Un email envoyé sans base légale, un SMS sans lien de désinscription, un fichier acheté sans traçabilité : ces trois erreurs suffisent à transformer une campagne de prospection en dossier de sanction CNIL. Entre RGPD, directive ePrivacy et code des postes et communications électroniques, les règles varient selon le canal utilisé et selon que l’on s’adresse à des particuliers ou à des professionnels. Ce guide détaille, étape par étape et canal par canal, ce qu’il faut vérifier avant de lancer une action commerciale, pour concilier performance et conformité.
- Le consentement préalable (opt-in) est obligatoire pour l’email et le SMS en B2C, sauf exception pour les clients existants sur des produits analogues.
- En B2B, l’intérêt légitime permet de prospecter par voie électronique à condition d’informer la personne et de lui offrir un droit d’opposition (opt-out) facilement accessible.
- La prospection téléphonique impose de purger les fichiers via Bloctel pour les particuliers, sous peine de sanctions.
- Toute collecte, achat ou réutilisation de données doit être documentée : source, date, preuve du consentement ou de l’information délivrée.
- L’identification claire de l’expéditeur et le respect du droit d’opposition sont des obligations transversales à tous les canaux.
Table des matières
Prospection commerciale : définition et périmètre des règles
La prospection commerciale désigne toute action visant à contacter une personne physique ou morale dans le but de lui proposer un produit ou un service, sans qu’une relation contractuelle préexistante ne l’autorise automatiquement. Elle englobe l’email, le SMS, l’appel téléphonique, le courrier postal, les messageries instantanées, les notifications push et, de plus en plus, les réseaux sociaux. Dès qu’une entreprise collecte, conserve ou exploite des coordonnées à cette fin, elle réalise un traitement de données personnelles au sens du RGPD, ce qui déclenche un ensemble d’obligations précises.
Prospection versus gestion de la relation client
Il faut distinguer la prospection, qui vise à conquérir de nouveaux clients ou à réactiver des contacts froids, de la gestion de la relation client, qui concerne les échanges liés à l’exécution d’un contrat en cours. Un email de confirmation de commande ou une relance de facture impayée ne relève pas des mêmes règles qu’une offre commerciale non sollicitée. Cette frontière conditionne directement la base légale mobilisable et le niveau de formalisme exigé.
Un cadre juridique à plusieurs strates
Trois textes se combinent : le RGPD, qui fixe les principes généraux de protection des données personnelles ; la directive ePrivacy, transposée en droit français dans le code des postes et des communications électroniques, qui encadre spécifiquement les communications électroniques ; et les recommandations opérationnelles de la CNIL, qui précisent l’application concrète de ces textes à la prospection. Ce triptyque impose de vérifier, pour chaque canal et chaque cible, la base légale, l’information délivrée et les modalités d’exercice des droits.
Cette architecture réglementaire conduit à une question centrale pour tout responsable de traitement : quelle base légale mobiliser selon que l’on s’adresse à des particuliers, à des professionnels ou à des clients déjà acquis.
Quelle base légale pour prospecter selon le contexte (b2b, b2c, clients)
La base légale de la prospection commerciale n’est pas unique : elle dépend du statut du destinataire et du canal utilisé. Deux fondements juridiques dominent : le consentement (opt-in) et l’intérêt légitime assorti d’un droit d’opposition (opt-out).
Prospection b2c : le consentement préalable comme règle
Pour toute prospection électronique (email, SMS) adressée à des particuliers, le consentement préalable est requis avant tout envoi. La personne doit avoir explicitement accepté de recevoir des sollicitations commerciales, généralement via une case à cocher non pré-cochée lors d’un formulaire de collecte. Il existe toutefois une exception notable : si la personne est déjà cliente, l’entreprise peut lui adresser des offres sans nouveau consentement, à condition que les produits ou services proposés soient analogues à ceux déjà achetés. Dans ce cas, la base légale devient l’intérêt légitime, et un mécanisme de désinscription simple doit être proposé à chaque envoi.
Prospection b2b : l’intérêt légitime encadré
Envers des professionnels, la prospection électronique repose sur l’intérêt légitime, avec droit d’opposition, pour les clients comme pour les prospects. Deux conditions cumulatives s’imposent :
- l’objet de la sollicitation doit avoir un lien direct avec l’activité professionnelle de la personne contactée ;
- la personne doit avoir été informée, dès la collecte de ses coordonnées, qu’elles pourraient servir à de la prospection et qu’elle dispose d’un droit d’opposition.
