RGPD et emailing : quelles règles appliquer en B2B et B2C ?

En France, envoyer un email commercial suppose de respecter deux cadres complémentaires : le RGPD pour l’utilisation des données personnelles et l’article L34-5 du Code des postes et des communications électroniques pour la prospection. Une adresse disponible dans un fichier ne suffit donc pas à autoriser son utilisation.

La règle dépend du destinataire. La CNIL rappelle qu’en B2C le consentement préalable est le principe, avec une exception encadrée pour les clients et les produits ou services similaires. En B2B, une sollicitation liée à la profession peut reposer sur l’intérêt légitime, avec information et opposition simple. Chaque message doit identifier son émetteur et permettre de refuser les suivants.

Ce contenu fournit un cadre opérationnel et ne remplace pas l’analyse d’un conseil juridique ou du délégué à la protection des données pour un cas particulier.

Quelle règle appliquer à un prospect B2C, à un client ou à un professionnel ?

Faut-il le consentement d’un prospect particulier ?

Avant toute publicité électronique, recueillez un consentement libre, spécifique, éclairé et univoque. La case dédiée n’est pas précochée et le texte précise le canal et la finalité. L’acceptation des conditions générales ne vaut pas consentement marketing.

Peut-on recontacter un client sans nouvel accord ?

L’exception concerne les coordonnées recueillies directement à l’occasion d’une vente ou d’une prestation, pour promouvoir des produits ou services similaires fournis par la même entreprise. Le client doit pouvoir s’opposer lors de la collecte puis à chaque message. Une création de compte sans achat ne suffit pas, et l’exception ne couvre pas automatiquement les offres d’une autre société.

Dans quels cas prospecter une adresse professionnelle ?

La sollicitation peut reposer sur l’intérêt légitime si elle concerne l’activité professionnelle de la personne. Une offre de logiciel adressée à une direction informatique est cohérente ; une offre personnelle sans rapport avec la fonction ne l’est pas. L’information et le droit d’opposition restent obligatoires.

Qu’en est-il d’une adresse générique d’entreprise ?

Une adresse comme contact@ ou info@ peut désigner une personne morale plutôt qu’une personne physique. Vérifiez toutefois son contexte : une adresse générique associée à une personne identifiable peut relever des données personnelles. Identifiez toujours l’émetteur et respectez les demandes de ne plus être sollicité.

Comment recueillir et prouver un consentement valable ?

La case d’inscription doit décrire ce que la personne accepte. Distinguez les messages de votre marque de la transmission à des partenaires : une autorisation ne couvre pas automatiquement l’autre.

Exemple de formulation à adapter : « J’accepte de recevoir par email les offres de [marque]. Je peux retirer mon accord à tout moment grâce au lien présent dans chaque message. » Cette case doit être facultative et décochée par défaut. Ajoutez un accès à l’information complète sur les données personnelles.

Conservez la version du texte affiché, la date, la source, le formulaire, l’identifiant du contact et la preuve de l’action positive. Le double opt-in n’est pas une obligation générale, mais il renforce la qualité de la preuve et limite les adresses erronées ou ajoutées par un tiers.

Si des partenaires utilisent les données pour leur propre prospection, la personne doit comprendre qui pourra la contacter et pour quelles offres. Rendez leur liste accessible au moment du choix et conservez sa version. Un accord vague pour « nos partenaires » ne dispense pas de vérifier le consentement exigé pour chaque activation.

Que vérifier avant d’utiliser une base de contacts ?

Ne commencez pas par importer le fichier dans le routeur. Exigez une fiche de provenance : qui a collecté, à quelle date, avec quel texte, pour quelle finalité, selon quelle base légale et avec quels destinataires annoncés ? Contrôlez un échantillon de preuves plutôt qu’une simple déclaration commerciale.

Vérifiez ensuite la récence, les oppositions, les doublons, les adresses invalides et les changements de finalité. Une base licite pour recevoir un livre blanc ne devient pas automatiquement une base valable pour toutes les offres de partenaires. La minimisation impose également de ne conserver que les données utiles au ciblage annoncé.

Comment informer une personne dont les coordonnées viennent d’un tiers ?

Lorsque vous obtenez des données auprès d’un tiers, l’article 14 du RGPD prévoit notamment d’informer la personne sur leur source, la finalité et ses droits. En principe, cette information intervient dans un délai raisonnable d’un mois au maximum, au plus tard lors de la première communication si elle a lieu avant. Une éventuelle exception doit être justifiée.

