Cold email et RGPD : ce qui est légal en 2026
Oui, le cold email B2B est légal en France. Non, ce n'est pas une autorisation générale : c'est un régime conditionnel, et les conditions sont précises. Sur la requête « cold email RGPD », l'essentiel de ce qui circule mélange trois choses distinctes — le texte de loi, la doctrine de la CNIL, et l'interprétation que le marché en fait. Cet article les sépare ligne par ligne.
Un point mérite d'être posé d'entrée, parce qu'il contredit à peu près tout ce que vous lirez ailleurs : aucune sanction publiée par la CNIL ne vise l'envoi de cold email B2B en régime d'opposition. Le risque juridique existe, mais il n'est pas là où on vous le montre.
À retenir
- Le B2B relève de l'opposition, pas du consentement préalable. La CNIL reconnaît l'intérêt légitime comme base légale pour prospecter des professionnels, à condition que l'objet du message soit en lien avec leur fonction.
- Aucune sanction CNIL publiée ne concerne le cold email B2B. Les trois décisions vérifiables — Orange (50 M€, 14/11/2024), Solocal (900 000 €, 15/05/2025), Foriou (310 000 €, 31/01/2024) — ont toutes le même motif : réutilisation de données achetées à des courtiers sans vérification du consentement.
- Les montants qui circulent sont souvent faux : « Cdiscount 525 000 € », « Free 300 000 € en 2026 », « Orange sanctionné pour son registre des traitements » ne résistent pas à une vérification sur cnil.fr.
- La CNIL interdit explicitement la collecte d'adresses dans les espaces publics d'Internet. La phrase existe, en ligne, et elle est en tension frontale avec le scraping que recommande le marché.
- Le risque du quotidien n'est pas l'amende à 20 M€ mais une contravention de 750 € par message (article R10-1 du CPCE), dont le champ exact demande une lecture attentive.
- La « LIA » n'est pas une obligation légale : le RGPD ne nomme ni n'impose ce document. Ce qui l'est : l'accountability (art. 5.2) et le registre des traitements (art. 30).
Quels textes s'appliquent au cold email B2B
Deux conventions structurent tout l'article. ÉTABLI : une disposition d'un texte en vigueur ou une position publiée par la CNIL, avec citation et lien vers la source. INTERPRÉTATION : une lecture du marché qu'aucun texte ne confirme — elle peut être raisonnable, elle n'est pas opposable. Quand la source ne permet pas de trancher, nous le disons au lieu de choisir.
Trois couches se superposent. Le RGPD encadre le traitement des données personnelles : base légale (art. 6), consentement (art. 4.11 et 7), droit d'opposition (art. 21), délais de réponse (art. 12), registre (art. 30), plafond de sanction (art. 83). L'article L34-5 du Code des postes et des communications électroniques, transposition de la directive ePrivacy, encadre la prospection électronique. La doctrine de la CNIL interprète ces textes : elle n'est pas la loi, mais elle décrit la façon dont l'autorité l'appliquera — c'est donc ce qui compte en pratique.
ÉTABLI — article L34-5 du CPCE« Dans tous les cas, il est interdit d'émettre, à des fins de prospection directe, des messages au moyen d'automates d'appel, télécopieurs et courriers électroniques, sans indiquer de coordonnées valables auxquelles le destinataire puisse utilement transmettre une demande tendant à obtenir que ces communications cessent sans frais autres que ceux liés à la transmission de celle-ci. Il est également interdit de dissimuler l'identité de la personne pour le compte de laquelle la communication est émise et de mentionner un objet sans rapport avec la prestation ou le service proposé. »
Retenez « dans tous les cas » : la phrase ne distingue ni B2B ni B2C. Elle fonde le pied de page livré plus bas, et interdit au passage les objets trompeurs — le faux « Re: » sur un premier contact tombe directement dessous.
Opt-in ou opt-out : ce qui change entre B2C et B2B
Le régime des particuliers : consentement préalable
ÉTABLI — CNIL, La prospection commerciale par courrier électronique« La publicité par voie électronique (courrier électronique, SMS-MMS, automate d'appel, etc.) est possible à condition que les personnes aient donné leur consentement avant d'être démarchées. »
Ce consentement doit être « libre, spécifique, éclairé et univoque » et suppose une « action positive et spécifique » : case pré-cochée et acceptation de CGU ne valent rien. Exception pour les clients : prospection possible sans consentement pour des services analogues à ceux déjà fournis, si la personne est informée et peut s'opposer à chaque envoi.
