Le 10 juin 2026, la CNIL a mis à jour ses rappels sur la prospection commerciale par courrier électronique, SMS, MMS et automate d’appel.
Pour beaucoup d’entreprises, le point sensible n’est pas théorique. Il concerne une pratique fréquente : utiliser l’adresse email laissée par une personne qui a créé un compte en ligne, téléchargé un livre blanc, demandé un devis, abandonné un panier ou participé à un webinaire.
Cette adresse existe dans le CRM. Elle est parfois enrichie par un outil marketing. Elle semble donc disponible pour une campagne commerciale.
Ce raccourci est risqué.
La CNIL rappelle qu’un compte créé en ligne ne suffit pas, à lui seul, à autoriser l’envoi d’emails ou de SMS de prospection. Il faut vérifier la qualité de la personne ciblée, le canal utilisé, l’existence d’un consentement valable, l’objet du message et l’éventuelle exception du client existant.
Une entreprise qui confond simple inscription et consentement marketing peut exposer toute sa base à une plainte, à un contrôle CNIL, à une mise en demeure ou à une sanction. Elle peut aussi perdre l’usage commercial d’un fichier qu’elle pensait exploitable.
Prospection commerciale par email : quelle est la règle générale ?
La prospection commerciale par voie électronique comprend notamment les emails, les SMS, les MMS et les automates d’appel.
Le principe est simple : lorsqu’une entreprise veut envoyer un message commercial à une personne physique, elle doit en principe avoir recueilli son consentement avant l’envoi.
Le consentement ne se déduit pas du silence. Il ne se déduit pas non plus de la simple acceptation de conditions générales, d’une case précochée, d’une inscription à un service ou d’une navigation sur le site.
Il doit résulter d’un acte positif. En pratique, il faut une case dédiée, non précochée, avec une information claire sur l’utilisation des données à des fins de prospection commerciale.
La formulation doit être compréhensible. Une phrase vague du type « j’accepte de recevoir des informations » est fragile si elle ne dit pas qui prospecte, par quel canal et pour quel type d’offres.
Chaque campagne doit aussi permettre au destinataire de se désinscrire facilement. Un lien de désabonnement inutilisable, caché ou inopérant transforme un problème de collecte en problème d’exécution.
Un compte créé en ligne vaut-il consentement ?
Non, pas par principe.
Créer un compte permet souvent d’exécuter un service : accéder à un espace client, gérer une commande, recevoir une facture, utiliser une plateforme, consulter un contenu ou suivre une demande.
Cette finalité n’est pas la même que l’envoi de messages publicitaires.
Une entreprise peut envoyer des messages nécessaires au service : confirmation de compte, réinitialisation de mot de passe, suivi de commande, facture, information de sécurité ou réponse à une demande. Ces messages ne sont pas de la prospection si leur objet reste strictement opérationnel.
En revanche, un message qui propose une offre, une remise, une démonstration commerciale, un abonnement, une montée en gamme ou un rendez-vous de vente relève en principe de la prospection commerciale.
Le fait que la personne ait un compte ne change pas cette qualification.
Avant d’utiliser une base issue de comptes créés en ligne, il faut donc retrouver la preuve de l’accord marketing : date, formulaire, version de la mention, canal accepté, finalité, source de collecte et preuve que la case n’était pas précochée.
Quand l’exception du client existant peut-elle jouer ?
Il existe une exception utile, mais elle est souvent utilisée trop largement.
Une entreprise peut prospecter une personne déjà cliente sans recueillir un nouveau consentement préalable, lorsque les coordonnées ont été recueillies à l’occasion d’une vente ou d’une prestation de service, que la prospection concerne des produits ou services similaires fournis par la même entreprise, et que la personne a été informée de cette utilisation avec une possibilité simple de s’y opposer.
Ces conditions doivent être vérifiées ensemble.
Un compte créé sans achat ne suffit donc pas. Une demande d’information non suivie d’une vente ne suffit pas nécessairement. Un téléchargement de contenu gratuit ne transforme pas automatiquement le prospect en client existant.
