Cold email B2B en France : ce que la CNIL autorise vraiment

Non, vous n'avez pas besoin de l'accord préalable de chaque dirigeant ou responsable pour lui envoyer un e-mail de prospection professionnelle. Et non, tout ce qui est publié sur LinkedIn ou dans un annuaire n'est pas librement réutilisable pour autant. La CNIL a fixé un cadre précis entre ces deux excès, et beaucoup de dirigeants le déforment dans un sens ou dans l'autre.

Chez Blyx, cabinet d'experts IA et développement pour les TPE et PME, on croise les deux erreurs chez des dirigeants qui automatisent leur prospection : l'un renonce à l'e-mail par excès de prudence, l'autre achète un fichier ou récupère des adresses sans vérifier leur origine. L'Audit IA, les solutions sur mesure et la formation obéissent ici à une même règle de conduite : comprendre le cadre avant de l'automatiser. C'est exactement ce que cet article détaille, point par point.

Faut-il l'accord préalable pour démarcher un professionnel

Non, pas dans tous les cas, et c'est la confusion la plus coûteuse du sujet. La CNIL distingue deux régimes selon qui vous démarchez. Pour un particulier, sur son adresse personnelle, il faut son accord donné avant l'envoi : c'est le régime dit d'opt-in. Pour un professionnel, sur son adresse professionnelle, l'accord préalable n'est pas exigé : la CNIL admet que l'entreprise agisse sur la base de son intérêt légitime, à condition que le message ait un rapport avec le métier de la personne et qu'elle puisse facilement s'opposer à recevoir de nouveaux messages. C'est le régime dit d'opt-out.

Cette règle explique pourquoi une entreprise peut écrire à un directeur achats ou une responsable RH sans lui avoir demandé la permission au préalable, alors qu'elle ne peut pas faire la même chose auprès d'un particulier sur son adresse personnelle sans son accord donné à l'avance. Les deux logiques coexistent, et les confondre pousse certains dirigeants à renoncer à un canal de prospection pourtant parfaitement légal.

Quelle est la condition qui rend le message légitime

L'opt-out professionnel n'est pas un blanc-seing. La CNIL pose une condition précise : l'objet de la sollicitation doit être en rapport avec l'activité de la personne démarchée. Son exemple est parlant : présenter les mérites d'un logiciel au directeur informatique d'une entreprise est légitime, parce que le sujet touche directement sa fonction. Proposer une offre sans lien avec son métier ne l'est pas.

Concrètement, cela veut dire qu'un message de prospection doit être pensé pour le poste occupé, pas seulement pour l'entreprise ciblée. Écrire à un responsable comptable pour un sujet de sécurité informatique très technique peut déjà sortir du cadre, selon ce que contient précisément le message. C'est un point que les automatisations de prospection ratent souvent : elles envoient le même contenu à toute une liste de fonctions différentes, sans l'adapter à chacune.

Pourquoi une adresse générique change la donne

Une adresse comme contact@monentreprise.fr ou info@monentreprise.fr n'est pas soumise aux mêmes règles qu'une adresse nominative. La CNIL l'indique explicitement : les adresses génériques concernent la personne morale, pas une personne physique identifiée, et échappent au régime des données personnelles.

La nuance à garder en tête : cette exception ne vaut que pour l'adresse strictement générique et fonctionnelle. Une adresse comme prenom.nom@entreprise.fr, elle, reste une donnée personnelle à part entière, même utilisée dans un cadre professionnel, car elle identifie une personne précise et non seulement une structure. Le tableau plus bas résume les différents cas.

Que doit obligatoirement contenir votre message

Que vous écriviez à une adresse nominative ou générique, la CNIL impose un contenu minimal à chaque message de prospection : la personne qui le reçoit doit pouvoir identifier clairement qui le lui envoie, et disposer d'un moyen simple et gratuit de refuser toute nouvelle sollicitation.

En pratique, cela veut dire un expéditeur reconnaissable, une identité d'entreprise claire dans le corps du message, et un lien ou une adresse pour se désinscrire, sans démarche compliquée ni frais. Une automatisation d'envoi qui ne propose pas ce mécanisme de refus, même en B2B, sort du cadre légal, quel que soit le volume envoyé.