Le régime des professionnels : intérêt légitime sous conditions
ÉTABLI — CNIL, Questions-réponses sur les référentiels relatifs à la gestion des activités commerciales« L'intérêt légitime peut être utilisé pour justifier des opérations de prospection commerciale à destination des professionnels notamment lorsque l'objet de la sollicitation est en lien avec la profession/spécialité du professionnel démarché. »
ÉTABLI — CNIL, La prospection commerciale par courrier électronique« lorsque l'objet de la sollicitation est en rapport avec la profession de la personne démarchée (par exemple, un appel présentant les mérites d'un logiciel au directeur informatique d'une entreprise) »
Le lien avec la fonction n'est pas une formalité, c'est la condition de validité de la base légale. Un logiciel proposé au directeur informatique passe ; le même proposé à l'assistante de direction, non ; un mailing indifférencié à toute la base, non plus. S'y ajoutent deux conditions cumulatives : informer le professionnel, et lui permettre de s'opposer « de manière effective, à cette utilisation de manière simple et gratuite ». Le B2B n'échappe donc pas au RGPD : il change de base légale, et l'intérêt légitime se paie en obligations de transparence.
INTERPRÉTATIONAucun texte français ne dit « le cold email B2B est légal ». Ce qui existe : un régime d'opposition issu du CPCE et une base légale reconnue par la CNIL sous conditions cumulatives. Il est licite tant que les conditions sont réunies, illicite dès qu'une seule manque.
Ai-je le droit d'envoyer ce cold email ?
La question se traite au niveau du contact, jamais de la campagne. Quatre critères : nature de l'adresse, nature juridique de la personne, lien avec sa fonction, origine de la donnée.
Arbre de décision contact par contact : adresse générique ou nominative, personne morale ou personne physique, lien avec la fonction, origine de la donnée.
Adresses génériques : moins contraintes, pas exemptées
ÉTABLI — CNIL, La prospection commerciale par courrier électroniqueLes adresses de type info@nomsociete.fr « ne sont pas soumises aux principes » d'information et d'opposition.
La formulation compte : ces adresses ne sont pas soumises aux principes d'information et d'opposition — pas hors de tout cadre. Les obligations de forme de L34-5 restent applicables, l'exigence de lien avec l'activité aussi. « Les adresses génériques, c'est libre » est un raccourci faux.
Adresses nominatives professionnelles
prenom.nom@entreprise.com identifie une personne physique : c'est une donnée personnelle au sens du RGPD, même fournie par l'employeur. Information préalable et droit d'opposition simple et gratuit sont obligatoires.
L'angle mort : auto-entrepreneurs et entrepreneurs individuels
Presque personne ne traite ce point, qui concerne pourtant une part considérable des bases françaises. Un auto-entrepreneur, un entrepreneur individuel, une profession libérale en nom propre sont des personnes physiques : sans personne morale interposée, leur adresse professionnelle est aussi leur adresse personnelle, et la distinction que la CNIL opère entre « personne physique » et « professionnel rattaché à une entreprise » perd son point d'appui.
INTERPRÉTATION — position prudenteEn l'absence de doctrine CNIL spécifique aux entrepreneurs individuels, l'approche conservatrice consiste à les traiter sous le régime des personnes physiques, donc en consentement préalable. C'est celle que nous appliquons. Une lecture plus permissive existe — un professionnel reste un professionnel quelle que soit sa forme juridique — mais elle n'est confirmée par aucun texte.
Conséquence opérationnelle : identifier la forme juridique avant l'envoi. C'est un filtre à poser dans la donnée, à partir du répertoire des entreprises — pas une case à cocher dans l'outil d'envoi. Ce type de règle appartient à la couche données, sujet traité dans notre guide de l'enrichissement CRM.
Scraping, LinkedIn, annuaires : la règle d'or que personne ne cite
Voici la phrase que les quatre articles français les mieux positionnés ne mentionnent jamais. Elle est pourtant publiée sur le site de l'autorité de contrôle.
ÉTABLI — CNIL, Les règles d'or de la prospection par courrier électronique« Ne faites pas de prospection électronique à partir d'adresses de courriers électroniques collectées dans les espaces publics de l'internet (site web, annuaire, forum de discussion,…). C'est interdit ! »
Elle contredit directement la pratique dominante du marché : extraction depuis les réseaux professionnels, les annuaires, les pages « équipe » des sites d'entreprise.
Deux observations, sans trancher au-delà de ce que les sources permettent. La portée : c'est une page de recommandations grand public, historiquement orientée vers la protection des particuliers, et les exemples cités (forum de discussion) le suggèrent. Elle n'établit pas explicitement qu'elle vise la prospection B2B sur adresse nominative professionnelle. L'absence de contradiction formelle : la CNIL n'a jamais publié de texte disant que cette règle ne s'applique pas au B2B, et elle a publié par ailleurs la position sur l'intérêt légitime citée plus haut. Les deux coexistent sans articulation explicitée.
