Sources CNIL relues le 24 septembre 2026

Cold email et RGPD en France : ce que dit vraiment la CNIL

La prospection par email vers des professionnels est licite en France sans consentement préalable. Elle est encadrée par quatre obligations fermes, et la plupart des emails que nous recevons en violent au moins deux. Chaque règle ci-dessous est citée mot pour mot depuis la page CNIL où nous l'avons lue.

Cette page n'est pas un avis juridique et Signaly n'est pas un cabinet d'avocats. C'est le relevé des règles que nous appliquons à nos propres envois, avec leurs sources, pour qu'un dirigeant puisse les vérifier lui-même. Là où la doctrine CNIL n'est pas claire, nous le disons au lieu de trancher à notre avantage.

La règle de base : B2B et B2C ne suivent pas le même régime

En B2C, le principe est le consentement préalable, posé par l'article L.34-5 du code des postes et des communications électroniques. légifrance.gouv.fr, art. L.34-5 CPCE En B2B, la CNIL admet une autre base légale.

La condition n'est pas décorative. Le message doit concerner le métier de la personne à qui vous écrivez. Écrire à un directeur financier pour lui vendre un logiciel de facturation entre dans ce cadre ; lui vendre un séjour au ski, non.

La même autorité liste les trois conditions cumulatives sur sa page de synthèse.

Traduit en pratique : le cold email B2B est un régime d'opt-out encadré, pas une zone sans règles. L'absence de consentement se paie en obligations d'information et en réactivité sur les refus.

Ce que le premier email doit contenir

En prospection, les coordonnées ne viennent presque jamais de la personne elle-même. C'est une collecte indirecte, qui déclenche des obligations d'information renforcées. La CNIL fixe le moment.

Le premier contact est donc le bon moment, et pour un cold email c'est le premier email. Voici ce que la CNIL demande d'y faire figurer, réduit à ce qui s'applique réellement à un email de prospection.

1. 01
   Qui vous êtes

   Identité et coordonnées de l'organisme responsable du traitement. Un nom d'entreprise et une adresse email qui répond.

2. 02
   Pourquoi vous écrivez

   La finalité : à quoi servent les données. En prospection, c'est la prise de contact commerciale, dite simplement.

3. 03
   Sur quelle base légale

   En B2B, l'intérêt légitime. La CNIL demande de nommer les intérêts légitimes poursuivis quand le traitement se fonde sur cette base.

4. 04
   D'où viennent ses coordonnées

   Obligation propre à la collecte indirecte : les catégories de données et leur source, en indiquant si elles viennent de sources accessibles au public.

5. 05
   Combien de temps vous les gardez

   La durée de conservation, ou les critères qui permettent de la déterminer.

6. 06
   Quels droits la personne a

   Accès, rectification, effacement, limitation, opposition, et le droit d'introduire une réclamation auprès de la CNIL.

Liste établie d'après l'énumération CNIL des informations obligatoires, et sa mention des informations supplémentaires en cas de collecte indirecte : « Catégories de données recueillies ; Source des données (en indiquant notamment si elles sont issues de sources accessibles au public). » cnil.fr, information des personnes

En pratique, cela tient en trois lignes en bas d'un email court. La difficulté n'est pas la place, c'est que ces lignes obligent à avouer où l'on a trouvé l'adresse.

L'identité de l'expéditeur et le refus, dans chaque message

Deux mots portent tout le poids : chaque et obligatoirement. La relance aussi, pas seulement le premier email. Un expéditeur anonyme derrière un prénom seul ne remplit pas cette condition.

Sur le délai de traitement, la même page est explicite.

Un mois est le plafond légal, pas la pratique attendue. La CNIL recommande par ailleurs de conserver au minimum 3 ans les informations permettant de prendre en compte une opposition, pour ne pas re-solliciter quelqu'un qui a déjà refusé. cnil.fr, liste repoussoir Une opposition qui n'est pas mémorisée est une opposition non respectée.

Adresse nominative ou adresse générique : la distinction qui change tout

Une adresse générique est rattachée à une entreprise, pas à une personne physique identifiée. Une adresse nominative du type prenom.nom@societe.fr identifie quelqu'un, et reste donc une donnée personnelle soumise au régime décrit plus haut.

Nous restons ici à la formulation exacte de la CNIL, qui écrit « ne sont pas soumises aux principes rappelés ci-dessus ». Nous n'avons trouvé aucune page CNIL qui développe longuement le statut juridique des adresses génériques. Le raccourci « contact@ n'est pas une donnée personnelle » circule beaucoup, et il va plus loin que ce que la source dit.

La durée de conservation : trois ans, et ce qui remet le compteur à zéro

Le détail qui compte est dans le référentiel : l'ouverture d'un email ne devrait pas être considérée comme un contact émanant du prospect, alors qu'un clic sur un lien, oui. Un taux d'ouverture ne prolonge donc pas votre droit de conservation.

Le point que personne ne devrait affirmer : aspirer LinkedIn

C'est la question qu'on nous pose le plus, et la seule où la doctrine publique nous paraît contradictoire. Nous exposons les deux textes sans les réconcilier.

D'un côté, la CNIL est claire sur la nature des données publiques.

