Le 10 juin 2026, la CNIL a remis à jour ses règles sur les communications électroniques adressées aux prospects et aux clients. Cette actualité concerne directement les entreprises qui envoient des newsletters, des emails promotionnels, des SMS, des relances commerciales, des invitations à un webinaire ou des messages de réactivation client.
Le risque vient rarement d’un seul email. Il vient d’une base de contacts mal constituée, d’un formulaire d’inscription imprécis, d’un fichier acheté sans preuve, d’une case précochée, d’un lien de désinscription qui ne fonctionne plus ou d’une confusion entre message de service et message commercial.
Pour un dirigeant, la question pratique est simple : peut-on utiliser cette base de contacts maintenant, ou faut-il la nettoyer avant d’envoyer la prochaine campagne ?
Prospection commerciale ou message de service : la qualification change tout
La CNIL distingue les messages de prospection commerciale, les messages transactionnels et les messages relationnels.
Un message de prospection commerciale cherche à promouvoir un produit, un service ou l’image de l’entreprise. Il peut prendre la forme d’une newsletter, d’une offre spéciale, d’un email de relance, d’un SMS ou d’une invitation commerciale. Le nom donné au message ne suffit pas. Une « lettre d’information » peut devenir une prospection si elle pousse le lecteur vers une offre, une prise de rendez-vous ou un achat.
Un message transactionnel sert à exécuter un contrat ou un service demandé par la personne. Confirmation de commande, suivi de livraison, réinitialisation de mot de passe, facture ou information nécessaire à l’utilisation du service : ces messages ont une finalité opérationnelle.
Un message relationnel accompagne la relation client sans promotion directe. Il peut informer sur l’utilisation d’un produit, la sécurité d’un compte ou une évolution strictement nécessaire au service.
La frontière est importante. Si un message présenté comme « information client » contient une offre, un code promotionnel, une incitation à souscrire ou un argument commercial, il peut être traité comme de la prospection.
B2C : le consentement préalable reste la règle
Lorsqu’une entreprise veut prospecter un particulier par email, SMS ou automate d’appel, le réflexe doit être le consentement préalable.
Ce consentement doit être libre, spécifique, éclairé et traçable. En pratique, cela suppose une case non précochée, une information claire sur la finalité, l’identité de l’entreprise qui prospecte et la possibilité de retirer son accord.
Une phrase vague du type « j’accepte de recevoir des informations » ne suffit pas toujours. Il faut comprendre quelles informations seront envoyées, par qui, et dans quel but. Si l’entreprise prévoit d’envoyer des offres de partenaires, cette finalité doit être indiquée séparément.
Il existe une exception pour les clients existants, mais elle doit être maniée avec prudence. Une entreprise peut, dans certains cas, envoyer des offres portant sur des produits ou services analogues à ceux déjà achetés par le client, à condition que celui-ci ait été informé dès la collecte de ses coordonnées et qu’il puisse s’opposer simplement et gratuitement.
Cette exception ne permet pas tout. Elle ne transforme pas une base client en base générale de prospection. Elle ne justifie pas l’envoi d’offres sans rapport avec l’achat initial. Elle ne couvre pas non plus les fichiers dont l’origine n’est pas documentée.
B2B : l’intérêt légitime ne dispense pas de preuve
La prospection entre professionnels est souvent présentée comme plus souple. C’est vrai, mais seulement dans certaines limites.
Lorsqu’une entreprise contacte une personne sur son adresse professionnelle, la prospection peut reposer sur l’intérêt légitime si le message est en rapport avec la profession de la personne démarchée. Un éditeur de logiciel comptable peut contacter un directeur financier. Un fournisseur de matériel médical peut contacter un responsable achats d’une clinique. Le lien avec la fonction doit être réel.
En revanche, le simple fait que l’adresse soit professionnelle ne suffit pas. Envoyer des messages commerciaux indifférenciés à des dirigeants, cadres, avocats, médecins, commerçants ou artisans sans rapport avec leur activité reste risqué.