INTERPRÉTATION — lecture majoritaire du marchéCette règle viserait le B2C et la collecte massive d'adresses de particuliers ; les données professionnelles publiques relèveraient de l'intérêt légitime dès lors que le lien avec la fonction est établi et que le droit d'opposition est offert. Cette lecture est raisonnable, et c'est celle sur laquelle repose l'essentiel de l'industrie outbound française. Elle n'est confirmée par aucun texte de la CNIL. Quiconque affirme le contraire ne cite pas de source, parce qu'il n'y en a pas.
Ce qui est incontestablement établi, en revanche, c'est l'obligation d'informer la personne de l'origine de ses données : l'article 14 du RGPD s'applique dès lors qu'elles n'ont pas été collectées auprès d'elle — exactement le cas d'une adresse extraite d'une source tierce.
Fichiers achetés : c'est là que la CNIL sanctionne
Les mêmes règles d'or posent l'obligation de vérifier contractuellement la régularité de la collecte en cas de location ou d'achat de fichiers. Ce n'est pas théorique : c'est le motif exact des deux sanctions les plus récentes en prospection. Et la décision Foriou pose un point décisif — les garanties contractuelles du courtier n'exonèrent pas le responsable de traitement. Votre responsabilité ne se sous-traite pas.
Les sanctions réelles : aucune ne vise le cold email B2B
Les sanctions CNIL vérifiées en matière de prospection, avec leur motif et leur canal — et les chiffres faux qui circulent sur le sujet.
Orange — 50 000 000 €, délibération du 14 novembre 2024 : publicités insérées entre les courriels dans la boîte de réception sans consentement (article L34-5 du CPCE) et lecture de cookies après retrait du consentement (article 82 de la loi Informatique et Libertés), sur 7,8 millions d'utilisateurs. Canal : messagerie grand public.
Solocal Marketing Services — 900 000 €, délibération du 15 mai 2025 : prospection SMS et courriel sans consentement valable, sur des données achetées à des courtiers dont les formulaires étaient trompeurs. Canal : grand public, courtage de données.
Foriou — 310 000 €, délibération du 31 janvier 2024 : achat de fichiers sans vérification du consentement, responsabilité retenue malgré les garanties contractuelles des courtiers. Canal : prospection téléphonique.
Aucune des trois ne concerne le cold email B2B, et le motif est identique dans les deux dernières : réutilisation de données achetées sans vérification du consentement. Le risque réel concerne les acheteurs de fichiers, pas les équipes qui construisent leur propre ciblage.
Plusieurs articles français bien positionnés citent par ailleurs des sanctions qui n'existent pas sous la forme annoncée — « Orange en 2026 pour registre défaillant », « Cdiscount 525 000 € », « Free 300 000 € en 2026 ». Le schéma ci-dessus donne les rectifications. Vérifiez toute amende citée directement sur cnil.fr avant de fonder une décision dessus.
Le risque du quotidien : 750 € par message
L'amende RGPD à 20 millions d'euros ou 4 % du chiffre d'affaires mondial (article 83) est une dissuasion théorique pour une PME. Le risque concret est ailleurs, et il est presque toujours passé sous silence.
ÉTABLI — article R10-1 du CPCE« La prospection directe des personnes physiques, abonnés ou utilisateurs, en violation des dispositions du premier alinéa de l'article L. 34-5 est punie, pour chaque communication, de l'amende prévue pour les contraventions de la quatrième classe. »
L'amende de quatrième classe est de 750 €, et le texte précise « pour chaque communication » : sur trois mille messages non conformes, l'ordre de grandeur théorique n'a plus rien de comparable à une amende administrative unique.
Précision indispensable : ce texte vise la prospection des personnes physiques en violation du premier alinéa de L34-5, c'est-à-dire du régime de consentement préalable. Il ne s'applique donc pas mécaniquement à un cold email adressé à une adresse nominative professionnelle relevant du régime d'opposition. Il redevient pleinement pertinent dans deux cas : la prospection d'auto-entrepreneurs traitée comme du B2B, et l'envoi à des particuliers présents par erreur dans une base « professionnelle ».
À faire vérifier. L'articulation exacte entre R10-1, le premier alinéa de L34-5 et le statut des entrepreneurs individuels mérite l'avis d'un juriste avant d'être utilisée comme fondement d'une décision. Nous signalons ce point comme une zone à sécuriser, pas comme une certitude.