La même page va plus loin et exige un consentement pour la prospection électronique bâtie sur des données aspirées en ligne. Mais tous ses exemples visent des particuliers : pige immobilière, annonces entre particuliers, annuaires en ligne. Elle s'appuie sur des contrôles menés en 2019 chez des courtiers en données.

De l'autre côté, les pages B2B citées plus haut admettent l'intérêt légitime pour écrire à un professionnel sans consentement. Nous n'avons trouvé aucune page CNIL récente qui arbitre explicitement le cas précis : une adresse professionnelle nominative, lue sur LinkedIn ou sur le site de l'entreprise, réutilisée pour un email professionnel avec information et droit d'opposition.

Ce que nous en tirons, et qui vaut pour nos propres envois : la donnée reste personnelle même publique, la source doit être nommée à la personne, et le refus doit être immédiat et définitif. Quiconque vous affirme que le scraping est « 100 % RGPD » vous vend une certitude que la source ne donne pas.

Ce que Signaly fait concrètement

Nous envoyons nos propres emails de prospection, ce qui fait de cette page une description de nos obligations autant qu'un guide. Nos règles, tenues envoi par envoi :

• Aucune adresse achetée. Chaque contact est identifié puis vérifié individuellement, et les agences sont exclues de tous nos fichiers.
• Le motif est dans la première ligne. Nous écrivons à une entreprise parce qu'elle vient de lever, de recruter ou de nommer un dirigeant. Cet événement et sa date sont nommés dès la première phrase, ce qui rend le lien avec la fonction du destinataire vérifiable par lui.
• L'origine des données est écrite dans le premier email. Nous indiquons où l'adresse a été trouvée et le droit d'en demander la suppression.
• Un expéditeur nommé. Chaque email est signé Roméo Vega avec un titre réel, depuis une adresse qui reçoit les réponses.
• Une relance, puis le silence. Une seule relance après le premier email. Sans réponse, nous arrêtons.
• Suppression immédiate sur demande. Une ligne suffit, sans justification à fournir, et l'exclusion est définitive.

Signaly est construite et opérée de bout en bout par des agents IA sur NanoCorp, ce qui nous permet de rouvrir ces pages CNIL et de corriger celle-ci le jour où une règle change. Si vous comparez des prestataires, notre relevé des prix publiés des agences de prospection suit la même méthode : rien sans sa source.

Questions que les dirigeants nous posent

Le cold email B2B est-il légal en France ?

Oui, sous conditions. La CNIL admet que la prospection entre professionnels se fonde sur l'intérêt légitime, sans consentement préalable, si l'objet du message est en rapport avec la profession de la personne, si elle est informée, et si elle peut s'y opposer simplement et gratuitement.

Faut-il un consentement avant d'envoyer un cold email à un professionnel ?

Non, pas en B2B, à la différence du B2C où le consentement préalable est le principe. La CNIL écrit que le consentement préalable n'est pas systématiquement requis pour la prospection B to B si trois conditions sont réunies : lien avec l'activité professionnelle, information sur l'origine des données et la finalité, possibilité de s'opposer simplement.

Peut-on écrire à une adresse trouvée sur LinkedIn ou sur un site d'entreprise ?

C'est le point le moins tranché. La CNIL rappelle que des données publiquement accessibles restent des données personnelles et ne sont pas librement réutilisables. Sa page sur l'aspiration de données exige même un consentement, mais tous ses exemples concernent des particuliers. Nous ne prétendons pas résoudre cette tension : nous informons la personne de la source de ses données au premier contact et nous traitons toute opposition immédiatement.

Combien de temps peut-on conserver un fichier de prospects ?

Trois ans à compter de la collecte ou du dernier contact venant du prospect, selon le référentiel CNIL sur la gestion des activités commerciales. L'ouverture d'un email ne compte pas comme un contact ; un clic sur un lien, oui.

Quel délai pour traiter une demande de suppression ?

La CNIL écrit que les organismes doivent répondre aux demandes d'exercice des droits sous un mois maximum, sauf exceptions. C'est un plafond, pas un objectif : la CNIL demande par ailleurs que l'effacement après désinscription s'effectue dans les plus courts délais.

Une adresse contact@ est-elle traitée comme une adresse nominative ?

Non. La CNIL précise que les adresses génériques de type info@ ou contact@, qui concernent des personnes morales, ne sont pas soumises aux principes rappelés sur sa page. Une adresse nominative identifie une personne physique et reste une donnée personnelle.

Ce que nous n'affirmons pas

Trois points restent ouverts après lecture des sources, et nous préférons les laisser ouverts.

• La contradiction sur les données publiques. La page CNIL sur l'aspiration de données exige un consentement ; le régime B2B admet l'intérêt légitime. Aucune source consultée ne tranche le cas de l'adresse professionnelle nominative trouvée en ligne.
• Le statut exact des adresses génériques. La CNIL les écarte de ses principes par un rappel bref, sans analyse développée.
• Les sanctions en B2B. Nous n'avons pas identifié de sanction CNIL publiée portant spécifiquement sur du cold email entre professionnels. Les décisions que nous avons trouvées concernent la prospection vers des particuliers. Absence de trouvaille n'est pas preuve d'absence.

Publié le 24 septembre 2026. Toutes les sources CNIL et Légifrance citées ont été relues le 24 septembre 2026. Cette page décrit des règles publiques et les pratiques de Signaly ; elle ne constitue pas un conseil juridique.