Vous avez repéré une dizaine de directeurs commerciaux qui auraient tout intérêt à découvrir votre offre. Vous avez leurs adresses. Mais au moment d’écrire, un doute s’installe : le RGPD n’interdit-il pas justement d’envoyer un email à quelqu’un qui ne vous a rien demandé ?
La réponse courte est non. La réponse complète est un peu plus subtile, et c’est elle qui vous évitera les ennuis. Le RGPD, le règlement européen sur la protection des données personnelles, n’est d’ailleurs pas le texte qui décide si vous pouvez écrire ou non. Beaucoup d’articles le confondent avec un autre. Cet article démêle les deux et s’attarde sur les cas limites que les débutants rencontrent dès leur premier fichier.
En deux mots : en B2B, vous pouvez envoyer un cold email sans accord préalable si votre message concerne le métier du destinataire. En contrepartie, le RGPD vous impose de dire d’où vient son adresse, de lui permettre de refuser les prochains envois et de ne pas garder ses données indéfiniment.
Deux textes, deux rôles bien distincts
Un cold email, c’est un premier message commercial envoyé à un professionnel avec qui vous n’avez jamais échangé. Si le terme vous est encore flou, notre définition du cold email pour débutants pose les bases en quelques minutes.
Pour savoir si ce message est autorisé, il faut regarder deux textes. Le premier, c’est l’article L34-5 du Code des postes et des communications électroniques, qu’on abrège en CPCE. C’est lui qui fixe la règle d’or. Vers un particulier, pas de prospection par email sans consentement préalable, ce qu’on appelle l’opt-in. Vers un professionnel, la CNIL, l’autorité française de protection des données, admet l’opt-out : vous pouvez écrire tant que la personne n’a pas refusé.
Le RGPD intervient ensuite, sur un autre terrain. Il ne dit pas « vous avez le droit d’écrire », il encadre ce que vous faites de l’adresse. Sur quelle base juridique vous la gardez, ce que vous dites à la personne, combien de temps vous la conservez. Les deux textes se cumulent dès que l’adresse est nominative, du type claire.martin@entreprise.fr.
Une adresse générique comme contact@ ou commercial@ désigne une entreprise, pas une personne. La CNIL la sort des règles de consentement et d’opposition. Pratique, mais ces adresses aboutissent rarement au bon interlocuteur.
L’intérêt légitime, ou pourquoi vous n’avez pas besoin d’accord
Tout traitement de données doit reposer sur une base légale, c’est-à-dire une justification reconnue par le RGPD. Pour la prospection B2B, cette base s’appelle l’intérêt légitime (article 6.1.f). Le considérant 47 du règlement le dit en toutes lettres : la prospection « peut être considérée comme étant réalisée pour répondre à un intérêt légitime ».
Ce « peut » compte. L’intérêt légitime n’est pas un chèque en blanc, il suppose que votre message ne surprenne pas la personne outre mesure. Et c’est là que la condition posée par la CNIL prend tout son sens : l’objet du message doit être en rapport avec la profession du destinataire.
Prenons un cabinet de recrutement spécialisé dans les profils tech. Il écrit à des DRH et à des CTO de startups pour présenter ses candidats. Rien à redire, le message colle à leur fonction. Le même cabinet qui envoie ce message à la comptable ou à l’office manager de ces entreprises sort du cadre, même si l’adresse est parfaitement professionnelle.
Le vrai critère, finalement, c’est votre ciblage. Si vous savez expliquer en une phrase pourquoi cette personne reçoit ce message, vous êtes du bon côté.
Ce que le RGPD vous demande en échange
Pas de consentement, donc. Mais trois obligations restent entières, et elles s’appliquent dès le premier email.
D’abord, l’information. Quand l’adresse ne vient pas directement de la personne, l’article 14 du RGPD vous impose de l’informer au plus tard lors de la première communication. Une phrase en bas du message suffit : où vous avez trouvé son adresse, pourquoi vous lui écrivez, comment refuser la suite. Par exemple « Votre adresse figure sur la page équipe de votre site. Si vous ne souhaitez plus recevoir mes messages, répondez STOP ou cliquez ici. »
Ensuite, le droit d’opposition. Chaque email, relances comprises, doit proposer un moyen simple et gratuit de ne plus être contacté. Et quand quelqu’un l’utilise, la séquence s’arrête pour lui, sans exception.
Enfin, la durée de conservation. La CNIL recommande de garder les données d’un prospect trois ans au maximum après la collecte ou son dernier contact. Au-delà, l’adresse sort du fichier. Pour passer tout cela en revue avant de cliquer sur « Envoyer », notre checklist RGPD en 12 points reprend chaque vérification.
Rien de tout cela ne demande un juriste. Une phrase d’information, un lien de désinscription et un filtre sur les dates de contact, et votre cold email est en règle.
Les cas limites qui piègent les débutants
Les grands principes posés, restent les situations floues. Ce sont elles qui posent question dès qu’on construit son premier fichier de prospection.
