La règle du consentement, et d'où elle vient
En France, envoyer un message commercial à un particulier suppose son consentement préalable — libre, spécifique et éclairé. La règle est posée par l'article L34-5 du Code des postes et des communications électroniques (CPCE), introduit par la LCEN de 2004 pour transposer la directive européenne « vie privée et communications électroniques ». Les cases précochées ne produisent pas un consentement valable.
Lisez le texte attentivement : L34-5 protège une personne physique. Ce seul mot fait toute la différence entre le régime français et celui de la plupart de ses voisins, et il fonde tout ce qui suit.
La prospection B2B n'est pas soumise à l'opt-in
C'est le point que la plupart des guides manquent, et c'est celui qui compte le plus pour les expéditeurs professionnels. La CNIL admet que la prospection d'un professionnel puisse reposer sur l'intérêt légitime de l'expéditeur plutôt que sur un consentement préalable, à condition que l'objet du message soit en rapport avec la profession de la personne contactée — l'exemple classique étant l'offre d'un logiciel adressée à un directeur informatique.
Trois conditions l'accompagnent. Le message doit se rapporter à l'activité professionnelle du destinataire. La personne doit être informée de l'origine de ses données et de l'usage qui en sera fait. Et elle doit pouvoir s'y opposer simplement, à tout moment.
Deux mises en garde. D'abord, les adresses génériques d'entreprise du type info@ ou contact@ concernent la personne morale et non un individu : elles sortent entièrement de ce cadre — c'est un cas distinct, pas une sous-catégorie du B2B. Ensuite, cette tolérance professionnelle relève de la doctrine de la CNIL et non d'une exemption inscrite dans la loi, puisqu'une adresse nominative en entreprise reste la coordonnée d'une personne physique. Traitez-la comme une position de régulateur et documentez votre raisonnement.
L'exception « client existant »
Vous pouvez écrire à un client existant sans nouveau consentement lorsque vous avez recueilli son adresse directement auprès de lui, à l'occasion d'une vente ou d'une prestation de service, que le message porte sur des produits ou services analogues que vous fournissez, et que vous avez offert un moyen gratuit et simple de s'y opposer à la fois lors de la collecte et dans chaque message depuis.
Les limites sont réelles. La création d'un compte n'est pas, en soi, un achat. Et les offres de partenaires ne sont pas des « produits ou services analogues de la même entreprise » : la transmission de données de prospects à des partenaires a valu des sanctions substantielles de la CNIL.
Ce que chaque message doit comporter
Tout message commercial doit indiquer des coordonnées valables permettant au destinataire de demander l'arrêt des envois, sans autre frais que ceux de transmission. Il ne doit pas dissimuler l'identité de la personne pour le compte de laquelle il est envoyé, ni comporter un objet sans rapport avec la prestation proposée. À cela s'ajoute le droit d'opposition absolu que le RGPD accorde à chaque destinataire en matière de prospection commerciale : aucune mise en balance n'est possible, et dès qu'il s'oppose, vous devez cesser.
Deux idées reçues méritent d'être abandonnées. Le droit français n'impose pas le double opt-in, même s'il reste le moyen le plus propre de prouver le consentement. Et il n'exige pas d'adresse postale dans le message — cela, c'est une obligation américaine, pas française.
Ne pas conserver les données plus longtemps que nécessaire
Le référentiel de la CNIL recommande de conserver les données d'un prospect jusqu'à trois ans à compter du dernier contact émanant du prospect — un clic ou une demande relance le compteur, la simple ouverture d'un email non. Il s'agit d'une recommandation assortie d'une présomption de conformité, et non d'un maximum légal absolu : vous pouvez vous en écarter si vous pouvez le justifier et le documenter. Les données conservées pour honorer une opposition relèvent du cas inverse : gardez-les assez longtemps pour continuer à respecter l'opt-out, en les limitant à ce que cette finalité exige.
Le régime des sanctions dans ce domaine fait l'objet d'une restructuration à la suite d'une décision constitutionnelle de 2026 portant sur le cumul des pouvoirs de sanction : tout montant que vous lirez doit donc être vérifié au regard de sa date. Ce qui n'a pas changé, c'est l'appétit de la CNIL : les sanctions récentes pour prospection sans consentement valable atteignent des montants à six, voire huit chiffres.
Découvrez aussi : l'emailing suivi par la CNIL, et notre guide du droit de l'emailing pays par pays.