Prospection à froid : est-ce légal ? CNIL, RGPD, CAN-SPAM

Cet article est une information générale et non un conseil juridique. Les règles de prospection et de protection des données varient selon les pays, évoluent dans le temps et dépendent des spécificités de votre activité, de votre fichier et de votre message. Avant de lancer une campagne de prospection à froid, faites examiner votre projet par un avocat qualifié dans chaque marché visé.

« La prospection par e-mail à froid est-elle légale ? » est une question mal posée, car la réponse dépend entièrement du lieu où se trouve le destinataire. En France, écrire à un professionnel sur son adresse professionnelle, au sujet de sa fonction, est généralement admis avec un droit d'opposition. En Allemagne, le même message sans consentement préalable est très probablement illicite. Aux États-Unis, il est licite par défaut si vous êtes honnête et proposez un désabonnement réel. Un seul e-mail, trois issues juridiques différentes.

Ce guide passe en revue les principaux régimes en langage clair : ce qui s'applique réellement au B2B, où se situent les aménagements, quelles obligations de désinscription pèsent sur vous, et quelles pratiques relèvent d'une véritable zone grise plutôt que d'une sécurité acquise.

France : la position de la CNIL sur le B2B

La France est l'un des pays européens les plus praticables pour la prospection B2B, à condition de rester dans le cadre.

Le principe général du Code des postes et des communications électroniques est le consentement préalable pour la prospection par voie électronique adressée à des personnes physiques — c'est le régime applicable au B2C. Mais la CNIL retient une position distincte pour la prospection entre professionnels : une personne peut être démarchée sur son adresse professionnelle, au titre de sa fonction professionnelle, sans consentement préalable, dès lors que deux conditions sont réunies :

• La personne est informée, au moment de la collecte de son adresse, que celle-ci pourra être utilisée à des fins de prospection.
• Elle dispose, dans chaque message, d'un moyen simple et gratuit de s'opposer à recevoir de nouvelles sollicitations.

Deux limites comptent autant que le principe. D'abord, l'objet du message doit être en rapport avec la fonction de la personne démarchée : proposer un logiciel de comptabilité à un directeur administratif et financier entre dans le cadre, lui proposer une offre sans lien avec son métier n'y entre pas. Ensuite, les adresses de type prenom.nom@entreprise.fr restent des données à caractère personnel au sens du RGPD, même en contexte professionnel : les obligations d'information, de droit d'opposition, d'accès et d'effacement s'appliquent pleinement. Les adresses génériques (contact@, info@, achats@) sont considérées comme moins sensibles, mais ne sont pas hors du droit pour autant.

À noter également : les professions libérales et les entrepreneurs individuels sont souvent traités plus près du régime des personnes physiques, la frontière n'étant pas toujours nette. C'est précisément le type de nuance qui justifie un avis juridique plutôt qu'un article.

Les deux grandes familles de règles

Presque toutes les juridictions relèvent de l'un de deux camps, et savoir dans quel camp se trouve un pays vous donne l'essentiel de la réponse.

• Régimes d'opposition (opt-out). Un premier message commercial peut être envoyé sans autorisation préalable, à condition de s'identifier honnêtement, de ne pas déguiser le message et d'offrir un moyen fonctionnel de ne plus en recevoir. Les États-Unis en sont l'exemple le plus net.
• Régimes de consentement (opt-in). Il faut une base licite avant le premier message : consentement exprès, relation d'affaires existante, ou dans l'UE l'intérêt légitime du RGPD combiné à la règle nationale. L'Allemagne, le Canada et la Russie occupent l'extrémité stricte.

Une seconde distinction traverse les deux : le type d'adresse. Une boîte générique d'entreprise est presque partout traitée avec plus de souplesse qu'une adresse nominative, cette dernière constituant une donnée personnelle relative à une personne identifiable. Dans plusieurs pays, cette distinction pèse plus lourd que l'étiquette B2B ou B2C.

Le reste de l'Union européenne : RGPD et ePrivacy

L'erreur la plus répandue consiste à croire que « être conforme au RGPD » règle la question européenne. Ce n'est que la moitié du sujet.

Première couche : le RGPD

Le RGPD détermine si vous pouvez traiter les données : collecter une adresse professionnelle nominative, la stocker dans un CRM et l'utiliser pour prospecter sont des traitements. En B2B, la base généralement retenue est l'intérêt légitime (article 6.1.f) ; les considérants du RGPD reconnaissent expressément que la prospection directe peut constituer un intérêt légitime. Ce n'est pas un blanc-seing : il faut une mise en balance documentée où votre intérêt est concret, le traitement nécessaire et proportionné, et où les droits et attentes raisonnables de la personne ne prévalent pas.

S'y ajoutent des obligations incontournables : la transparence (l'article 14 impose d'indiquer l'origine des données lorsqu'elles n'ont pas été collectées auprès de la personne), le droit d'opposition à la prospection, qui est absolu et se respecte sans discussion, ainsi que les droits d'accès et d'effacement.