L’objet du message compte aussi. Une société qui a vendu une formation courte ne peut pas nécessairement utiliser cette relation pour promouvoir un service sans lien, une offre partenaire ou une prestation très différente.
Enfin, l’exception bénéficie à la même entreprise. Elle ne permet pas de transmettre librement les coordonnées à des partenaires commerciaux, ni d’utiliser une base collectée par une société du groupe sans vérifier l’information donnée au départ.
Prospection B2B : les règles sont-elles plus souples ?
La prospection entre professionnels est plus souple, mais elle n’est pas libre.
La CNIL admet, pour certains messages B2B, une logique d’opposition plutôt qu’un consentement préalable, lorsque le message est adressé à une adresse professionnelle et qu’il présente un lien avec la fonction exercée par la personne contactée.
Un email adressé à un directeur financier sur un logiciel de comptabilité n’appelle pas la même analyse qu’un email adressé à ce même directeur financier pour une offre sans rapport avec son activité professionnelle.
Il faut donc vérifier la source des données, l’information donnée à la personne, le lien entre l’offre et ses fonctions, et la présence d’un moyen d’opposition simple.
Une base B2B achetée à un prestataire n’est pas automatiquement conforme. L’acheteur doit demander comment les données ont été collectées, si les personnes ont été informées, si elles pouvaient s’opposer, à quelle date la base a été constituée et comment les oppositions sont répercutées.
Le risque est très concret : si le prestataire n’a pas sécurisé la collecte, l’entreprise qui exploite la base peut se retrouver responsable de la campagne qu’elle déclenche.
Quels messages peuvent être requalifiés en prospection ?
Le nom du message ne suffit pas.
Une newsletter peut être une prospection commerciale si elle met en avant une offre, un service, une remise ou un rendez-vous de vente. Un email de relance peut aussi être commercial s’il pousse le destinataire à souscrire ou à acheter.
À l’inverse, un message strictement administratif peut rester hors prospection : facture, incident de sécurité, changement de conditions contractuelles, information nécessaire à l’exécution du service.
La frontière se joue dans l’objectif réel du message.
Avant l’envoi, il faut relire l’objet, le corps du message, les boutons, les liens, la signature commerciale et les scénarios automatisés. Un simple bouton « réserver une démonstration » peut suffire à faire basculer un email informatif dans la prospection.
Les scénarios d’automation doivent aussi être audités. Une séquence qui commence par un email de bienvenue peut devenir une campagne commerciale au deuxième ou troisième message.
Quels risques en cas de campagne non conforme ?
Le premier risque est opérationnel : plaintes, désabonnements massifs, signalements, blocage du domaine d’envoi, perte de délivrabilité et dégradation de la réputation email.
Le deuxième risque est probatoire. En cas de contrôle, l’entreprise doit pouvoir produire la preuve de la collecte et de l’information. Un export CRM sans historique du consentement ne suffit pas toujours.
Le troisième risque est juridique. La CNIL peut contrôler les pratiques, demander des explications, imposer une mise en conformité, prononcer une mise en demeure ou sanctionner les manquements les plus sérieux.
Le risque augmente lorsque l’entreprise envoie un grand nombre de messages, utilise des bases achetées, ne gère pas correctement les désinscriptions, prospecte des particuliers sans consentement, ou ne peut pas justifier l’origine de ses données.
Il ne faut pas attendre une plainte pour agir. Une base marketing doit être auditée avant la campagne, pas après le signalement.
Quelles pièces réunir avant de lancer une campagne ?
L’entreprise doit réunir les formulaires de collecte, les captures des cases de consentement, les versions des mentions d’information, les dates de collecte, les sources d’acquisition, les contrats avec les fournisseurs de bases, les procédures de désinscription, les preuves d’opposition et les modèles d’emails.
Il faut aussi isoler les catégories de contacts : clients actifs, anciens clients, prospects sans achat, comptes gratuits, leads issus d’événements, contacts importés, bases achetées, partenaires, professionnels et particuliers.