La transparence n’est pas une longue formule illisible en pied de page. Utilisez une phrase courte dans le message, un lien vers une information complète et une adresse ou un formulaire fonctionnel pour exercer les droits.

Comment appliquer une désinscription dans tous les outils ?

Le fonctionnement de la désinscription influence aussi la délivrabilité email : une personne qui n’arrive pas à quitter une liste peut signaler le message comme indésirable. Testez ce parcours comme les autres liens de la campagne.

Le lien de désinscription doit fonctionner sans authentification complexe. Une opposition reçue par réponse, formulaire ou service client doit alimenter le même référentiel. Si plusieurs outils envoient des messages, synchronisez la suppression afin d’éviter qu’un contact désinscrit d’une plateforme soit réimporté par une autre.

La liste repoussoir sert uniquement à empêcher une nouvelle sollicitation. La CNIL recommande de conserver les informations permettant de respecter l’opposition pendant au moins trois ans. Limitez-les au nécessaire, sécurisez-les et ne les réutilisez pas pour le ciblage ou la relance.

Comment répartir les responsabilités avec une agence ou un partenaire ?

Distinguez une diffusion réalisée par l’éditeur auprès de ses abonnés d’une transmission de coordonnées à l’annonceur. Ces opérations n’impliquent pas les mêmes flux de données ni les mêmes vérifications. Décrivez précisément le dispositif avant de lancer la campagne.

Le responsable de traitement doit comprendre le rôle de chaque acteur. Le contrat de sous-traitance précise les instructions, la sécurité, la confidentialité, les sous-traitants ultérieurs, l’assistance pour les droits et le sort des données en fin de prestation. Si deux acteurs déterminent ensemble les finalités, une autre qualification peut s’appliquer.

Pour une activation via partenaires, définissez avant le lancement qui fournit la preuve, qui traite les oppositions, qui répond aux demandes, quels segments sont autorisés et quelles données de reporting circulent. La conformité ne peut pas être déléguée à une ligne « RGPD compliant » dans une proposition commerciale.

Les pixels de suivi demandent-ils un consentement distinct ?

Le droit d’envoyer un email ne règle pas, à lui seul, le droit d’y intégrer un pixel. Dans sa recommandation de 2026, la CNIL précise que certains usages exigent le consentement. L’exemption liée à la seule délivrabilité est soumise à des conditions cumulatives ; appeler un outil « technique » ne suffit pas.

Identifiez ce que mesure chaque pixel : ouverture, personnalisation, publicité ou délivrabilité. Vérifiez le fondement de chaque usage, le choix offert à la personne et sa propagation dans les outils. Une collecte annoncée comme anonyme ou agrégée ne bénéficie pas automatiquement d’une exemption de consentement.

Les identifiants pseudonymisés restent des données personnelles lorsqu’un rapprochement permet d’identifier la personne. Évitez les adresses email en clair dans les URL, limitez les données partagées et vérifiez les transferts hors de l’Espace économique européen.

Quels contrôles effectuer avant chaque envoi ?

• La cible est classée B2C, client existant, B2B nominatif ou adresse générique.
• La base légale et la finalité sont documentées pour chaque source.
• La preuve de consentement ou l’analyse d’intérêt légitime est disponible.
• L’offre B2B est liée à la fonction du destinataire.
• Les oppositions et listes repoussoirs sont synchronisées.
• Le message identifie clairement l’émetteur et explique pourquoi il est reçu.
• Le refus est simple, gratuit et testé sur mobile comme sur ordinateur.
• Les partenaires, routeurs et accès sont encadrés par contrat.
• Les durées de conservation et règles de purge sont appliquées.
• Un responsable sait traiter les demandes d’accès, de rectification et d’opposition.

Comment relier conformité et qualité des contacts ?

Une collecte claire vous aide à comprendre les attentes de chaque segment. Une opposition prise en compte évite de recontacter des personnes qui ne le souhaitent plus. Une preuve accessible facilite les contrôles et le travail avec les prestataires. Ces pratiques réduisent les erreurs de ciblage, sans garantir à elles seules la performance d’une campagne.

Le bon réflexe est de relier chaque adresse à trois éléments : une origine, une finalité et une règle de contact. Si l’un manque, suspendez l’activation jusqu’à clarification.