Un détail technique mérite d’être signalé : les adresses génériques de type contact@ ou info@ ne sont pas considérées comme des données à caractère personnel, dans la mesure où elles ne permettent pas d’identifier un individu précis. Elles échappent donc, selon cette lecture, aux règles CNIL applicables aux données personnelles, ce qui offre une marge de manœuvre pour le cold emailing b2b ciblant des adresses fonctionnelles plutôt que nominatives.
Cas particuliers et zones grises
La notion de « produits ou services analogues » reste appréciée au cas échéant : un fournisseur de logiciels de comptabilité peut relancer un client sur une mise à jour, mais pas nécessairement sur une offre de formation sans lien direct. De même, un changement d’activité professionnelle du destinataire peut faire tomber la justification de l’intérêt légitime en B2B. Ces zones grises imposent une documentation rigoureuse des choix effectués.
Une fois la base légale identifiée, encore faut-il l’appliquer correctement à chaque canal de contact, car les obligations pratiques diffèrent sensiblement entre email, SMS, téléphone, courrier et réseaux sociaux.
Règles par canal : email, sms, téléphone, courrier, réseaux sociaux
Chaque canal de prospection obéit à des règles spécifiques, héritées du code des postes et des communications électroniques et des recommandations de la CNIL.
Email et sms marketing
Pour les particuliers, l’opt-in est obligatoire avant tout envoi. Pour les professionnels, l’opt-out s’applique sous réserve des deux conditions évoquées précédemment. Dans tous les cas, chaque message doit comporter un lien ou un moyen simple de désinscription, ainsi qu’une identification claire de l’expéditeur : masquer l’identité de l’annonceur derrière un nom générique ou trompeur est interdit. Le cold emailing b2b, très utilisé en prospection commerciale, doit donc respecter ce triptyque : lien direct avec l’activité professionnelle, information sur le droit d’opposition, et mécanisme de désabonnement opérationnel dès le premier envoi.
Prospection téléphonique
Le démarchage téléphonique ne requiert pas de consentement préalable, mais la personne doit être informée de son droit d’opposition au moment de la collecte de ses données. Pour les particuliers, une obligation légale impose de purger les fichiers d’appels via la liste d’opposition Bloctel, active depuis 2016, avant chaque campagne. Ne pas retirer les numéros inscrits expose à des sanctions. Un changement réglementaire est prévu au 11 août 2026 pour la prospection téléphonique sans automate d’appel, ce qui invite les équipes commerciales à anticiper une mise à jour de leurs procédures.
Courrier postal et réseaux sociaux
La publicité par courrier postal suit une logique proche du téléphone : pas de consentement préalable obligatoire, mais une information claire et un droit d’opposition simple et gratuit à exercer. Sur les réseaux sociaux, la prospection via messages privés ou notifications push relève des mêmes principes que l’email dès lors qu’elle constitue une communication électronique individualisée : information préalable, identification de l’émetteur et possibilité de s’opposer.
| Canal | Cible | Base légale | Obligation clé |
|---|---|---|---|
| Email / SMS | B2C | Consentement (opt-in) | Case non pré-cochée, lien de désinscription |
| Email / SMS | B2B | Intérêt légitime (opt-out) | Lien avec l’activité, information à la collecte |
| Téléphone | B2C | Intérêt légitime + opposition | Purge Bloctel obligatoire |
| Courrier postal | B2C / B2B | Intérêt légitime | Information et opposition gratuite |
Respecter ces règles par canal suppose de disposer de fichiers eux-mêmes conformes : la manière dont les données ont été collectées ou acquises conditionne toute la légalité de la campagne.
Collecte et achat de fichiers : ce que vous pouvez utiliser, et ce que vous devez prouver
La qualité juridique d’une campagne de prospection se joue souvent en amont, au moment de la constitution du fichier. Trois sources principales coexistent : la collecte directe, l’achat ou la location de bases, et la réutilisation de données publiquement accessibles.
Collecte directe : formulaires, salons, cartes de visite
Lorsqu’une entreprise collecte elle-même les coordonnées, via un formulaire web, un salon professionnel ou l’échange de cartes de visite, elle doit informer la personne dès cet instant de la finalité de prospection et de son droit d’opposition. Cette information peut figurer dans les mentions légales du formulaire ou être communiquée oralement lors d’un événement, à condition d’en garder une trace écrite (script, mention sur le support de collecte).
