En bref. Une campagne de prospection doit être analysée selon le canal, le destinataire, l’origine des coordonnées et la finalité exacte du message. L’e-mail et le SMS adressés aux particuliers exigent en principe un consentement préalable ; la prospection professionnelle peut reposer sur l’opposition si le message est lié à la fonction ; depuis le 11 août 2026, le démarchage téléphonique des consommateurs obéit à un principe d’interdiction avec des exceptions encadrées par la loi du 30 juin 2025. Le RGPD impose parallèlement information, base légale, minimisation et respect du droit d’opposition.
La CNIL a clarifié en juin 2026 la distinction entre message transactionnel, message relationnel et publicité. Une confirmation de commande n’est pas une invitation à acheter ; une « information de service » qui met en avant une offre peut, elle, relever de la prospection. Pour concevoir une campagne, commencez par qualifier le message et documenter le parcours de la donnée avant de choisir une case à cocher.
1. Distinguer le message et sa finalité
La prospection commerciale promeut directement ou indirectement un produit, un service ou l’image d’une entreprise. Un message transactionnel est nécessaire à une opération demandée, par exemple un reçu ou une information indispensable à la livraison. Un message relationnel suit le service en cours sans objectif promotionnel autonome. La qualification dépend du contenu et du contexte, non de l’étiquette choisie dans le logiciel d’envoi. Ajouter un bloc « profitez de notre nouvelle formule » à un reçu peut introduire une finalité publicitaire à analyser.
Exemple hypothétique : un éditeur envoie un avis de maintenance à ses clients. Le message explique l’interruption et le rétablissement : il sert la relation contractuelle. S’il ajoute une offre de montée en gamme valable deux jours, cette partie vise une vente. Il faut alors vérifier si les destinataires peuvent recevoir cette prospection par le canal utilisé. Séparer les flux dans l’outil d’envoi facilite la preuve et évite qu’un désabonnement à la publicité empêche l’envoi d’une alerte indispensable.
Pour chaque finalité, choisissez une base selon l’article 6 du RGPD, puis vérifiez la règle spéciale applicable au canal. L’intérêt légitime peut être pertinent pour certaines prospections permises sans consentement préalable, sous réserve d’un examen des attentes raisonnables et de l’opposition. Il ne neutralise pas l’exigence de consentement posée par l’article L.34-5 du code des postes et des communications électroniques pour les cas où elle s’applique. Le guide sur l’intérêt légitime explique cet examen.
2. E-mail et SMS envoyés à des particuliers
La règle de principe est le consentement avant le premier message promotionnel. Le consentement doit être libre, spécifique, éclairé et univoque : une case dédiée non précochée peut le recueillir, alors qu’une simple acceptation des conditions générales ne suffit pas. Conservez le texte exact présenté, sa version, la date, le canal et l’action positive. Le guide de l’article 7 du RGPD détaille la preuve et le retrait. Un double opt-in peut aider à confirmer la maîtrise de l’adresse, mais n’est pas une exigence légale générale ni une réparation d’un formulaire trompeur.
L’exception dite du « client existant » doit être lue strictement. La CNIL rappelle qu’il faut une vente ou prestation déjà réalisée, des produits ou services similaires proposés par la même entreprise et une faculté de s’opposer simplement lors de la collecte et à chaque envoi. La création d’un compte gratuit sans achat ne suffit pas. L’exception ne permet pas à une société du même groupe ou à un partenaire distinct de prospecter librement le client d’une autre société.
Exemple hypothétique : une librairie vend un roman puis écrit au client pour annoncer une nouvelle collection comparable. Elle peut examiner l’exception, à condition d’avoir offert l’opposition dès l’achat et dans le message. La même librairie ne peut pas considérer que cet achat autorise un assureur partenaire à écrire au client sur une police automobile. La transmission et la prospection par ce partenaire demandent leur propre analyse et, selon le canal, un consentement approprié.
Le message doit identifier l’annonceur et offrir une opposition simple et gratuite. Pour un SMS, une réponse « STOP » peut être un moyen pratique, mais sa mise en œuvre doit réellement arrêter les envois concernés. Une adresse « no-reply » sans autre moyen efficace ne suffit pas si la désinscription promise échoue. Testez le parcours complet dans la plateforme, y compris les listes importées et les campagnes programmées.
