- 3. L'exception du client existant (soft opt-in)
- 4. Le cas particulier de la prospection B2B
- 5. Les mentions obligatoires dans chaque email
- 6. Acheter ou louer un fichier de prospection
- 7. Les sanctions encourues
- Questions frequentes
1. Le cadre legal : RGPD et Code des postes
Le RGPD pose un principe general : tout traitement de donnees personnelles doit reposer sur une des six bases legales listees a l'article 6, le plus souvent le consentement ou l'interet legitime pour la prospection commerciale. L'article L.34-5 du CPCE vient preciser ce cadre pour un cas particulier, la prospection directe par email, SMS ou automate d'appel : il pose une regle de principe (le consentement prealable, dit opt-in) assortie de deux exceptions cadrees. C'est la combinaison de ces deux textes qui determine, au cas par cas, si un envoi est licite.
La CNIL publie et met a jour regulierement des recommandations sur la prospection commerciale qui detaillent l'application pratique de ces regles : elles servent de reference lors des controles et constituent le meilleur point de depart pour batir un scenario d'emailing conforme.
2. Le principe : opt-in obligatoire en B2C
Pour un particulier sollicite en dehors de tout cadre professionnel, la regle est celle de l'opt-in : la personne doit avoir donne son consentement prealable, specifique et informe avant de recevoir le moindre email commercial. Une case pre-cochee, un consentement deduit de l'inaction, ou une formulation vague noyee dans des conditions generales ne constituent pas un consentement valable au sens de l'article 4.11 du RGPD.
En pratique, cela signifie qu'un formulaire de contact, un compte client cree pour finaliser un achat, ou un jeu-concours ne valent pas automatiquement autorisation d'envoyer des newsletters commerciales : il faut une case a cocher (non pre-cochee) dediee specifiquement a la prospection, distincte de la case d'acceptation des conditions generales de vente.
3. L'exception du client existant (soft opt-in)
L'article L.34-5, quatrieme alinea, du CPCE prevoit une exception importante : une entreprise peut prospecter par email un client existant sans nouveau consentement, a trois conditions cumulatives. Premierement, l'adresse a ete recueillie directement aupres du client, a l'occasion d'une vente ou d'une prestation de services. Deuxiemement, la prospection ne concerne que des produits ou services analogues a ceux deja fournis par la meme entreprise. Troisiemement, le client s'est vu offrir, de maniere claire et distincte, la possibilite de s'opposer gratuitement et simplement a l'utilisation de son adresse a cette fin, aussi bien au moment de la collecte qu'a chaque email envoye par la suite.
Cette exception ne dispense pas d'informer le client : la politique de confidentialite doit mentionner cette finalite, et chaque email doit continuer a proposer un moyen simple de s'y opposer. Elle ne permet pas non plus d'elargir la prospection a une gamme de produits totalement differente de celle achetee : un client ayant achete une prestation de creation de site internet peut recevoir une offre sur la maintenance de ce site, pas necessairement une offre commerciale sans rapport avec l'activite initiale.
4. Le cas particulier de la prospection B2B
Lorsque l'email est envoye a une adresse professionnelle nominative dans le cadre d'une sollicitation en lien avec l'activite professionnelle du destinataire, le regime est allege : le consentement prealable n'est pas exige de la meme maniere qu'en B2C. La CNIL considere que solliciter un responsable achats sur un logiciel de facturation, ou un dirigeant de TPE sur une offre de mise en conformite RGPD, releve d'un interet legitime a communiquer entre professionnels, des lors que le contenu reste pertinent au regard de la fonction occupee.
Cette tolerance a des limites strictes. Le message doit rester en rapport avec la fonction professionnelle du destinataire : envoyer une offre sur un produit de grande consommation sans rapport avec l'activite de l'entreprise destinataire ne releve plus de cette exception. Le destinataire doit egalement pouvoir s'opposer facilement, a tout moment, a la reception de futurs messages, et cette opposition doit etre respectee immediatement. Enfin, l'adresse elle-meme doit avoir ete collectee de maniere licite : un email professionnel trouve sur un annuaire public ou un reseau social professionnel n'est pas exempte des principes generaux du RGPD en matiere de transparence et de minimisation des donnees.
5. Les mentions obligatoires dans chaque email
Independamment de la base juridique retenue (opt-in, soft opt-in ou prospection B2B), chaque email commercial doit respecter des obligations formelles fixees par l'article L.34-5 du CPCE et par le RGPD :
- une identification claire de l'expediteur reel du message (raison sociale de l'entreprise, pas seulement un nom de marque commerciale) ;
- un objet qui ne dissimule pas la nature commerciale du message et n'utilise pas de formulation trompeuse pour maximiser le taux d'ouverture ;
- un lien ou une adresse de desabonnement present dans chaque envoi, gratuit, et dont la demande doit etre traitee sans delai injustifie ;
- un lien vers la politique de confidentialite decrivant la base legale du traitement et la duree de conservation des donnees.
Un desabonnement qui ne fonctionne pas, ou qui reste sans effet plusieurs semaines apres la demande, constitue en lui-meme un manquement independant de la question du consentement initial : c'est un point de controle frequent lors des verifications de la CNIL, souvent declenche par une plainte individuelle.