Il faut aussi informer la personne de l’utilisation de ses données et lui permettre de s’opposer facilement. Le lien de désinscription doit fonctionner. La demande d’opposition doit être traitée sans délai excessif. Une personne qui s’est opposée ne doit pas réapparaître dans la campagne suivante parce que la base a été réimportée depuis un CRM ou un outil d’emailing.
Newsletter, relance panier, client inactif : les pièges fréquents
Plusieurs situations créent des erreurs récurrentes.
La newsletter est le premier point de risque. Si elle contient des offres, des promotions, des liens vers des prestations ou une invitation à acheter, elle doit être traitée comme une communication commerciale. Il faut vérifier la preuve d’inscription et la possibilité de désinscription.
La relance de panier abandonné est également sensible. Un message purement technique peut rappeler l’existence du panier. Mais si le message ajoute une remise, une urgence artificielle ou une incitation commerciale, il relève d’une logique de prospection.
La réactivation d’un client inactif pose une autre difficulté. Plus le dernier contact est ancien, plus la base devient fragile. L’entreprise doit pouvoir expliquer pourquoi elle conserve les données, à quelle date elles ont été collectées et sur quelle base elle les réutilise.
Les fichiers achetés ou loués sont les plus exposés. Avant tout envoi, il faut demander l’origine des données, la preuve de l’information donnée aux personnes, la portée du consentement lorsqu’il est nécessaire et les modalités d’opposition. Un contrat avec le fournisseur du fichier ne remplace pas la preuve de licéité.
Les preuves à conserver avant d’envoyer la campagne
Une entreprise doit pouvoir prouver que sa campagne est conforme.
Pour une base issue d’un formulaire, conservez la version exacte du formulaire, la date d’inscription, l’adresse IP si elle est collectée légalement, le libellé de la case, la finalité annoncée et la politique de confidentialité applicable au moment de l’inscription.
Pour une base client, conservez la preuve de l’achat, la date de collecte, l’information donnée au client, le lien entre l’achat initial et les produits ou services proposés, ainsi que la preuve que le client pouvait s’opposer.
Pour une base professionnelle, documentez la source de l’adresse, la fonction de la personne, le lien entre le message et son activité professionnelle, l’information donnée et le mécanisme d’opposition.
Pour une base fournie par un prestataire, demandez les garanties par écrit. Il faut connaître l’origine des contacts, les finalités acceptées, les dates de collecte, les éventuelles exclusions et les personnes déjà opposées.
Sans ces éléments, le problème ne sera pas seulement la campagne envoyée. Le problème sera l’impossibilité de démontrer, après une plainte ou un contrôle, que l’entreprise avait le droit d’utiliser la base.
Le lien de désinscription doit être simple et effectif
Chaque communication commerciale doit permettre au destinataire de s’opposer facilement.
Le lien de désinscription doit être visible, compréhensible et gratuit. Il ne doit pas imposer de créer un compte, de se connecter à un espace client, d’appeler un service commercial ou de justifier sa demande.
La désinscription doit aussi être technique. Si le destinataire clique, son opposition doit être enregistrée dans l’outil d’emailing, dans le CRM et dans les exports utilisés par les équipes commerciales. Beaucoup d’incidents viennent d’une désinscription correctement enregistrée dans un outil, puis effacée par un nouvel import de fichier.
Le bon réflexe consiste à tenir une liste d’opposition. Cette liste ne sert pas à prospecter. Elle sert à empêcher de recontacter les personnes qui ont refusé de recevoir de nouveaux messages.
Que faire si une campagne est déjà partie ?
Si une campagne a été envoyée sans vérification suffisante, l’entreprise doit éviter de banaliser l’incident.
Il faut d’abord identifier le périmètre : nombre de destinataires, source de la base, finalité du message, canal utilisé, taux de désinscription, plaintes reçues, éventuels messages envoyés à des personnes déjà opposées.
Il faut ensuite suspendre les relances prévues. Une campagne initiale discutable peut devenir beaucoup plus problématique si elle est suivie de rappels automatiques.