Achat et location de fichiers
La vente de fichiers clients n’est pas interdite par le RGPD, mais elle est soumise à des obligations précises. L’acheteur comme le vendeur doivent s’assurer que les personnes concernées ont été informées, au moment de la collecte initiale, que leurs données pourraient être transmises à des partenaires à des fins de prospection. La transmission, qu’elle soit payante ou gratuite, engage la responsabilité de l’entreprise qui achète le fichier : elle doit pouvoir démontrer la légitimité de la source, sous peine d’être considérée comme responsable de traitement d’une base non conforme.
Réutilisation de données publiques et notion de preuve
Des données publiées sur un site internet, un annuaire professionnel ou un réseau social restent des données personnelles. Leur réutilisation pour constituer un fichier de prospection doit respecter les mêmes principes RGPD que toute autre collecte, notamment l’information des personnes concernées. La preuve du consentement ou de l’information délivrée devient alors l’élément central de toute défense en cas de contrôle : date de collecte, source précise, formulation exacte des mentions affichées, journal des consentements enregistrés. Sans cette traçabilité, une entreprise ne peut pas justifier la légalité de son fichier, même si les données proviennent d’un partenaire de bonne foi.
- Documenter systématiquement la source de chaque contact (formulaire, salon, achat, partenaire).
- Conserver une preuve horodatée du consentement ou de l’information délivrée.
- Vérifier les clauses contractuelles avec les fournisseurs de bases achetées.
Au-delà de la collecte, un socle d’obligations communes s’applique à l’ensemble du cycle de vie des données, de l’information des personnes à leur sécurisation.
Obligations CNIL/RGPD communes : information, opposition, conservation, sécurité
Indépendamment du canal ou de la base légale retenue, plusieurs obligations transversales structurent toute démarche de prospection conforme.
Information des personnes
Chaque personne dont les données sont traitées doit recevoir une information claire portant sur : la finalité du traitement, la base légale mobilisée, la durée de conservation des données, ses droits (accès, rectification, opposition, effacement), l’existence éventuelle de transferts internationaux et la présence de mécanismes de profilage. Cette information doit être accessible dès la collecte, dans une politique de confidentialité ou une mention dédiée.
Droit d’opposition et gestion des retraits
Le droit d’opposition doit pouvoir s’exercer facilement et gratuitement, à tout moment. En pratique, cela implique un lien de désinscription fonctionnel pour l’email et le SMS, une mention claire pour le courrier postal, et un traitement rapide des demandes reçues par téléphone. Une fois qu’une personne s’est opposée, l’organisme ne doit plus la solliciter : c’est le principe de la liste repoussoir, qui recense en interne les personnes ayant exercé leur opposition pour éviter toute nouvelle sollicitation par le même émetteur.
Durée de conservation et sécurité des données
Les données de prospection ne peuvent pas être conservées indéfiniment. Une durée raisonnable, généralement alignée sur la durée d’inactivité du contact, doit être définie et appliquée. Sur le plan technique, la sécurité des données impose des mesures adaptées : accès restreint aux fichiers, chiffrement des bases sensibles, procédures de suppression effective après expiration du délai fixé.
Documentation interne : registre des traitements
Toute entreprise pratiquant la prospection doit tenir à jour un registre des traitements, recensant les finalités, les catégories de données, les destinataires et les durées de conservation. Ce document, exigé par le RGPD, sert de preuve de conformité en cas de contrôle de la CNIL et distingue clairement les rôles de responsable de traitement et de sous-traitant lorsque plusieurs prestataires interviennent, par exemple un outil d’emailing ou un centre d’appels externalisé.
Ces obligations communes prennent tout leur sens lorsqu’on les projette sur le déroulement réel d’une campagne de prospection, étape par étape.
Les 5 étapes clés de la prospection et les contrôles de conformité à chaque étape
Une campagne de prospection efficace suit généralement cinq étapes, chacune nécessitant un contrôle de conformité spécifique.
1. Ciblage
Définir le profil des cibles (B2B ou B2C, secteur, taille d’entreprise) détermine déjà la base légale applicable. Un ciblage B2B sur des adresses génériques limite les contraintes ; un ciblage B2C nominatif impose de vérifier l’existence d’un consentement.
2. Constitution de la liste
Cette étape exige de vérifier la source de chaque contact : collecte directe, achat, partenaire. Il faut s’assurer de disposer d’une preuve du consentement ou de l’information délivrée, et purger le fichier des personnes déjà inscrites sur Bloctel pour la téléphonie B2C.
3. Prise de contact
Le premier message ou appel doit comporter l’identification claire de l’émetteur, l’information sur la finalité de prospection et, selon le canal, un mécanisme de désinscription ou une mention du droit d’opposition.