Peut-on acheter un fichier de contacts professionnels

Oui, mais l'achat ne dispense d'aucune règle du RGPD, et c'est souvent là que les entreprises se pensent couvertes à tort. La CNIL encadre l'opération des deux côtés. Le vendeur du fichier doit avoir retiré les personnes qui s'étaient opposées à la revente de leurs données. L'acheteur, lui, doit informer chaque personne concernée dans le mois suivant l'achat, en précisant l'origine de ses coordonnées et le nom de la société à l'origine de la vente, et doit disposer d'un consentement valable si la prospection se fait par e-mail.

Un fichier acheté sans que ces vérifications aient été faites en amont reste un risque pour l'acheteur, pas seulement pour le vendeur : c'est l'entreprise qui prospecte avec ces données qui doit pouvoir justifier leur origine en cas de contrôle.

Pourquoi la récupération de profils en ligne coûte cher

C'est le point où les sanctions tombent réellement, et où la théorie devient concrète. La CNIL est claire sur le principe : des coordonnées publiquement accessibles, sur LinkedIn ou dans un annuaire, restent des données personnelles. Elles ne sont pas librement réutilisables pour autant. Si la personne qui a publié ces informations ne pouvait pas raisonnablement s'attendre à être démarchée par ce biais, l'entreprise qui les récupère doit recueillir son consentement, libre et spécifique, avant tout contact, et lui indiquer d'où viennent ses coordonnées dès le premier message. La CNIL a renforcé cette position en janvier 2024 avec une recommandation dédiée aux entreprises qui réutilisent des données publiées en ligne.

Deux sanctions récentes montrent que ce n'est pas une règle théorique. Le 5 décembre 2024, la CNIL a infligé une amende de 240 000 euros à la société Kaspr, qui vendait un outil de récupération automatique de coordonnées de profils LinkedIn destiné à la prospection commerciale. Les griefs retenus : collecte de coordonnées de personnes ayant pourtant restreint la visibilité de leur profil, conservation disproportionnée pouvant aller jusqu'à 5 ans avec renouvellement automatique, information des personnes concernées jusqu'à 4 ans après les faits et uniquement en anglais, réponses incomplètes aux demandes d'accès sur l'origine des données.

Le 15 mai 2025, la CNIL a sanctionné la société Solocal Marketing Services à hauteur de 900 000 euros — un dossier de démarchage grand public, pas de prospection B2B, mais qui illustre la sévérité des sanctions quand l'origine des données n'est pas maîtrisée. L'entreprise avait notamment acquis des données de prospects auprès de courtiers en données et mené des campagnes d'e-mail et de SMS sans consentement valable ni preuve de ce consentement, avec des interfaces de recueil trompeuses où le bouton d'acceptation était mis en avant par rapport au lien de refus. La CNIL a relevé que l'entreprise avait continué à utiliser ces données pendant 17 mois après avoir identifié elle-même le problème, et a prévu une astreinte de 10 000 euros par jour si les pratiques ne cessaient pas dans les 9 mois.

Combien de temps garder un contact silencieux

Un contact qui n'a jamais répondu ne doit pas dormir indéfiniment dans votre fichier. La CNIL recommande de ne pas le conserver plus de 3 ans après le dernier contact utile. Pour un client, la règle diffère : les données peuvent être gardées pendant toute la durée de la relation commerciale, puis 3 ans de plus après sa fin, par exemple après le dernier achat ou la fin du contrat.

Ce repère de 3 ans n'a pas la valeur d'une obligation légale rigide au sens strict : une entreprise peut s'en écarter, mais elle doit alors pouvoir justifier un autre délai en cas de contrôle. En pratique, purger régulièrement les contacts silencieux reste le choix le plus simple, et le plus prudent.

Que change l'automatisation à ces règles

Rien sur le fond, et c'est tout l'enjeu. Automatiser sa prospection par e-mail ne crée aucune règle nouvelle et n'en supprime aucune : les mêmes conditions s'appliquent, qu'un message parte à la main ou via un outil. Ce qui change, c'est l'échelle. Une erreur ponctuelle sur un message envoyé à la main reste une erreur ponctuelle. La même erreur répétée automatiquement, mille fois par semaine, sur une liste dont personne n'a vérifié l'origine, devient une pratique systématique, exactement ce que la CNIL sanctionne le plus lourdement, comme le montrent Kaspr et Solocal Marketing Services.

