Cold emailing et RGPD : ce que la CNIL autorise en B2B (et au Royaume-Uni)

Quand je propose le cold emailing à un dirigeant, on m’oppose que c’est illégal. En B2B, ce n’est pas le cas. En France, vous pouvez écrire à des professionnels sans leur accord préalable, à des conditions précises, et cette checklist fait le point sur le cold emailing et le RGPD : qui vous pouvez contacter, ce que chaque email doit contenir, ce qu’il faut documenter, et ce qui change quand vos prospects sont au Royaume-Uni.

Je travaille entre Paris et Londres, avec des clients dans les deux pays, donc avec les deux réglementations. Pour la réponse courte sur la légalité, MLK Leadhunters la donne dans Le cold email est-il légal en France, dans l’UE et au Royaume-Uni ?. Ici, c’est la version de travail, pour la personne qui construit la liste et appuie sur « envoyer ». Pour la campagne dans son ensemble, commencez par mon guide du cold emailing B2B.

CPCE et RGPD : deux textes, deux questions

En B2B, le cold emailing est légal en France sous conditions, et deux textes se partagent le sujet. Les distinguer simplifie toutes les décisions suivantes.

Le CPCE parle du canal, le RGPD des données. Un email envoyé à l’adresse prénom.nom@ d’une salariée de SAS, au sujet de son métier, ne nécessite pas son consentement au titre du CPCE, mais le RGPD s’applique quand même : son nom figure dans l’adresse et dans votre tableur. À l’inverse, un email à un particulier exige son consentement, quelle que soit la qualité de votre documentation RGPD. Pour vos autres obligations RGPD, au-delà de la prospection, partez de mon guide complet du RGPD pour les petites équipes.

La CNIL résume ces règles dans sa fiche sur la prospection commerciale par courrier électronique, la référence de tout ce qui suit.

Qui peut recevoir un cold email sans consentement

La CNIL distingue les particuliers et les professionnels. Pour les professionnels, le principe est l’information et le droit d’opposition, pas le consentement préalable, à condition que le message ait un rapport avec leur métier.

Le critère qui demande le plus d’attention est le rapport avec le métier. Proposer un logiciel de comptabilité à une directrice financière entre dans la règle B2B ; lui proposer des vacances à son adresse professionnelle n’y entre pas.

La grande différence avec le Royaume-Uni est là : la règle de la CNIL parle de professionnels et de leur métier, sans demander si l’entreprise est une société. Un architecte indépendant, contacté à son adresse professionnelle au sujet de ses projets, relève de la règle B2B ; outre-Manche, tout dépend de la forme juridique de son cabinet (voir la dernière partie).

Ce que le RGPD ajoute quand l’adresse est nominative

Le CPCE dit si vous pouvez envoyer ; le RGPD encadre le fichier lui-même. Dès qu’une adresse ou une ligne identifie quelqu’un (un nom, une adresse prénom.nom@, un poste dans une petite structure), vous traitez des données personnelles, et il vous faut quatre choses.

1. Une base légale, écrite. En prospection B2B, c’est en général l’intérêt légitime. Notez sur une page l’intérêt poursuivi (trouver des clients), pourquoi écrire à cette personne est nécessaire, et pourquoi cela ne va pas contre ses attentes raisonnables. Un message qui correspond à son métier passe bien plus facilement qu’un message large. Datez la page et gardez-la.
2. L’information dès le premier email. Quand les données ne viennent pas de la personne, l’article 14 du RGPD vous oblige à lui dire qui vous êtes, pourquoi vous avez ses coordonnées, d’où elles viennent et comment s’opposer, dans un délai d’un mois et au plus tard lors du premier contact.
3. Seulement les données utiles. Nom, fonction, entreprise, adresse professionnelle, source et date de collecte. Un portable personnel ou une adresse privée n’ont rien à faire dans un fichier B2B.
4. Une durée de conservation. Le référentiel de la CNIL sur la gestion des activités commerciales retient, pour les prospects, trois ans à compter de la collecte ou du dernier contact émanant du prospect, comme une réponse ou un appel. Vos relances ne remettent pas le compteur à zéro. Au bout de ces trois ans, vous pouvez lui demander s’il souhaite continuer à recevoir vos messages ; sans réponse positive, ses données doivent être supprimées. Pour les clients, les factures et le réglage de votre CRM, voyez mon guide des durées de conservation RGPD.