Le pied de page conforme, prêt à copier
Aucun des templates de cold email français recensés ne comporte de mention de sortie complète. Voici le bloc, justifié élément par élément.
[Prénom Nom], [fonction] chez [Société], [forme juridique], [adresse postale complète], [numéro RCS].
Ce message vous est adressé dans le cadre de votre activité professionnelle, à l'adresse [adresse email], obtenue via [source précise : site web de l'entreprise, annuaire professionnel, réseau professionnel, fichier fourni par X].
Vous disposez d'un droit d'accès, de rectification, d'effacement et d'opposition sur vos données. Pour ne plus recevoir aucun message de notre part : répondez « STOP » à cet email, ou écrivez à [adresse de contact dédiée]. Votre demande sera traitée immédiatement.
- Identité de l'expéditeur et de l'entité émettrice : article L34-5 du CPCE, alinéa « dans tous les cas », qui interdit de dissimuler cette identité — également l'une des règles d'or CNIL.
- Coordonnées valables pour demander l'arrêt des envois : même alinéa. Une réponse « STOP » ou un lien de désinscription satisfont la condition « sans frais autres que ceux liés à la transmission » ; un formulaire exigeant la création d'un compte, non.
- Origine des données : article 14 du RGPD, applicable dès lors que la donnée n'a pas été collectée auprès de la personne. Point le plus souvent omis, et le plus facile à corriger.
- Rappel des droits : articles 15 à 21 du RGPD. Le droit d'opposition à la prospection est absolu et n'a pas à être motivé (article 21-2).
- Traitement immédiat : aucun délai chiffré n'existe dans la doctrine CNIL pour l'opt-out ; le RGPD fixe un mois pour répondre à une demande de droits (article 12). C'est une recommandation opérationnelle, pas une obligation datée.
Ce que vous n'êtes pas obligé d'écrire, contrairement à ce qu'affirment certains articles : votre base légale (« intérêt légitime »), et les coordonnées de votre délégué à la protection des données — obligatoires uniquement si vous en avez désigné un. Les quatorze modèles de notre guide des templates de cold email intègrent ce bloc par défaut.
Le pixel de tracking d'ouverture : une zone grise qui ne vaut pas le risque
Tous les outils de cold email insèrent par défaut un pixel invisible pour mesurer les ouvertures. La pratique n'est pas neutre : un pixel implique un accès à une information stockée dans le terminal du destinataire, ce qui relève potentiellement de l'article 82 de la loi Informatique et Libertés — le fondement même qui a coûté une partie de sa sanction à Orange en novembre 2024. Ce texte suppose en principe un consentement, difficile à obtenir sur un premier contact.
INTERPRÉTATION — zone non tranchéeLa CNIL n'a publié aucune doctrine spécifique au pixel de tracking en cold email : ni décision de sanction, ni recommandation dédiée. Nous ne pouvons donc affirmer ni que c'est interdit, ni que c'est autorisé. Ce que nous pouvons dire : le fondement juridique invoqué pour les cookies s'applique littéralement au pixel.
La question se règle pourtant facilement, parce que la mesure est de toute façon cassée : les protections de confidentialité des messageries préchargent les pixels que l'email soit lu ou non, ce qui gonfle les taux d'ouverture de quinze à vingt points sur les listes B2B — mécanisme détaillé dans notre article sur le taux d'ouverture des emails B2B. Un dispositif juridiquement fragile qui produit une donnée fausse n'a aucune raison d'exister : désactivez-le, pilotez sur la réponse et le rendez-vous.
Ce qui est réellement obligatoire côté interne
Le registre des traitements (article 30 du RGPD) est obligatoire : finalité, catégories de données et de destinataires, durées de conservation, mesures de sécurité. C'est le premier document demandé en cas de contrôle. Les durées de conservation sont documentées par la CNIL.
ÉTABLI — CNIL, Questions-réponses sur les référentiels« Les données relatives aux prospects utilisées à des fins de prospection commerciale peuvent être conservées pendant un délai de trois ans à compter de leur collecte ou du dernier contact venant du prospect. » Pour les clients : « pendant la relation commerciale, puis pour une durée de trois ans à compter de la fin de la relation commerciale ».
Attention au sens exact : trois ans à compter du dernier contact venant du prospect, pas de votre dernier envoi. Relancer indéfiniment quelqu'un qui ne répond jamais ne prolonge pas votre droit de conservation.
La liste d'opposition est une obligation opérationnelle : conserver les demandes d'opposition pour ne jamais re-solliciter la personne. La CNIL recommande de la garder au minimum trois ans et en décrit le fonctionnement dans sa fiche sur l'usage d'une liste repoussoir. Elle doit être centralisée au niveau de l'entreprise, pas par outil d'envoi.