3. Prospection des professionnels : vérifier la pertinence
La CNIL admet la prospection par e-mail d’une personne dans un cadre professionnel sans consentement préalable lorsque l’objet est en rapport avec sa profession. La personne doit être informée et pouvoir s’opposer simplement. Une adresse nominative d’entreprise reste une donnée personnelle. Une adresse générique telle que contact@entreprise.fr est une coordonnée de personne morale, mais les informations associées dans le CRM peuvent tout de même identifier un interlocuteur.
Exemple hypothétique : un fournisseur de logiciel comptable contacte la directrice financière à son adresse professionnelle pour lui présenter un outil de clôture. Le lien avec la fonction est plausible ; il faut encore respecter l’information et l’opposition. Le même fournisseur envoie à cette adresse une offre de vacances familiales : le sujet n’est pas pertinent au regard de la fonction. L’étiquette « B2B » dans le CRM ne transforme pas une publicité personnelle en prospection professionnelle.
La collecte d’une adresse sur un site public ne rend pas l’usage illimité. Notez la source, la date, le contexte de publication et l’attente raisonnable de la personne. Si les coordonnées proviennent d’un annuaire ou d’un partenaire, vérifiez l’information donnée lors de la collecte et la possibilité d’opposition. Une personne peut exercer son droit d’opposition à tout moment ; pour la prospection, l’article 21.2 et 21.3 du RGPD impose alors de cesser le traitement à cette fin, sans mise en balance ultérieure. La fiche sur le droit d’opposition en expose la portée ; le guide de procédure des droits aide à traiter une demande arrivée par un autre canal que le lien de désinscription.
4. Téléphone depuis le 11 août 2026
La réforme résulte de la loi n° 2025-594 du 30 juin 2025, dont les dispositions pertinentes sont entrées en vigueur le 11 août 2026. La CNIL résume les exceptions : consentement préalable du consommateur, appel concernant un contrat en cours dans les limites prévues, notamment, et cas spécifiques tels que certains abonnements de presse. Ce cadre vise les consommateurs ; l’analyse d’un appel à un professionnel doit être menée séparément. N’attribuez pas cette date à la loi du 24 juillet 2020, qui relevait d’un régime antérieur.
Un formulaire qui recueille le consentement téléphonique doit préciser qui appellera, pour quelle prospection et avec quelles modalités de retrait. Lorsque le numéro est transmis à des partenaires, l’organisme collecteur doit rendre leur identité ou leur liste accessible et conserver la preuve que l’accord couvre cette transmission et les appels envisagés. Un consentement à recevoir des SMS ne couvre pas automatiquement l’appel vocal par une autre société.
Exemple hypothétique : un comparateur transmet un lead à trois assureurs nommés ou identifiables. La preuve doit montrer le texte vu par la personne, la case qu’elle a effectivement cochée et la liste des partenaires applicable à cette date. Le courtier destinataire vérifie que son appel correspond au périmètre accepté et que la personne n’a pas retiré son accord. Une attestation générale « leads conformes » du vendeur ne donne pas cette preuve individualisée.
Selon la CNIL, Bloctel cesse d’exister le 11 août 2026, mais les jours et horaires d’appel restent applicables : du lundi au vendredi, de 10 h à 13 h et de 14 h à 20 h. Pour une campagne menée après cette date, vérifiez donc à la fois l’exception qui autorise l’appel et son créneau horaire. Des modalités d’application peuvent évoluer ; vérifiez les textes et indications officiels avant le lancement. La règle RGPD d’information et d’opposition reste pertinente même lorsque l’appel entre dans une exception au consentement.
5. Courrier postal et autres canaux
Pour le courrier postal adressé à une personne, il n’existe pas de consentement préalable systématique. Il faut informer la personne de l’utilisation de son adresse, disposer d’une base légale pertinente et offrir une opposition simple. « Stop Pub » concerne principalement les imprimés publicitaires non adressés ; il ne constitue pas à lui seul la règle RGPD de traitement d’un courrier nominatif. Si la personne s’oppose, la liste de suppression doit empêcher une nouvelle sollicitation sans être réutilisée pour une autre publicité.