L’auto-entrepreneur et le freelance
Un consultant indépendant ou un graphiste en micro-entreprise est à la fois un professionnel et une personne physique. Aucune fiche de la CNIL ne tranche explicitement ce cas. La lecture la plus répandue chez les juristes : si la personne est contactée sur une adresse dédiée à son activité, pour une offre liée à son métier, le régime B2B s’applique. Proposer un outil de facturation à un formateur indépendant sur son adresse pro reste raisonnable.
L’adresse Gmail d’un professionnel
Beaucoup d’indépendants travaillent avec une adresse @gmail.com ou @orange.fr. Rien ne la distingue alors d’une adresse privée. Tant que vous ne pouvez pas rattacher clairement cette adresse à une activité professionnelle, le plus sûr consiste à la traiter comme celle d’un particulier, donc à obtenir un accord avant tout envoi commercial.
L’adresse trouvée en ligne
Une adresse publiée sur un site, un annuaire ou un profil n’est pas pour autant libre d’usage. Vous pouvez l’utiliser dans le cadre B2B décrit plus haut, à condition de mentionner sa source dès le premier message. L’extraction automatique de profils LinkedIn, elle, est interdite par les conditions d’utilisation du réseau, et un fichier constitué ainsi devient difficile à défendre.
Le piège le plus courant : acheter un fichier et considérer que la conformité est l’affaire du vendeur. Elle ne l’est pas. C’est vous qui envoyez, c’est donc vous qui répondez de l’origine des adresses. Exigez par écrit la source et la date de collecte avant tout import.
Ce que vous risquez vraiment
Le plafond des amendes RGPD fait peur : 20 millions d’euros ou 4 % du chiffre d’affaires mondial. Il vise les manquements les plus graves des très grandes entreprises. La prospection reste pourtant un vrai sujet pour la CNIL. En 2025, dix de ses sanctions concernaient la prospection commerciale, d’après son bilan annuel. La plus lourde, 900 000 euros infligés à Solocal Marketing Services en mai 2025, visait une société incapable de prouver le consentement de particuliers démarchés par SMS et email.
Pour une petite structure qui prospecte en B2B, le déclencheur est presque toujours une plainte. Un destinataire qui ne trouve pas comment se désinscrire, ou qui reçoit une quatrième relance après avoir dit non. Le risque le plus immédiat reste d’ailleurs commercial : chaque signalement pour spam dégrade la réputation de votre adresse d’envoi et réduit la délivrabilité, c’est-à-dire la capacité de vos messages à arriver en boîte de réception.
Pour replacer ces règles dans le cadre plus large de l’emailing et du RGPD, notre guide reprend les obligations valables pour tous vos envois, newsletters comprises.
Questions fréquentes
Le cold email est-il légal en France ?
Oui, entre professionnels. Vous pouvez écrire à un prospect B2B sans son accord préalable si votre message concerne sa fonction, si vous l’informez de l’origine de son adresse et s’il peut refuser les prochains envois en un clic. Vers un particulier, en revanche, l’accord préalable est obligatoire.
Faut-il le consentement d'un prospect B2B avant de lui écrire ?
Non. En B2B, la CNIL admet la prospection fondée sur l’intérêt légitime, sans accord préalable. Le consentement redevient nécessaire si votre offre n’a aucun rapport avec le métier de la personne, ou si vous écrivez à une adresse personnelle sans lien clair avec son activité.
Combien de relances peut-on envoyer à un prospect ?
La loi ne fixe aucun nombre. Chaque relance doit contenir le lien de désinscription, et la séquence s’arrête dès que la personne demande à ne plus être contactée. En pratique, deux à trois relances espacées de quelques jours restent un rythme raisonnable, qui ne donne pas l’impression d’un harcèlement.
Un auto-entrepreneur est-il un professionnel ou un particulier ?
La CNIL ne tranche pas explicitement ce cas. Un auto-entrepreneur reste une personne physique, donc la prudence s’impose. S’il affiche une adresse dédiée à son activité et que votre offre concerne son métier, le régime B2B s’applique en pratique. Sur une adresse personnelle, mieux vaut obtenir son accord.
Peut-on utiliser une adresse email trouvée sur un site internet ?
Une adresse publiée en ligne n’est pas libre de réutilisation pour autant. Vous pouvez écrire à une adresse professionnelle trouvée sur le site d’une entreprise si votre message concerne la fonction de la personne, à condition d’indiquer dans le premier email où vous l’avez trouvée et comment s’opposer aux envois suivants.
Combien de temps garder les données d'un prospect qui ne répond pas ?
Trois ans au maximum à compter de la collecte ou du dernier contact venant du prospect, selon la recommandation de la CNIL. Une réponse relance le compteur, une simple ouverture d’email ne compte pas. Passé ce délai, supprimez l’adresse de votre fichier.
Prospecter en B2B sur des bases saines
Un fichier dont vous connaissez l’origine, des adresses vérifiées, une désinscription gérée automatiquement : nos outils couvrent chaque étape pour que votre cold email reste efficace et conforme.
Découvrir nos outils