Seconde couche : ePrivacy, transposée différemment

La directive ePrivacy encadre spécifiquement les communications électroniques non sollicitées et, comme il s'agit d'une directive, chaque État membre a écrit sa propre loi. Le traitement réservé aux personnes morales a été laissé à l'appréciation nationale, d'où une véritable mosaïque :

• Allemagne : le marché majeur le plus strict. Le § 7 UWG exige un consentement préalable exprès pour la publicité par e-mail, et la pratique allemande l'étend aux destinataires professionnels. Il existe une exception étroite pour les clients existants, aux conditions cumulatives exigeantes. La prospection à froid vers l'Allemagne sans consentement doit être considérée comme juridiquement risquée.
• Espagne : la LSSI-CE s'ajoute au RGPD. Les communications commerciales par e-mail supposent en principe un consentement ou une relation contractuelle antérieure portant sur des produits similaires ; le message doit être clairement identifiable comme publicitaire et comporter un moyen de désinscription. Il existe un registre national d'opposition, la Lista Robinson.
• Pays-Bas, Irlande, Belgique et d'autres autorisent l'e-mail B2B vers des adresses d'entreprise avec droit d'opposition, sous conditions locales. L'Italie applique le RGPD strictement et se rapproche d'une logique de consentement.

Conclusion pratique : il n'existe pas de règle européenne unique. Si votre fichier couvre huit pays, vous opérez sous huit transpositions. Segmenter par pays et appliquer la règle la plus stricte de chaque segment reste la seule approche solidement défendable.

Royaume-Uni après le Brexit

Le Royaume-Uni a conservé un cadre quasi identique : UK GDPR et PECR. L'exigence de consentement du PECR vise les « individual subscribers » — consommateurs, entrepreneurs individuels et la plupart des sociétés de personnes. Les e-mails vers des abonnés corporate (sociétés de capitaux, organismes publics) n'exigent pas de consentement préalable, mais le UK GDPR continue de s'appliquer aux données de toute personne identifiée.

États-Unis : le CAN-SPAM Act

C'est le marché majeur le plus permissif et le plus mal compris. Le CAN-SPAM n'exige pas de consentement préalable, ni en B2C ni en B2B. Il exige de l'honnêteté :

• Aucun en-tête faux ou trompeur. Les champs expéditeur, destinataire, réponse et les informations de routage doivent identifier correctement l'émetteur.
• Aucun objet trompeur.
• Identification du message comme publicitaire lorsqu'il l'est.
• Adresse postale physique valide de votre entreprise dans le message.
• Mécanisme de désinscription clair et fonctionnel, opérationnel au moins 30 jours après l'envoi, sans compte, sans frais et sans demande de données superflues.
• Traitement de la désinscription sous 10 jours ouvrables, et interdiction de vendre ou céder l'adresse d'une personne désinscrite.

Deux points souvent oubliés : la responsabilité pèse sur l'entreprise dont le produit est promu, et pas seulement sur l'agence qui a appuyé sur envoyer ; et les États disposent de règles propres, le CCPA/CPRA californien encadrant les données personnelles sous-jacentes même quand l'envoi est conforme au CAN-SPAM.

Canada : la LCAP (CASL)

La loi canadienne anti-pourriel s'applique aux messages électroniques commerciaux envoyés au Canada ou consultés depuis le Canada, et repose sur le consentement. Il faut un consentement exprès (opt-in documenté) ou un consentement tacite, lequel ne naît que dans des cas limités : une relation d'affaires existante, ouvrant généralement une fenêtre de deux ans à compter de l'opération ou de six mois à compter d'une demande ; ou la publication manifeste de l'adresse, publiée ouvertement sans mention refusant les messages non sollicités, et un message pertinent au regard de la fonction du destinataire. Les deux conditions sont cumulatives.

Chaque message doit identifier l'expéditeur, comporter des coordonnées valides 60 jours et un mécanisme de désabonnement traité sous 10 jours ouvrables. La charge de prouver le consentement incombe à l'expéditeur.

Hors d'Europe et d'Amérique du Nord

Brésil — LGPD

La LGPD reprend de près l'architecture du RGPD, y compris l'intérêt légitime et de fortes exigences de transparence. Il n'existe pas de loi anti-spam dédiée équivalente au CAN-SPAM ; le code de la consommation et l'autorégulation complètent le dispositif. La prospection B2B fondée sur l'intérêt légitime est envisageable, à condition de pouvoir expliquer l'origine des données, d'offrir une désinscription claire et de répondre aux demandes des personnes concernées. L'autorité ANPD monte progressivement en puissance.

Inde — loi DPDP

La loi de 2023 sur la protection des données personnelles numériques est structurellement plus stricte que le RGPD sur un point : elle repose sur le consentement assorti d'une liste étroite d'« usages légitimes », sans base large d'intérêt légitime à l'européenne. Les coordonnées professionnelles d'une personne identifiée restent des données personnelles. Les textes d'application et l'application effective se déploient par étapes ; la lecture prudente consiste à s'appuyer sur un consentement ou une relation antérieure documentée.