La « LIA », en revanche, n'est pas une obligation. Le RGPD ne nomme ni n'impose de document appelé « Legitimate Interest Assessment ». Ce qui est obligatoire, c'est l'accountability (article 5.2) : être en mesure de démontrer sa conformité. Le test en trois étapes est une recommandation du Comité européen de la protection des données — documenter son raisonnement est une bonne pratique, en faire un livrable obligatoire est une invention éditoriale.
FAQ
Le cold email B2B est-il légal en France en 2026 ?
Oui, sous conditions. Le régime applicable aux professionnels est celui de l'opposition, sur la base de l'intérêt légitime reconnu par la CNIL. Trois conditions cumulatives : objet du message en lien avec la fonction de la personne, information de celle-ci, opposition possible de manière simple et gratuite.
Faut-il un consentement préalable pour prospecter une adresse professionnelle ?
Non, pour une adresse nominative rattachée à une personne morale, dès lors que le lien avec la fonction est établi. Oui pour une personne physique — auto-entrepreneurs et entrepreneurs individuels, dont l'adresse professionnelle est aussi personnelle.
Peut-on utiliser des données issues des réseaux professionnels ?
C'est la zone de tension principale du sujet. La CNIL écrit qu'il est interdit de prospecter à partir d'adresses collectées dans les espaces publics d'Internet. L'interprétation dominante — cette règle viserait le grand public, les données professionnelles publiques relèveraient de l'intérêt légitime — n'est confirmée par aucun texte. Ce qui est certain : l'article 14 du RGPD vous oblige à indiquer l'origine de toute donnée non collectée auprès de la personne.
Le lien de désinscription est-il obligatoire en cold email B2B ?
Oui. L'article L34-5 du CPCE l'impose « dans tous les cas », sans distinguer B2B et B2C : interdiction d'émettre un message de prospection sans coordonnées valables permettant d'en demander l'arrêt. Une réponse « STOP » suffit ; un formulaire complexe, non.
Combien de cold emails par jour a-t-on le droit d'envoyer ?
Aucune limite légale n'existe. Les seuils que vous lisez partout — trente à cinquante messages par boîte et par jour — sont des contraintes de délivrabilité, pas des règles de droit.
Quelles sanctions risque-t-on concrètement ?
Trois niveaux : l'amende administrative RGPD jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial (article 83), réservée aux manquements massifs ; la contravention de 750 € par message de l'article R10-1 du CPCE ; une sanction pénale aggravée en cas de collecte déloyale ou de non-respect du droit d'opposition (articles 226-18 et 226-18-1 du Code pénal). Dans les faits, aucune sanction publiée ne vise le cold email B2B en régime d'opposition.
La conformité est une propriété de votre système de données
L'analyse des sanctions réelles est nette : la CNIL ne sanctionne pas des messages, elle sanctionne des chaînes de données. Solocal et Foriou n'ont pas été condamnées pour ce qu'elles écrivaient, mais pour l'origine de ce qu'elles exploitaient. La conformité ne se règle donc pas dans l'outil d'envoi, au moment de la rédaction : elle se règle en amont. Savoir d'où vient chaque adresse, connaître la forme juridique de chaque cible, tracer les oppositions au niveau de l'entreprise, appliquer les durées de conservation, et pouvoir le démontrer. C'est de l'architecture de données, pas du copywriting.
C'est aussi une bonne nouvelle. Une base construite sur un ICP explicite et alimentée par des signaux qualifiés est mécaniquement plus conforme qu'un fichier acheté : origine connue, lien avec la fonction démontrable, volume maîtrisé. Le ciblage et la conformité vont dans le même sens — l'inverse de ce que l'on croit quand on aborde le sujet par la peur. Notre guide du cold email B2B et notre analyse des dérives de la prospection automatisée décrivent cette chaîne. C'est ce que nous installons en tant qu'agence outbound marketing : un système de données dont la conformité est une propriété de construction, pas une case cochée à la fin.
Cet article a une vocation informative. Il synthétise des textes en vigueur et la doctrine publiée par la CNIL à la date de sa rédaction, en distinguant systématiquement ce qui est établi de ce qui relève de l'interprétation. Il ne constitue pas un avis juridique et ne peut se substituer à la consultation d'un professionnel du droit sur votre situation particulière.
Prêt à structurer votre GTM ?
30 minutes pour analyser votre acquisition actuelle, comprendre vos objectifs, et identifier l'offre qui fait sens pour vous.