Quelles preuves conserver dans le CRM ?

Reliez chaque contact à un dossier de preuve : source, date, texte accepté, version du formulaire, canal, finalité et partenaires identifiés lorsque cela s’applique. Conservez aussi les retraits et les changements de préférences. L’objectif est de pouvoir reconstituer le choix réellement présenté à cette personne.

Versionnez les formulaires et les politiques. Lorsqu’un texte change, vous devez savoir quelle version s’appliquait à un contact plus ancien. Une capture non datée ou un modèle générique ne démontre pas ce que la personne a réellement vu.

Pour l’intérêt légitime B2B, documentez l’objectif, la nécessité du traitement, le lien avec la fonction, les attentes raisonnables, l’impact et les garanties. Définissez aussi les catégories exclues et le nombre de relances autorisées.

Comment contrôler une diffusion réalisée par un partenaire ?

Avant diffusion, validez successivement la source et son fondement, le segment et ses exclusions, le message et son identification, puis le fonctionnement de l’opposition. Attribuez chaque contrôle à une personne et conservez le résultat des tests.

Après le lancement, rapprochez volumes envoyés, oppositions, plaintes et preuves disponibles. Un partenaire qui ne peut pas expliquer un pic, fournir un journal ou appliquer une suppression doit être suspendu jusqu’à clarification. Le contrat prévoit ce droit de contrôle et la coopération en cas de demande ou d’incident.

Combien de temps conserver les données d’un prospect ?

Le référentiel commercial de la CNIL recommande, pour la prospection, trois ans à compter de la collecte ou du dernier contact venant du prospect. Pour les clients, le repère est la durée de la relation commerciale, puis trois ans après sa fin. Documentez les durées retenues et séparez les archives nécessaires à d’autres obligations.

Vos propres relances ne remettent pas ce délai à zéro. Prévoyez une purge, une anonymisation ou un réexamen selon la finalité et les règles applicables. Une campagne de réactivation ne permet pas de contourner un retrait de consentement ou une opposition.

Comment intégrer ces règles dès le brief de campagne ?

Préparez votre campagne emailing avec les équipes marketing, data et juridique dès le brief. Précisez la finalité, la cible, les sources, les champs utilisés, les canaux, les partenaires, la durée de conservation et le suivi prévu. Chaque information demandée doit avoir une utilité définie.

Testez le parcours comme un destinataire : formulaire, confirmation, centre de préférences, message, désinscription et demande de droit. Une conformité réelle se vérifie dans l’expérience complète, pas uniquement dans une politique de confidentialité.

Questions fréquentes

Le RGPD interdit-il le cold emailing B2B ?

Non. Une prospection B2B peut reposer sur l’intérêt légitime si elle est en rapport avec la profession, si la personne est informée et si elle peut s’opposer simplement. Chaque cas doit rester documenté.

Une case précochée est-elle valable pour l’emailing ?

Non pour recueillir un consentement. L’accord doit résulter d’une action positive, spécifique et démontrable.

Le double opt-in est-il obligatoire ?

Il n’est pas imposé de manière générale, mais il apporte une preuve plus robuste et améliore la qualité des adresses collectées.

Peut-on envoyer des offres similaires à un client existant ?

Une exception peut s’appliquer en B2C pour des produits ou services similaires de la même entreprise, avec information et opposition simple. Un compte créé sans achat ne suffit pas.

Que faut-il demander à un fournisseur de données ?

La source, le texte d’information, la date, la finalité, la base légale, les partenaires annoncés, la preuve disponible et le processus d’opposition.

Faut-il supprimer complètement une adresse désinscrite ?

Conservez le minimum nécessaire dans une liste repoussoir sécurisée afin d’éviter une nouvelle sollicitation, avec une finalité et une durée documentées.

Un nouvel email de relance prolonge-t-il la durée de conservation ?

Non. Le délai recommandé pour les prospects part de la collecte ou du dernier contact venant de leur part. Un envoi de votre entreprise ne constitue pas une nouvelle manifestation d’intérêt du prospect.

Accepter une newsletter autorise-t-il tous les pixels de suivi ?

Non. Il faut examiner la finalité des pixels et les conditions applicables. Certaines finalités connexes peuvent relever d’un consentement commun correctement présenté ; d’autres demandent un choix indépendant.