Les messages directs sur une plateforme sociale ne peuvent pas être rangés universellement dans la catégorie « courriel B2B » ou considérés comme autorisés parce qu’une connexion a été acceptée. Analysez le fonctionnement du canal, la nature du message, l’identité de la personne et les règles applicables à la communication électronique concernée. Pour le ciblage publicitaire par téléversement d’adresses ou création d’audiences similaires, examinez les finalités des plateformes, le partage des données et l’information initiale ; ne présumez pas qu’un consentement aux cookies couvre le téléversement d’une base de clients.
Un formulaire de refus des cookies publicitaires et un formulaire de consentement à la newsletter servent des traitements différents. Le premier concerne l’accès au terminal et les traceurs ; le second concerne l’envoi d’une publicité à une adresse. Si les deux choix figurent sur le même parcours, ils doivent rester compréhensibles et distincts. Une preuve globale « utilisateur accepté » ne permet pas de savoir quelle finalité a été autorisée.
6. Acheter ou recevoir des fichiers de prospects
Avant d’utiliser une liste, identifiez le collecteur initial, les canaux autorisés, la version de l’information donnée, les consentements requis et la façon dont les oppositions ont été propagées. Demandez un échantillon de preuves individuelles sans collecter inutilement de nouvelles données. Le vendeur et l’acheteur peuvent chacun avoir des obligations de responsables pour leurs finalités propres ; signer un DPA ne corrige pas une transmission sans base juridique. La CNIL détaille les règles de transmission à des partenaires.
Exemple hypothétique : un fournisseur vend une liste d’adresses de responsables RH. Une partie provient de formulaires de téléchargement, une autre d’annuaires professionnels. L’acheteur vérifie séparément source, information, date et opposition. Il exclut les entrées pour lesquelles la provenance n’est pas démontrable. S’il envisage ensuite des SMS à des numéros personnels, la logique B2B e-mail ne lui donne pas un droit automatique de le faire.
Documentez les vérifications contractuelles : identité du fournisseur, garanties sur la provenance, accès aux preuves, traitement des plaintes et retour des désinscriptions. Une certification commerciale non vérifiée n’a pas de valeur probatoire particulière. Après import, segmentez les fichiers par origine et base de contact pour éviter qu’une campagne future mélange des personnes soumises à des règles différentes.
7. Désinscriptions et durées
Chaque campagne doit offrir le moyen d’opposition requis et appliquer rapidement le retrait à tous les systèmes pertinents. Le RGPD n’impose pas une règle générale « sous quarante-huit heures » pour le fonctionnement d’un lien ; l’opposition à la prospection doit produire son effet dans les traitements concernés. Testez une désinscription de bout en bout : plateforme d’envoi, CRM, synchronisation, listes de partenaires et campagnes déjà planifiées. Conservez seulement les données nécessaires pour éviter de recontacter la personne, avec accès restreint et durée justifiée.
La CNIL recommande une méthode de conservation par finalité, notamment pour distinguer prospect actif, ancien client et liste d’opposition. Une durée de trois ans apparaît dans ses recommandations pour certaines données de prospection, mais elle ne signifie pas « trois ans minimum après toute désinscription » ni une durée unique pour les preuves de consentement. Fixez la durée selon la finalité, les recommandations pertinentes et le besoin de démontrer la licéité d’une campagne.
Une demande d’opposition peut parvenir par courriel libre, courrier ou téléphone ; le lien technique n’est pas le seul canal valable. Préparez une règle pour reconnaître une personne sans réclamer des données supplémentaires disproportionnées. Gardez la preuve que la demande a été traitée et que la campagne suivante a utilisé la liste actualisée.
8. Construire une preuve de campagne
Pour chaque campagne, un dossier bref doit contenir la finalité, la version du message, le canal, la population sélectionnée, la provenance des coordonnées, la base légale, la règle spéciale applicable, la preuve des consentements quand ils sont nécessaires, la méthode d’opposition et les prestataires utilisés. Ajoutez la date d’envoi et les résultats du test de désinscription. Cette documentation facilite une réponse à une plainte et révèle les hypothèses fragiles avant l’envoi.
La formation restreinte de la CNIL sanctionne des manquements précis, après une procédure. Une décision sur les cookies, une mesure de la DGCCRF sur le téléphone et une sanction RGPD sur les droits des personnes ne sont pas interchangeables. Le suivi des décisions CNIL fournit des exemples attribués à leur véritable fondement. Pour une campagne particulière, l’analyse des textes et du parcours de collecte reste plus utile qu’un palmarès d’amendes.