Émirats arabes unis et Arabie saoudite

La loi fédérale émirienne sur la protection des données personnelles et la PDPL saoudienne sont orientées consentement et traitent explicitement de la prospection directe, exigeant généralement un consentement et un mécanisme d'opposition. Les Émirats comportent en outre des zones franches (DIFC, ADGM) dotées de leurs propres lois, si bien que le droit applicable dépend du lieu d'établissement du destinataire. La tendance régionale est au durcissement.

Russie

Deux lois s'appliquent ensemble. La loi fédérale 152-FZ encadre les données personnelles et exige une base — en pratique le consentement — avec des obligations de localisation. Par ailleurs, l'article 18 de la loi fédérale « sur la publicité » interdit la diffusion de publicité par réseaux de télécommunication sans consentement préalable de l'abonné ou du destinataire, la charge de la preuve pesant sur l'annonceur.

Australie

Le Spam Act repose sur le consentement mais admet un consentement inféré lorsqu'une adresse professionnelle est publiée de façon manifeste et que le message est pertinent au regard de la fonction — structure proche de la règle canadienne.

Les vraies zones grises

Une réponse honnête vaut mieux qu'une réponse assurée. Plusieurs pratiques courantes ne sont pas clairement autorisées :

• L'extraction massive d'adresses professionnelles nominatives pour des destinataires européens. L'intérêt légitime soutient mal une collecte de masse, et « c'était public » ne constitue pas en soi une base licite.
• La déduction d'adresses par modèle (reconstituer prenom.nom@ à partir d'une convention). Vous créez une donnée personnelle par inférence et ne pouvez invoquer sa publication.
• La possibilité d'intégrer l'information de l'article 14 dans le premier e-mail. La pratique consiste en une mention sur l'origine des données et un lien vers la politique de confidentialité ; que cela épuise l'obligation dans tous les cas n'est pas définitivement tranché.
• Les messages sur LinkedIn et plateformes similaires. Le droit des données régit les données, les conditions d'utilisation régissent votre compte, et une suspension intervient indépendamment de la légalité.
• L'enrichissement automatique de contacts extraits. Croiser des sources pour profiler une personne accroît l'intrusivité du traitement et joue contre vous dans la mise en balance.

Si un prestataire affirme que l'une de ces pratiques est incontestablement licite partout, c'est un argument commercial, pas une analyse juridique.

Check-list de conformité

Rien de tout cela ne rend la prospection impossible : cela rend coûteuse la prospection négligente. Ce qui suit tient dans la plupart des régimes :

1. Segmentez votre fichier par pays et appliquez la règle la plus stricte du segment. Une politique mondiale calée sur le marché le plus permissif est le scénario d'échec classique.
2. Privilégiez les adresses génériques d'entreprise (contact@, achats@) aux adresses nominatives dans les régimes de consentement.
3. Identifiez-vous complètement : nom réel de l'expéditeur, entreprise réelle, adresse postale réelle, objet honnête.
4. Insérez un lien de désinscription fonctionnel dans chaque message — un clic ou une réponse, sans compte, sans frais, sans formulaire demandant pourquoi.
5. Traitez les oppositions vite. Le maximum légal est souvent de 10 jours ouvrables ; visez l'immédiat et l'automatique.
6. Tenez une liste de suppression permanente qui survit aux changements de CRM, aux migrations d'outils et aux réimports.
7. Consignez l'origine de chaque contact — d'où vient l'adresse, quand, et pourquoi vous l'estimiez pertinente. Sous la LCAP comme sous le RGPD, c'est à vous de vous expliquer.
8. Indiquez l'origine des données dès le premier message et renvoyez vers une politique de confidentialité.
9. N'utilisez pas d'adresses nominatives extraites dans les régimes de consentement — Allemagne, Canada, Inde, Golfe, Russie.
10. Gardez des volumes humains. Des envois restreints, ciblés et pertinents sont à la fois plus défendables et plus efficaces.

L'essentiel de cette liste relève simplement du bon sens professionnel : un fichier propre d'entreprises pertinentes, avec l'origine de chaque contact consignée, se défend mieux et obtient plus de réponses qu'un tas d'adresses extraites en masse. Si vous constituez vos listes à partir de données cartographiques, de registres d'entreprises et de sites publics, des outils comme JustLeadIt gardent visible la source de chaque fiche — exactement ce qu'il faut le jour où quelqu'un demande d'où viennent ses coordonnées.

En résumé

En France, la prospection B2B vers une adresse professionnelle, en lien avec la fonction du destinataire, est praticable avec information et droit d'opposition. En Allemagne, c'est non sans consentement préalable. Aux États-Unis, c'est licite si vous êtes honnête et proposez un désabonnement réel. Le Canada, l'Inde, le Golfe et la Russie se traitent comme des marchés de consentement. Partout, transparence, désinscription fonctionnelle, suppression rapide et traçabilité des sources constituent le socle — et partout, un avocat connaissant votre marché vaut mieux qu'un article, y compris celui-ci.