4. Relances
Chaque relance doit respecter le rythme et le contenu autorisés : ne jamais recontacter une personne ayant exercé son opposition, et conserver un journal des oppositions à jour pour éviter toute sollicitation résiduelle.
5. Qualification et closing
Une fois le prospect qualifié, les données conservées doivent correspondre à la finalité initiale et respecter la durée de conservation prévue. Le passage au statut de client peut modifier la base légale applicable pour les communications futures.
Cette séquence en cinq étapes constitue le socle opérationnel minimal ; elle peut être enrichie par une approche structurée en piliers et en étapes plus détaillées pour optimiser la performance globale.
Les 4 piliers et les 7 étapes : structurer une prospection performante et conforme
Au-delà de la séquence de base, structurer durablement une activité de prospection commerciale suppose de s’appuyer sur des piliers stratégiques et une méthode plus fine.
Les 4 piliers de la prospection
- Ciblage : identifier les segments à fort potentiel, en cohérence avec la base légale disponible pour chacun.
- Proposition de valeur : adapter le message pour qu’il justifie, notamment en B2B, le lien direct avec l’activité professionnelle du destinataire.
- Cadence multicanale : combiner email, téléphone et réseaux sociaux en respectant les règles propres à chaque canal, sans jamais solliciter une personne opposée sur l’un des canaux via un autre.
- Mesure et itération : suivre les taux de désinscription et d’opposition comme des indicateurs de conformité autant que de performance.
Les 7 étapes détaillées
- Segmentation fine du marché cible.
- Constitution et vérification juridique du fichier.
- Rédaction des messages avec mentions obligatoires.
- Premier contact multicanal.
- Gestion des relances et du droit d’opposition.
- Qualification et transformation en client.
- Analyse des résultats et mise à jour du registre des traitements.
Chacune de ces étapes intègre un réflexe conformité : la segmentation doit exclure les listes d’opposition, la rédaction des messages doit inclure les mentions RGPD, et l’analyse finale doit vérifier que les durées de conservation ont été respectées.
Cette méthode structurée réduit les risques, mais certaines erreurs reviennent fréquemment et méritent une vigilance particulière avant tout lancement de campagne.
Check-list opérationnelle et erreurs fréquentes qui exposent aux sanctions
Avant de lancer une campagne, une vérification systématique par canal permet d’éviter les manquements les plus courants.
Check-list par canal
- Email/SMS B2C : consentement opt-in vérifié, lien de désinscription fonctionnel, identification claire de l’expéditeur.
- Email/SMS B2B : lien direct avec l’activité professionnelle, information sur le droit d’opposition à la collecte.
- Téléphone B2C : fichier purgé via Bloctel avant chaque campagne.
- Courrier postal : information préalable et opposition gratuite mentionnée.
- Tous canaux : preuve de la source et de la date de collecte conservée dans le registre des traitements.
Erreurs fréquentes constatées
Plusieurs manquements reviennent régulièrement dans les dossiers examinés par la CNIL : l’utilisation de bases achetées sans vérification de leur conformité, l’absence totale de preuve du consentement ou de l’information délivrée, la poursuite de relances après une opposition exprimée, et l’omission de la liste repoussoir. Ces négligences exposent à des plaintes de particuliers, à des contrôles CNIL et à des sanctions financières proportionnées à la gravité du manquement.
Une entreprise qui documente chaque étape, purge régulièrement ses fichiers et respecte les mécanismes d’opposition limite fortement son exposition, tout en préservant la performance de ses campagnes.
FAQ
Quelle est la base légale de la prospection commerciale ?
Elle dépend du canal et du destinataire : consentement préalable (opt-in) pour l’email et le SMS en B2C, intérêt légitime avec droit d’opposition (opt-out) pour le B2B et pour les clients existants sollicités sur des produits analogues.
Quelles sont les 5 étapes clés de la prospection commerciale ?
Ciblage, constitution de la liste, prise de contact, relances, puis qualification et closing, chaque étape nécessitant un contrôle de conformité spécifique.
Quels sont les 4 piliers de la prospection ?
Le ciblage, la proposition de valeur, la cadence multicanale et la mesure avec itération constante des résultats.
Quelles sont les 7 étapes de la prospection commerciale ?
Segmentation, constitution du fichier, rédaction des messages, premier contact, gestion des relances, qualification/transformation, puis analyse des résultats et mise à jour du registre des traitements.
Prospecter légalement ne relève pas d’une contrainte accessoire : c’est un facteur de performance durable, qui protège l’entreprise des sanctions tout en renforçant la confiance des personnes contactées.