6. Acheter ou louer un fichier de prospection
Recourir a un courtier en donnees ou a une base d'adresses achetee est une pratique repandue mais juridiquement fragile. Le RGPD impose que les personnes dont l'adresse figure dans le fichier aient ete informees, des la collecte initiale par l'organisme d'origine, que leurs donnees pourraient etre cedees ou louees a des tiers a des fins de prospection commerciale, et qu'elles y aient consenti specifiquement.
En cas de controle, c'est l'entreprise qui envoie l'email — pas seulement le courtier qui a vendu le fichier — qui doit etre en mesure de demontrer la licéité de cette collecte d'origine. Un simple contrat commercial avec le vendeur du fichier, sans preuve tracable du consentement des personnes concernees, ne suffit pas a se degager de cette responsabilite. Si votre entreprise fait appel a un prestataire d'emailing (plateforme d'envoi, agence marketing), ce prestataire agit generalement comme sous-traitant au sens de l'article 28 du RGPD et doit etre encadre par un contrat precisant ses obligations.
7. Les sanctions encourues
La CNIL sanctionne regulierement des manquements aux regles de prospection commerciale. En novembre 2022, elle a prononce une sanction de 600 000 euros a l'encontre de Canal+, reprochant notamment a l'entreprise d'avoir utilise les donnees d'anciens abonnes ou de prospects a des fins de prospection commerciale sans base legale suffisante, en plus d'une duree de conservation excessive des donnees. Ce type de dossier montre que le montant de la sanction depend moins de la taille de l'entreprise que de l'ampleur et de la duree du manquement constate.
Pour une TPE ou une PME, le risque le plus frequent reste la plainte individuelle aupres de la CNIL a la suite d'un desabonnement ignore ou d'un email recu sans consentement identifiable. La CNIL traite un grand nombre de ces plaintes par une mise en demeure de corriger la pratique dans un delai donne, avant d'envisager une sanction financiere en cas de recidive ou d'absence de reponse.
Securisez votre prospection par email
ConformiteFacile vous aide a documenter vos bases legales, vos consentements et vos contrats de sous-traitance, comme ceux qui encadrent vos prestataires d'emailing (voir notre article sur les clauses RGPD obligatoires du contrat sous-traitant).
Voir les tarifsQuestions frequentes
Puis-je envoyer un email de prospection a un client qui a achete chez moi il y a deux ans ?
Oui, sous conditions : c'est l'exception dite du "soft opt-in" prevue par l'article L.34-5 du Code des postes et communications electroniques. Elle s'applique si l'email concerne des produits ou services analogues a ceux deja achetes, si l'adresse a ete collectee a l'occasion de cette vente, et si le client a la possibilite de s'opposer gratuitement et simplement a ces sollicitations, au moment de la collecte puis a chaque email envoye. Rien n'impose de duree limite dans le texte, mais la CNIL recommande de ne pas solliciter un client qui n'a plus eu aucune interaction depuis plusieurs annees, sauf a lui redemander son consentement.
L'adresse email professionnelle d'un prospect B2B echappe-t-elle totalement a la regle du consentement ?
Non, elle beneficie d'un regime allege, pas d'une exemption totale. La prospection vers une adresse professionnelle nominative (prenom.nom@entreprise.fr) est admise sans consentement prealable a condition que le contenu du message soit en rapport avec l'activite professionnelle du destinataire, et que celui-ci puisse s'opposer facilement a tout envoi futur. Un email sans rapport avec la fonction du destinataire, ou envoye a une adresse generique type contact@entreprise.fr utilisee pour prospecter une personne physique en dehors de son cadre professionnel, retombe sous le regime du consentement prealable.
Que doit obligatoirement contenir un email de prospection pour etre conforme ?
L'identite claire de l'expediteur (raison sociale, pas seulement un nom de marque), un objet qui ne trompe pas sur le contenu du message, et un lien ou une adresse de desabonnement fonctionnant immediatement et gratuitement, comme l'exige l'article L.34-5 du CPCE. La demande de desabonnement doit etre traitee sans delai injustifie : un lien qui renvoie une erreur, ou un desabonnement qui met plusieurs semaines a etre effectif, constitue en lui-meme un manquement distinct de l'absence de consentement.
Puis-je acheter un fichier d'adresses email aupres d'un courtier en donnees ?
C'est risque et rarement conforme en l'etat. Le RGPD impose que les personnes figurant dans le fichier aient ete informees, au moment de la collecte initiale, que leurs donnees pourraient etre transmises a des tiers a des fins de prospection, et qu'elles aient donne un consentement specifique a cette finalite précise. En pratique, la tracabilite du consentement d'origine est rarement demontrable par l'acheteur du fichier, ce qui l'expose en cas de controle : c'est bien l'entreprise qui envoie l'email, pas seulement le vendeur du fichier, qui doit pouvoir prouver la licéité de la collecte.
A lire aussi
Contrat avec un sous-traitant RGPD : les clauses obligatoires de l'article 28
Lire
Violation de donnees personnelles : ce qu'il faut faire dans les 72 heures
Lire