Prospecter en B2B dans les règles : ce que dit vraiment la CNIL

Presque tous les exploitants qui hésitent à envoyer leur premier email ont en tête une règle réelle, mais qui ne les concerne pas : celle du démarchage des particuliers. Pour un particulier, la publicité par voie électronique suppose un accord donné avant, par une action positive et spécifique. Une case à cocher dédiée, jamais pré-cochée, et l'acceptation de conditions générales ne suffit pas. La CNIL y prévoit deux exceptions, qui ne concernent pas un premier message à froid : la personne est déjà cliente et la sollicitation porte sur des produits ou services similaires, ou la sollicitation n'est pas de nature commerciale.

Pour un professionnel contacté sur son adresse professionnelle, le régime est différent. Le point de bascule n'est pas l'accord préalable, c'est le lien entre ce que tu proposes et ce que la personne fait dans son entreprise. La CNIL donne son propre exemple : un appel présentant les mérites d'un logiciel au directeur informatique d'une entreprise.

Concrètement, pour un lieu de loisirs : proposer une soirée d'équipe à la personne qui organise les événements internes d'une entreprise de deux cents salariés, c'est du B2B en rapport avec sa fonction. Envoyer la même offre à une adresse personnelle récupérée quelque part, c'est du B2C sans consentement, et là tu es en faute.

1. Vérifier que le message a un rapport avec la fonction. C'est la condition qui porte tout le reste. Elle se teste avec une question simple : est-ce que cette personne, dans son travail, a une raison de s'intéresser à ça ? Un responsable des ressources humaines, un office manager ou un élu du comité social et économique ont un budget et un mandat pour organiser des moments d'équipe. Un comptable qui n'a rien à voir avec ce sujet, non. Le ciblage n'est pas seulement une question d'efficacité, c'est ici la condition de licéité.

2. Informer la personne. Quand les données ne viennent pas de la personne elle-même, ce qui est le cas de toute prospection sortante, l'article 14 du RGPD impose de l'informer « au plus tard au moment de la première communication à ladite personne », et cette information inclut « la source d'où proviennent les données à caractère personnel ». En clair : dire d'où tu tiens ses coordonnées et vers quelle politique de confidentialité elle peut se tourner. Deux lignes en bas du message suffisent.

3. Permettre le refus, à chaque envoi. La CNIL est explicite : chaque sollicitation doit permettre à la personne « de prendre connaissance de l'identité de l'organisation qui l'émet ainsi que d'exprimer, si elle le souhaite et par un moyen simple, son refus de recevoir de nouvelles sollicitations ». Le lien de désinscription n'est donc pas une politesse de marketeur, c'est l'obligation elle-même. Le RGPD ajoute que ce droit doit être « explicitement porté à l'attention de la personne concernée » et présenté « clairement et séparément de toute autre information ».

4. Respecter l'opposition, définitivement. L'article 21 du RGPD ne laisse aucune marge sur ce point : « Lorsque la personne concernée s'oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins. » Pas de relance « au cas où », pas de nouvelle campagne six mois plus tard. C'est la seule règle de cette page dont le non-respect est visible de l'extérieur, et donc la plus facile à te reprocher.

La durée de conservation est l'obligation la plus oubliée, parce qu'elle ne se voit jamais au moment de l'envoi. Le référentiel de la CNIL relatif aux traitements mis en œuvre aux fins de gestion des activités commerciales pose la règle pour un contact qui n'est jamais devenu client : les données « peuvent être conservées pendant un délai de trois ans à compter de leur collecte par le responsable de traitement ou du dernier contact émanant du prospect ».

Le même texte précise ce qui compte comme contact, et c'est plus restrictif qu'on ne l'imagine : une demande de documentation ou un clic sur un lien, oui ; « en revanche, la simple ouverture d'un courriel ne devrait pas être considérée comme un contact émanant du prospect ». Un contact qui ouvre tes messages sans jamais y réagir ne remet donc pas le compteur à zéro.

Au terme des trois ans, le référentiel indique que tu peux reprendre contact pour demander à la personne si elle souhaite continuer à recevoir des sollicitations. Sans réponse positive et explicite, il faut supprimer les données ou les archiver. Ce sont des durées recommandées par la doctrine de la CNIL : tu peux t'en éloigner, à condition de documenter ton choix.

Il existe une catégorie d'adresses qui sort du cadre. La CNIL l'écrit noir sur blanc : « Les adresses génériques de type info[@]nomsociete.fr, contact[@]nomsociete.fr ou commande[@]nomsociete.fr, qui concernent de personnes morales, ne sont pas soumises aux principes rappelés ci-dessus. » La logique est simple : derrière une adresse de rôle, il n'y a pas de personne physique identifiée, donc pas de donnée personnelle.

Deux raisons de ne pas en faire une stratégie. La première est juridique : dès que tu écris à une personne nommée, y compris sur une adresse d'entreprise du type prenom.nom@societe.fr, tu es revenu dans le cadre complet. La seconde est commerciale : une boîte générique est relevée par quelqu'un qui n'a ni le budget ni le mandat pour organiser un séminaire. Tu gagnes une exemption et tu perds ta vente.

La répartition compte, parce qu'elle détermine qui répond en cas de réclamation. Tu es responsable de traitement : c'est toi qui décides qui contacter et ce que tu leur dis. slotup est sous-traitant au sens de l'article 28 du RGPD. Le tableau ci-dessous inclut donc aussi ce que le produit ne fait pas.

Le détail des sous-traitants, des durées et des droits est dans la politique de confidentialité. Si un point de ce tableau devient faux, c'est cette page qui doit changer, pas la réalité qu'on arrondit.

Dernier point, et il vaut d'être dit clairement : la base légale ne dépend pas de l'outil. Que tu envoies depuis slotup, depuis un outil généraliste comme Lemlist ou depuis ta propre boîte, c'est l'intérêt légitime dans les deux cas, et c'est toi qui réponds. Un logiciel peut te rendre les gestes plus faciles, il ne prend pas ta place.

La conformité n'est pas la question difficile. La question difficile arrive juste après : à qui écrire, quoi lui proposer, et à quel prix. Les guides par activité traitent le message métier par métier, et le comparatif abonnement ou commission traite ce que ça te coûte selon le modèle choisi.

Et si tu hésites encore à t'y mettre, regarde d'abord le problème plutôt que la solution : les taux de remplissage du secteur montrent l'écart entre le week-end et la semaine, et le calculateur de créneaux vides chiffre ce que cet écart te coûte sur une année, à partir de tes propres horaires.

Toutes les citations entre guillemets de cette page sont des extraits littéraux des textes ci-dessous, consultés le 28 août 2026.

• CNIL, La prospection commerciale par courrier électronique, SMS-MMS et automate d'appel (mise à jour affichée : 10 juin 2026). Régime B2C et B2B, adresses génériques, obligation de refus simple.
• CNIL, Référentiel relatif aux traitements mis en œuvre aux fins de gestion des activités commerciales (PDF) Délibération n° 2021-131 du 23 septembre 2021. Durées de conservation et sous-traitance.
• Texte du RGPD, chapitre 2 (article 6, licéité du traitement) publié par la CNIL.
• Texte du RGPD, chapitre 3 (articles 14 et 21, information et opposition) publié par la CNIL.

Cette page est une explication de la règle, pas une consultation juridique. En cas de doute sur ta situation, la source fait foi et un avocat tranche.