Quelles sont les règles de la CNIL pour la prospection commerciale en 2026 ?

Le cadre posé par la CNIL a beaucoup bougé en 2026 : l'autorité a clarifié en juin ce qui relève de la prospection et ce qui n'en relève pas, le démarchage téléphonique des particuliers est passé au consentement préalable le 11 août, et une position d'octobre encadre une pratique très répandue en B2B, deviner une adresse email professionnelle.

Voici, canal par canal et cible par cible, ce que vous pouvez faire, ce qui est interdit et ce qu'il faut pouvoir prouver en cas de contrôle, pour mener une prospection commerciale sereine.

Que dit la CNIL sur la prospection commerciale en B2B ?

En B2B, la CNIL n'exige pas de consentement préalable : vous pouvez contacter un professionnel sur son adresse ou sa ligne professionnelle si le message porte sur son activité. Dans sa publication du 10 juin 2026, l'autorité rappelle que cette prospection repose sur l'intérêt légitime de l'émetteur, et non sur un accord recueilli à l'avance. C'est ce qui rend la prospection B2B possible à grande échelle.

Les trois conditions à respecter

L'intérêt légitime n'est pas un blanc-seing : trois conditions cumulatives sont à vérifier avant chaque campagne.

• Lien avec la fonction : l'offre doit concerner l'activité professionnelle de la personne contactée. Proposer un logiciel de paie à un DRH est légitime ; lui proposer une offre de téléphonie personnelle ne l'est pas.
• Transparence sur l'origine des données : le destinataire doit pouvoir savoir qui vous êtes, pourquoi vous le contactez et d'où vient son adresse.
• Opposition simple et gratuite : chaque message doit offrir un moyen évident d'arrêter la sollicitation, et cette demande doit être prise en compte immédiatement.

Le cas des adresses génériques

Les adresses du type contact@entreprise.com ne désignent aucune personne physique : elles ne sont pas des données personnelles et sortent du champ du RGPD. Vous restez tenu de vous identifier et de respecter une demande d'arrêt, ne serait-ce que pour protéger la délivrabilité de votre domaine en cold email.

Faut-il un consentement pour prospecter des particuliers ?

Oui : en B2C, le consentement préalable est la règle pour toute prospection électronique. Email, SMS et automate d'appel supposent un accord recueilli avant l'envoi, libre, spécifique et éclairé. La seule exception admise par la CNIL est l'exception client : vous pouvez adresser à un acheteur récent une offre portant sur des produits ou services analogues, à condition de l'en avoir informé au moment de l'achat et de lui laisser un moyen simple de s'y opposer dans chaque message.

Une case précochée, une mention noyée dans des conditions générales ou un accord déduit du silence ne valent pas consentement. En cas de contrôle, c'est à vous de démontrer quand et comment il a été recueilli.

Qu'est-ce qui change le 11 août 2026 pour le démarchage téléphonique ?

Depuis le 11 août 2026, appeler un particulier à des fins commerciales sans son consentement préalable est interdit. Le décret n°2026-662 du 23 juillet 2026, publié au Journal officiel le 25 juillet 2026 en application de la loi de 2025 contre les fraudes aux aides publiques, inverse la logique de Bloctel : ce n'est plus au consommateur de s'inscrire pour refuser les appels, c'est à l'entreprise d'obtenir un accord pour pouvoir appeler.

Les nouvelles règles côté particuliers

Le consentement doit être libre, spécifique, éclairé, univoque et révocable à tout moment. Il ne peut résulter ni d'une clause pré-rédigée ni d'une reconduction tacite, vaut un an et doit pouvoir être prouvé pendant trois ans. Les appels sont limités au lundi-vendredi hors jours fériés, de 10 h à 13 h et de 14 h à 20 h, avec quatre appels par mois au maximum par consommateur. Trois sujets restent interdits même avec un accord : rénovation énergétique, adaptation du logement et compte personnel de formation.

Et pour les appels à des professionnels ?

Le nouveau régime ne vise que les consommateurs : la téléprospection B2B reste possible sans consentement préalable, dans les mêmes conditions qu'avant le 11 août 2026. Vous devez vous identifier dès le début de l'appel, indiquer l'objet commercial de votre démarche et prendre acte immédiatement d'un refus. Si vos fichiers mélangent lignes professionnelles et lignes personnelles, par exemple celles d'artisans ou d'indépendants joints sur leur mobile privé, séparez-les avant d'appeler : c'est là que se situe le vrai risque de démarchage commercial non conforme.

Peut-on deviner l'adresse email professionnelle d'un prospect ?

Oui, mais sous conditions strictes depuis la position publiée par la CNIL le 16 octobre 2026. Reconstituer une adresse à partir d'un format repéré ailleurs, du type prenom.nom@entreprise.com, peut s'appuyer sur l'intérêt légitime, à condition de passer un test en trois temps : un intérêt réel à contacter la personne, des attentes raisonnables de sa part, et une absence d'atteinte disproportionnée à ses droits.

Le deuxième critère est le plus discriminant. Une personne dont la fonction est publique sur internet peut raisonnablement s'attendre à être contactée dans un cadre professionnel ; une personne sans présence identifiable en ligne, ou qui a restreint l'accès à ses données, ne peut pas s'y attendre : la reconstitution devient alors irrégulière sans son consentement. La CNIL demande deux garanties supplémentaires : limiter la durée de conservation des adresses reconstituées et permettre une opposition immédiate à toute reconstitution future. Relisez votre méthode pour trouver les adresses mail des entreprises à l'aune de ces deux points.

Prospection, message transactionnel ou relationnel : comment la CNIL les distingue-t-elle ?