Deux habitudes complètent le tableau. Je vérifie les listes avec Reoon avant qu’elles n’arrivent dans l’outil d’envoi, ce qui garde les données exactes et limite les rebonds : mon tuto pour vérifier une liste d’emails montre la marche à suivre. Et chaque outil qui détient la liste, du scraper à la plateforme d’envoi, traite des données personnelles pour votre compte : lisez ses conditions de sous-traitance. C’est vrai aussi d’un assistant IA dans lequel vous collez des données de prospects, comme je l’explique dans ChatGPT et RGPD.

Les mentions à mettre dans chaque email

Quel que soit le destinataire, chaque email de prospection doit indiquer pour le compte de qui il est envoyé et donner des coordonnées valables pour demander l’arrêt des envois, sans frais. Un objet qui annonce honnêtement le contenu du message va de soi. Ajoutez l’information de l’article 14, et le pied d’un premier cold email ressemble à ceci :

[Prénom Nom], [Nom de la société] SAS
[Adresse du siège]
J’ai trouvé votre adresse sur [source]. Si vous ne souhaitez plus recevoir mes messages, répondez « non » et je ne vous écrirai plus.
Vos données et vos droits : rubrique « Confidentialité » de notre site.

Quatre lignes : un expéditeur réel et la raison sociale, une adresse postale, la source des données et une opposition qui tient en une réponse. Le lien de désinscription est le moyen le plus courant, mais la boîte d’envoi elle-même est une coordonnée valable, à condition que quelqu’un la lise.

La notice complète (base légale, durée de conservation, droit de réclamation auprès de la CNIL) se trouve sur votre site : l’essentiel dans l’email, le détail une étape plus loin, selon l’information à plusieurs niveaux que décrivent les lignes directrices européennes sur la transparence. Si vous envoyez du texte brut sans lien, comme moi, nommez la page au lieu de la lier. Le reste de l’email tient en trois lignes au plus, avec un numéro de téléphone, comme dans mes exemples d’email de prospection.

Le droit d’opposition : la liste d’exclusion fait le travail

Face à la prospection, le droit d’opposition est absolu (article 21 du RGPD) : quand quelqu’un dit stop, vous arrêtez, sans mise en balance des intérêts et sans « dernière » relance. L’opposition arrive sous la forme que la personne choisit : un « non » d’un mot, un paragraphe agacé, un appel. Tout compte.

Ne supprimez pas l’adresse. Gardez-la dans une liste d’exclusion, que la CNIL appelle « liste repoussoir », avec le minimum (l’adresse, la date, « opposition »), pour que la personne ne revienne jamais dans un nouveau fichier. Confrontez-y chaque nouvelle liste avant import, et ajoutez-la à la liste de blocage de votre outil d’envoi.

Le point faible, c’est le passage de relais. Dans mes campagnes, je fais tout sauf les réponses, qui reviennent au client : la personne qui lit le « non » n’est donc pas celle qui gère le fichier. Et comme chaque email porte un numéro de téléphone, beaucoup de prospects appellent au lieu de répondre (pourquoi mes prospects préfèrent appeler) : une opposition peut donc arriver par téléphone. Décidez à l’avance comment elle remonte jusqu’au fichier, et en combien de temps : le jour même est une bonne règle.

Pixels de suivi : ce que la CNIL demande depuis avril 2026

Le suivi des ouvertures passe par une image invisible : quand elle se charge, l’expéditeur sait que l’email a été ouvert. La CNIL y voit une lecture d’informations sur le terminal du destinataire, comme pour un cookie. Dans sa recommandation sur les pixels de suivi, publiée en avril 2026, elle estime qu’un consentement préalable est nécessaire quand ces pixels servent au marketing, et que le droit d’envoyer un email B2B sans consentement ne couvre pas le pixel. Seuls deux usages étroits y échappent : l’authentification et la sécurité, et la mesure de la délivrabilité, par exemple pour retirer les adresses inactives.

Mes cold emails ne posent pas la question. Ils partent en texte brut, sans HTML ni lien : aucun pixel à justifier, rien à cliquer. J’ai choisi le texte brut pour la délivrabilité (pourquoi mes emails n’ont ni lien ni HTML), et il règle aussi une question de conformité. Si vous suivez les ouvertures, traitez le pixel comme une décision distincte de l’email, avec son propre consentement.