Chaque catégorie peut relever d’un régime différent.
Le tri est indispensable. Une base unique intitulée « prospects » ne permet pas de décider sérieusement si un envoi est autorisé.
En cas de doute, il vaut mieux réduire le périmètre de la campagne, envoyer seulement aux contacts dont la base juridique est claire, ou recueillir un consentement propre avant toute prospection commerciale.
Que faire si la campagne est déjà partie ?
Il faut d’abord stopper les séquences automatiques si la base utilisée est incertaine.
Il faut ensuite extraire les plaintes, désabonnements, rebonds et réponses négatives. Ces éléments permettent d’évaluer le risque et de corriger rapidement les fichiers.
Si une personne exerce ses droits, l’entreprise doit répondre dans les délais applicables et conserver la preuve de la réponse.
Si une erreur est identifiée, il faut documenter la correction : suppression de la base, désactivation du scénario, modification des formulaires, purge des contacts non conformes, changement du prestataire ou mise à jour du registre interne.
Cette traçabilité compte. Elle montre que l’entreprise ne se contente pas de subir une plainte, mais reprend le contrôle de son traitement de données.
Paris et Île-de-France : un enjeu pour les startups, e-commerçants et prestataires B2B
À Paris et en Île-de-France, beaucoup d’entreprises utilisent des outils de marketing automation, des CRM, des bases enrichies et des campagnes multicanales.
Le risque vient rarement d’un seul email. Il vient d’une accumulation : formulaire imprécis, case absente, base achetée, séquence automatisée, désabonnement mal géré, puis relance commerciale envoyée à des personnes qui n’ont jamais consenti.
Les startups, agences, organismes de formation, SaaS, e-commerçants et prestataires B2B doivent donc sécuriser leur collecte avant de chercher à augmenter le nombre d’envois.
Une campagne plus petite mais juridiquement propre vaut mieux qu’une campagne massive qui rend le fichier inexploitable.
Les actions utiles en pratique
La première action consiste à distinguer les messages opérationnels des messages commerciaux.
La deuxième consiste à cartographier les sources de collecte : compte client, achat, téléchargement, formulaire de contact, salon, webinaire, base externe ou import manuel.
La troisième consiste à vérifier la preuve du consentement ou, pour certains contacts B2B, la possibilité de se fonder sur une opposition simple et effective.
La quatrième consiste à nettoyer les bases : doublons, contacts sans source, oppositions, anciens exports, listes partenaires et bases achetées non documentées.
La cinquième consiste à corriger les formulaires et les scénarios avant la prochaine campagne.
Le droit de la prospection commerciale n’interdit pas de vendre. Il impose de pouvoir prouver que la personne pouvait comprendre, accepter ou refuser l’usage commercial de ses données.
Sources officielles utiles
La fiche de référence de la CNIL du 10 juin 2026 sur la prospection par courrier électronique, SMS-MMS et automate d’appel détaille le principe du consentement préalable et les exceptions applicables : CNIL, prospection commerciale par voie électronique.
La CNIL a également publié une page pratique sur les communications électroniques aux prospects et clients, utile pour distinguer messages de service et prospection commerciale : CNIL, communications par voie électronique.
Pour les entreprises qui utilisent ou achètent des fichiers de prospection, voir aussi notre analyse sur l’achat d’une base de données prospects et les risques RGPD.
Besoin d’un avis rapide sur votre dossier
Vous souhaitez lancer une campagne email, SMS ou B2B et vous devez vérifier si votre base prospects est exploitable.
Le cabinet peut examiner vos formulaires, vos bases, vos mentions d’information et vos scénarios de prospection sous 48 heures.
Appelez le cabinet au 06 46 60 58 22 ou utilisez le formulaire de contact.
Nous intervenons à Paris et en Île-de-France pour les entreprises, startups, e-commerçants, organismes de formation et prestataires B2B confrontés à une question de prospection commerciale, RGPD ou contrôle CNIL.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.