La CNIL a posé le 10 juin 2026 une distinction en trois catégories, parce que le régime juridique n'est pas le même selon la nature du message envoyé. C'est le point le plus utile à connaître pour une équipe qui utilise le même outil d'emailing pour tout.

• Prospection commerciale : tout message qui pousse à consommer davantage, à souscrire une offre ou qui valorise l'image de l'entreprise. Consentement requis en B2C, intérêt légitime encadré en B2B.
• Communication transactionnelle : message nécessaire à l'exécution du contrat ou du service (confirmation de commande, alerte, réinitialisation de mot de passe). Aucun consentement nécessaire.
• Communication relationnelle : message d'accompagnement de la relation client, sans intention promotionnelle directe (conseil d'usage, gestion du compte). Aucun consentement nécessaire.

Le piège est la requalification : ajouter une offre commerciale à un email de confirmation en fait de la prospection, qui exige alors un consentement que vous n'avez pas. Gardez les messages de service et les messages commerciaux dans des campagnes distinctes.

Quelles obligations s'appliquent à toutes vos campagnes ?

Trois obligations s'imposent quelle que soit la cible et quel que soit le canal : vous identifier clairement, offrir une opposition simple, et enregistrer durablement les refus. Elles valent pour un email de masse comme pour un appel passé à la main.

• Identité claire de l'expéditeur : l'entreprise pour le compte de laquelle la prospection est émise doit être nommée. Les faux noms d'expéditeur et les adresses trompeuses sont interdits.
• Droit d'opposition immédiat : chaque email ou SMS doit comporter un lien de désinscription visible ou une mention de type « STOP SMS », et la demande doit être exécutée sans délai.
• Traçabilité des sources : vous devez pouvoir dire, pour chaque contact, d'où vient la donnée et sur quelle base vous le sollicitez. C'est ce point qui rend risqué le fait d'acheter une base d'emails dont le vendeur ne documente ni l'origine ni la date de collecte.

La liste repoussoir, l'outil que la CNIL recommande

Retirer une adresse d'un outil ne suffit pas : réimportée au prochain fichier, la sollicitation repart et l'infraction est caractérisée. La CNIL recommande de tenir une liste repoussoir, le registre des personnes qui se sont opposées, consulté avant chaque envoi et chaque campagne d'appels. C'est le seul dispositif qui tient quand les fichiers passent d'un prestataire à un CRM puis à un outil d'emailing.

Bon à savoir

Les chiffres Oliverlist : seule 15 % des réponses à un email de prospection sont positives ; 70 % sont des refus ou des demandes de désinscription. (Baromètre Oliverlist de la prospection B2B 2026, octobre 2025 – septembre 2026, 187 308 emails analysés chez 354 clients.) Autrement dit, votre canal de désinscription est sollicité cinq fois plus souvent que votre canal commercial : il doit fonctionner parfaitement.

Combien de temps peut-on conserver les données d'un prospect ?

Trois ans au maximum pour un prospect qui n'est pas devenu client, à compter de la collecte ou du dernier contact venant de lui (un clic, une réponse, une demande de devis). Pour un client, les données utilisées en prospection se conservent jusqu'à trois ans après la fin de la relation commerciale. Au-delà, il faut supprimer ou archiver, ce qui impose un nettoyage régulier des bases.

Quelles sanctions la CNIL peut-elle prononcer ?

Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. La CNIL dispose aussi de la mise en demeure publique, dont l'effet sur la réputation dépasse souvent celui de l'amende. Pour le démarchage téléphonique des particuliers, le nouveau régime ajoute, selon les services de l'État, une amende pouvant atteindre 75 000 € pour une personne physique et 375 000 € pour une personne morale.

Bon à savoir

La CNIL a sanctionné la société Futura Internationale de 500 000 € d'amende par sa délibération SAN-2019-010 du 21 novembre 2019. Le dossier portait notamment sur des appels de prospection poursuivis malgré des refus explicites : les demandes d'opposition ne circulaient pas entre l'entreprise et ses centres d'appels. C'est exactement le scénario qu'une liste repoussoir partagée évite.

Questions fréquentes

Le cold emailing B2B est-il légal en France ?

Oui. Envoyer un premier email à un professionnel sans accord préalable est licite si l'offre concerne son activité, si vous indiquez qui vous êtes et d'où vient son adresse, et si chaque message contient un moyen simple de se désinscrire. En B2C, le même email est interdit sans consentement recueilli avant l'envoi.

Puis-je encore appeler un professionnel sans son accord après le 11 août 2026 ?

Oui. Le consentement préalable instauré le 11 août 2026 ne concerne que les appels aux consommateurs. Les appels vers des professionnels, sur leur ligne professionnelle et pour un sujet lié à leur fonction, restent possibles sans accord préalable, avec identification de l'appelant et prise en compte immédiate d'un refus.

Faut-il encore interroger Bloctel ?

Pour les particuliers, la question ne se pose plus dans les mêmes termes : l'absence d'inscription sur une liste d'opposition ne vaut plus accord, c'est le consentement qui conditionne l'appel. En pratique, la seule base fiable est désormais votre propre registre de consentements, doublé d'une liste repoussoir des refus.

Comment prouver un consentement en cas de contrôle ?

La charge de la preuve pèse sur l'annonceur. Conservez l'horodatage du recueil, le support utilisé, le texte exact affiché à la personne et une trace technique de validation. Un consentement que vous ne pouvez pas rattacher à un formulaire daté et à un libellé précis est considéré comme inexistant.

Règles de la CNIL pour la prospection commerciale : ce qu'il faut retenir

Le cadre 2026 se résume à une idée simple : plus la cible est un particulier, plus il faut un accord écrit et traçable ; plus elle est un professionnel sollicité sur sa fonction, plus l'intérêt légitime suffit, à condition d'être transparent et de respecter les refus sans délai.