L’amende KASPR : ce que la CNIL sanctionne

En décembre 2024, la CNIL a infligé une amende de 240 000 € à KASPR. Cette société commercialise une extension Chrome qui fournit à ses clients les coordonnées des personnes dont ils consultent le profil LinkedIn. La CNIL lui reproche notamment d’avoir collecté les coordonnées d’utilisateurs qui avaient choisi d’en limiter la visibilité, d’avoir renouvelé automatiquement leur durée de conservation, et d’avoir répondu aux demandes d’accès sans indiquer l’origine des données.

Deux leçons valent pour une petite entreprise. D’abord, l’origine des adresses compte autant que le message : sachez d’où vient chaque ligne de votre fichier, et notez-le. Une liste construite depuis Google Maps, comme dans mon tuto Outscraper, a une source simple à citer : la fiche Google de l’entreprise et son site. Ensuite, passer par un outil ou un prestataire ne vous décharge pas de vos obligations : vous restez responsable du fichier que vous utilisez et des messages envoyés en votre nom.

La checklist cold emailing RGPD avant chaque campagne

À dérouler avant chaque campagne, pas une fois par an.

1. Écrivez l’offre et les fonctions qu’elle concerne. Si vous ne savez pas dire pourquoi l’email intéresse ce métier, la règle B2B ne vous couvre pas.
2. Classez chaque contact. Professionnel contacté pour son métier : oui. Particulier, ou sujet sans rapport avec le métier : non, sauf consentement.
3. Notez la source et la date de chaque adresse dans votre tableur.
4. Vérifiez les adresses et retirez celles qui ne sont pas valides.
5. Confrontez la liste à votre liste d’exclusion.
6. Rédigez et datez votre analyse de l’intérêt légitime. Une page suffit.
7. Ajoutez le pied d’email : expéditeur, société, adresse, source, opposition par simple réponse, page confidentialité.
8. Tranchez la question du suivi. Texte brut et suivi coupé : la question disparaît.
9. Décidez qui transmet les oppositions, reçues par email ou par téléphone, et en combien de temps.
10. Fixez la durée de conservation (trois ans au plus sans contact du prospect) et notez la date de suppression dans votre agenda.

Prospecter des entreprises au Royaume-Uni : ce qui change

Si une partie de vos prospects sont des entreprises britanniques, suivez aussi les règles britanniques pour ces emails. Elles placent la frontière ailleurs. Les PECR (Privacy and Electronic Communications Regulations) n’exigent le consentement que pour les « individual subscribers » : particuliers, entrepreneurs individuels (sole traders) et sociétés de personnes (partnerships) hors d’Écosse. Les « corporate subscribers » (sociétés, LLP, partnerships écossais, organismes publics) peuvent recevoir un cold email sans consentement.

La différence avec la France tient en un exemple. Les campagnes que je mène pour Pilotech, installateur de climatisation en Île-de-France, visent trois publics : les restaurants parisiens, les bureaux et commerces parisiens, et surtout les architectes, la cible principale, qui sont aussi ceux qui ont le plus appelé (l’étude de cas complète). Beaucoup de ces architectes travaillent seuls. En France, un email sur la climatisation de leurs projets relève de la règle B2B ; à Londres, le même email à des architectes installés en sole trader demanderait leur accord. Le registre public et gratuit de Companies House permet de vérifier en quelques secondes si une entreprise britannique est une société.

Trois autres points pour votre checklist :

• Le RGPD britannique (UK GDPR) reprend l’essentiel du RGPD européen : intérêt légitime documenté, information au plus tard dans le premier email, opposition absolue. Il ne fixe pas de durée de conservation chiffrée : choisissez-en une et justifiez-la.
• Chaque email doit identifier l’expéditeur et donner une adresse valable pour demander l’arrêt des envois (règlement 23 des PECR), y compris vers les sociétés. Le suivi des ouvertures relève de son côté du règlement 6, la règle de consentement derrière les bannières cookies.
• Les amendes. Depuis février 2026, le plafond des amendes PECR atteint 17,5 millions de livres (environ 20 millions d’euros) ou 4 % du chiffre d’affaires mondial (le montant le plus élevé étant retenu), contre 500 000 livres auparavant. L’ICO, le régulateur britannique, détaille ces règles dans sa rubrique sur le marketing direct (en anglais). Ce nouveau plafond vient du Data (Use and Access) Act 2025, dont je détaille les autres changements dans ce qui change pour le RGPD britannique.

Si vous préférez confier tout cela (le fichier, les vérifications, le pied d’email, la liste d’exclusion et la campagne elle-même), c’est le métier de MLK Leadhunters.