RGPD et prospection commerciale : ce que vous avez le droit de faire en 2026

« Le RGPD interdit la prospection cold. »
« Il faut absolument l'opt-in pour envoyer un email à un prospect. »
« Si tu fais du cold email, tu risques 4% de ton CA en amende. »

Trois affirmations fausses qu'on entend tout le temps. Démêlons le vrai du faux.

LA BASE LÉGALE QUI CHANGE TOUT : L'INTÉRÊT LÉGITIME (ARTICLE 6.1.F)

Le RGPD prévoit 6 bases légales pour traiter des données personnelles. Le consentement (opt-in) n'est que l'une d'elles. L'intérêt légitime en est une autre, parfaitement valable pour la prospection B2B.

Concrètement : vous pouvez contacter un décideur B2B sans son consentement préalable, à 4 conditions :

1. L'email est professionnel (pas Gmail/Hotmail perso)
2. Votre proposition est liée à son activité (un DSI peut recevoir une offre logicielle, pas une assurance vie)
3. L'opt-out est simple (lien de désinscription dans chaque email)
4. Vous ne collectez que des données proportionnées (nom, poste, email pro — pas la religion ou la santé)

C'est tout. Pas besoin de demander l'autorisation avant d'envoyer.

CE QUI CHANGE ENTRE B2B ET B2C

Critère                  | B2B                              | B2C
-------------------------|----------------------------------|----------------------------------
Base légale              | Intérêt légitime (opt-out)       | Consentement (opt-in)
Email perso              | Interdit                         | Interdit
Email pro                | Autorisé                         | N/A
Opt-out simple           | Obligatoire                      | Obligatoire
Durée conservation       | 3 ans max après dernier contact  | 3 ans max après dernier contact

Si vous vendez en B2B (à des entreprises), vous êtes dans le régime opt-out. La CNIL elle-même le confirme dans sa doctrine.

LES 4 ERREURS QUI PEUVENT VRAIMENT VOUS COÛTER CHER

1. Envoyer à des emails personnels

Si vous écrivez à prenom.nom@gmail.com parce que vous l'avez trouvé sur LinkedIn, c'est interdit même en B2B. La règle : email pro uniquement.

Solution : utilisez un outil qui filtre automatiquement les 28 domaines personnels (Gmail, Hotmail, Yahoo, Outlook, etc.). Des outils comme Prospectia (https://prospectia.cloud) le font par défaut.

2. Ne pas mettre de lien d'opt-out

Chaque email cold doit contenir un lien « Se désinscrire » fonctionnel et visible. Sans ça, vous êtes hors-la-loi.

3. Ignorer une demande de suppression

Quand quelqu'un demande à être retiré, vous avez 30 jours max pour :
• Supprimer ses données
• L'ajouter à votre blocklist (pour ne plus jamais le contacter)
• Confirmer la suppression s'il le demande

Ne pas le faire = amende quasi-garantie en cas de plainte CNIL.

4. Acheter une base de données externe douteuse

La CNIL considère que vous êtes responsable de la conformité, même si vous avez acheté la liste. Si elle contient des données personnelles non-pro, vous trinquez.

Solution : collecter vos propres données via des outils transparents (Google Places + scraping web + recherche Google).

LE SCÉNARIO « AMENDE CNIL »

En 2024-2025, la CNIL a sanctionné majoritairement des entreprises B2C ou des grands comptes B2B avec des pratiques douteuses (data leak, démarchage massif, etc.). Les TPE/PME qui font du démarchage B2B propre ne sont quasiment jamais sanctionnées.

L'amende moyenne CNIL pour une PME en 2024 : 15 000-50 000 € — généralement après une plainte. Le risque réel est faible si vous respectez :

• Opt-out fonctionnel
• Email pro uniquement
• Mentions légales claires
• Pas de scraping LinkedIn perso

CHECKLIST DE CONFORMITÉ À RESPECTER

Avant chaque campagne cold email B2B, vérifiez :

☐ J'envoie à des emails professionnels uniquement (@entreprise.fr, pas @gmail.com)
☐ Chaque email a un lien d'opt-out fonctionnel
☐ J'ai une page publique de désinscription
☐ Je conserve une blocklist des désinscrits
☐ Mes mentions légales sont à jour (nom, SIREN, adresse, contact)
☐ Je documente ma base légale (intérêt légitime)
☐ Je définis une durée de conservation (3 ans max après dernier contact)
☐ Je n'ai pas acheté de base externe douteuse

Si vous cochez les 8, vous êtes largement conforme.

CONCLUSION

Le RGPD n'est pas un obstacle à la prospection B2B. C'est un cadre qui protège vos prospects... et votre business (un opt-out propre = pas de plainte client = pas de domain blacklist).

La majorité des fondateurs s'auto-censurent par méconnaissance. Si vous suivez les 4 règles de base (email pro, opt-out, données proportionnées, pas d'achat externe), vous prospectez sereinement et légalement.

Et si vous voulez automatiser la conformité, des outils comme Prospectia (https://prospectia.cloud) intègrent nativement le filtrage des emails personnels, la page d'opt-out et le scoring de confiance.

‍