Il faut traiter immédiatement les oppositions et les demandes d’accès ou de suppression. Le délai de réponse aux droits des personnes doit être suivi.
Enfin, il faut corriger la cause : formulaire, CRM, import, base achetée, segmentation, paramétrage de l’outil, script de relance ou procédure commerciale. La conformité ne se règle pas uniquement par un message d’excuse.
Paris et Île-de-France : sécuriser les campagnes commerciales
Les entreprises situées à Paris et en Île-de-France utilisent souvent plusieurs canaux en même temps : CRM, outil de newsletter, prospection LinkedIn, SMS, téléphone, formulaire de contact, salon professionnel, marketplace, fichier partenaire.
Le risque vient de la dispersion. Une même personne peut être inscrite dans plusieurs outils, avec des statuts différents. Elle peut s’être désinscrite d’une newsletter mais rester dans une séquence commerciale. Elle peut avoir refusé les SMS mais continuer à recevoir des emails. Elle peut avoir été ajoutée par un commercial après un salon sans information suffisante.
Avant une campagne importante, il faut donc faire un audit court : origine des contacts, preuve de collecte, finalité, canal autorisé, statut d’opposition, ancienneté de la donnée, responsable interne. Ce travail est particulièrement utile avant une campagne de rentrée, une opération de soldes, un lancement de produit, une levée de fonds, un salon ou une séquence de relance commerciale.
Les documents à préparer en cas de plainte ou de contrôle
En cas de plainte, l’entreprise doit être capable de produire un dossier clair.
Préparez le modèle du message envoyé, la liste des destinataires concernés, la source de la base, les preuves de consentement ou la justification de l’intérêt légitime, les mentions d’information, la politique de confidentialité, les captures du formulaire, les contrats avec les prestataires, les logs de désinscription, les réponses aux demandes de droits et les procédures internes.
Il faut également vérifier les sous-traitants. Un outil d’emailing, un CRM ou une agence marketing traite des données pour le compte de l’entreprise. Le contrat doit préciser les rôles, les instructions, les mesures de sécurité, les durées de conservation et les conditions de suppression.
Si l’entreprise utilise des pixels de suivi dans ses emails, des statistiques d’ouverture ou des liens personnalisés, il faut aussi examiner l’information donnée aux destinataires et le paramétrage de ces outils.
Le bon réflexe avant d’envoyer
Avant de cliquer sur « envoyer », posez quatre questions.
D’où vient cette adresse ?
La personne a-t-elle accepté de recevoir ce type de message, ou peut-on justifier un intérêt légitime adapté à sa fonction ?
Le message est-il réellement transactionnel ou contient-il une finalité commerciale ?
La désinscription est-elle simple, gratuite et techniquement prise en compte dans tous les outils ?
Si l’entreprise ne peut pas répondre clairement, il vaut mieux suspendre l’envoi, segmenter la base et corriger les preuves. Une campagne retardée coûte moins cher qu’une base inutilisable, une plainte CNIL ou une séquence commerciale à reprendre dans l’urgence.
La CNIL détaille ces règles dans sa fiche du 10 juin 2026 sur les communications électroniques aux prospects et clients, ainsi que dans sa fiche consacrée à la prospection par courriel, SMS-MMS et automate d’appel.
En droit des affaires, vous pouvez aussi consulter la page Droit des affaires.
Besoin d’un avis rapide sur votre dossier.
Vous préparez une newsletter, une campagne email, une relance SMS ou l’utilisation d’un fichier de prospects. Le cabinet peut vérifier la base, les mentions, les preuves de consentement, les contrats prestataires et la réponse à apporter en cas de plainte.
Consultation téléphonique en 48 heures avec un avocat du cabinet.
Appelez le 06 46 60 58 22 ou utilisez le formulaire de contact du cabinet.
Pour les entreprises situées à Paris et en Île-de-France, l’intervention peut intégrer la vérification de vos outils CRM, emailing, SMS et prospection commerciale.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.