Le vrai sujet n'est donc pas l'outil d'automatisation. C'est la provenance des adresses qu'on lui confie. Nous détaillons par ailleurs ce qui fonctionne et ce qui casse la délivrabilité quand on automatise sa prospection B2B : la conformité RGPD en est la moitié invisible, mais elle conditionne tout le reste. Une fois la liste de contacts constituée dans les règles, l'étape suivante que beaucoup de PME automatisent est le tri : notre article sur qualifier ses demandes entrantes avec l'intelligence artificielle explique où placer le curseur sans reproduire les mêmes erreurs de provenance en amont. Et avant de confier des données clients à n'importe quel outil, notre guide sur la sécurité des données face à l'IA en entreprise pose les bonnes questions à poser à un prestataire.

Ce qu'il faut retenir

• Vers un professionnel, sur un sujet lié à sa fonction, l'accord préalable n'est pas exigé ; vers un particulier, il l'est toujours.
• Une adresse générique (contact@, info@) échappe au régime des données personnelles ; une adresse nominative professionnelle y reste soumise.
• Chaque message doit permettre d'identifier l'expéditeur et offrir un moyen simple et gratuit de refuser de nouvelles sollicitations.
• Acheter un fichier ou récupérer des profils en ligne reste encadré : la CNIL a déjà sanctionné ces pratiques à 240 000 et 900 000 euros.

Pour construire une automatisation de prospection qui tient la route dans la durée, nos solutions sur mesure cadrent la source des contacts avant d'en industrialiser l'envoi. Sur un cas particulier, un secteur réglementé ou une base de contacts héritée d'un rachat, un échange avec votre conseil juridique habituel reste le réflexe le plus sûr avant de lancer une campagne à grande échelle.

Bon à savoir

Questions fréquentes

Faut-il l'accord préalable d'un professionnel pour le démarcher par e-mail ?+

Non, pas systématiquement. Selon la CNIL, prospecter un professionnel sur son adresse professionnelle ne demande pas son accord préalable, à condition que le message concerne son métier et qu'il puisse facilement refuser de nouvelles sollicitations. L'accord préalable reste en revanche obligatoire pour démarcher un particulier sur son adresse personnelle.

Une adresse contact@ ou info@ est-elle protégée comme une donnée personnelle ?+

Non. La CNIL exclut explicitement les adresses génériques d'entreprise, comme contact@ ou info@, du régime des données personnelles, car elles désignent la structure et non un individu. Une adresse nominative, du type prenom.nom@entreprise.fr, reste en revanche une donnée personnelle à part entière, même utilisée dans un cadre professionnel.

Peut-on prospecter par e-mail avec un fichier de contacts acheté ?+

Oui, mais sous conditions strictes. Le vendeur doit avoir retiré les personnes opposées à la revente de leurs données. L'acheteur doit informer chaque personne concernée, dans le mois suivant l'achat, de l'origine de ses coordonnées, et disposer d'un consentement valable pour prospecter par e-mail, selon les règles rappelées par la CNIL.

Récupérer des adresses sur LinkedIn pour prospecter est-il autorisé ?+

Pas librement. La CNIL rappelle que des données publiquement accessibles restent des données personnelles. En décembre 2024, elle a sanctionné la société Kaspr à 240 000 euros pour avoir collecté des coordonnées de profils LinkedIn sans informer correctement les personnes concernées de l'origine de leurs données.

Combien de temps peut-on garder un contact qui n'a jamais répondu ?+

Selon la CNIL, un prospect resté silencieux ne devrait pas être conservé plus de 3 ans après le dernier contact utile. Pour un client, les données peuvent être gardées pendant toute la relation commerciale, puis 3 ans de plus après sa fin.

Automatiser sa prospection par e-mail change-t-il les règles de la CNIL ?+

Non, les règles restent identiques. Mais l'automatisation change l'échelle : un envoi répété sur une liste mal acquise fait d'une erreur ponctuelle une pratique systématique, ce que la CNIL sanctionne le plus lourdement, comme le montrent les amendes contre Kaspr et Solocal Marketing Services.