Prospecter est permis par le RGPD. Ce qui change d'une campagne à l'autre, c'est la règle à appliquer : consentement préalable (opt-in) ou simple droit d'opposition (opt-out). Elle dépend de deux variables seulement, la cible (un particulier ou un professionnel) et le canal (email, SMS, téléphone, courrier). Trois textes se partagent le sujet : le RGPD pour la base légale, l'information et les droits ; l'article L34-5 du code des postes et des communications électroniques (CPCE) pour les canaux électroniques ; l'article L223-1 du code de la consommation pour le téléphone, dont le régime a basculé le 11 août 2026.
Ce guide pose le cadre commun à toute prospection commerciale. Les règles propres à chaque cible sont détaillées dans deux guides dédiés : prospection B2B et RGPD et prospection BtoC et RGPD.
Prospection commerciale et RGPD : trois textes, un seul cadre
Le RGPD : base légale, information et droits
Dès qu'un fichier de prospection contient le nom, l'email professionnel ou le numéro de téléphone d'une personne physique, le RGPD s'applique, y compris en B2B. Trois exigences en découlent.
- Une base légale : en prospection, c'est soit le consentement (article 6.1.a), soit l'intérêt légitime (article 6.1.f). Le considérant 47 du RGPD indique que la prospection peut être considérée comme répondant à un intérêt légitime. Pour choisir entre les six bases, voir notre guide sur quelle base légale s'appuyer.
- Une information délivrée à la collecte (article 13) ou, quand les données viennent d'un tiers, au plus tard au premier contact (article 14).
- Un droit d'opposition absolu : l'article 21.2 permet à toute personne de s'opposer à tout moment à la prospection, sans avoir à se justifier, et l'article 21.3 impose alors l'arrêt du traitement à cette fin.
Le CPCE et le code de la consommation : la règle par canal
Le RGPD ne dit pas, à lui seul, quand le consentement est obligatoire. Ce sont deux textes spéciaux qui tranchent :
- Article L34-5 du CPCE : la prospection directe par courrier électronique, SMS-MMS ou automate d'appel vers une personne physique exige en principe son consentement préalable. Deux tempéraments : l'exception client, et la doctrine de la CNIL qui admet l'opt-out pour un professionnel sollicité sur son métier (voir plus bas).
- Article L223-1 du code de la consommation, modifié par la loi du 30 juin 2025 : depuis le 11 août 2026, un consommateur ne peut plus être démarché par téléphone sans consentement préalable, sauf si l'appel porte sur un contrat en cours. Le décret n° 2026-662 du 23 juillet 2026 fixe le contenu de la demande de consentement : identité de l'appelant, nature des biens ou services, validité d'un an au plus, retrait possible à tout moment, accès à la preuve.
Le courrier postal reste, lui, régi par le seul RGPD : information à la collecte et droit d'opposition.
Opt-in ou opt-out : la règle selon la cible et le canal
Vers un particulier (BtoC)
- Email, SMS-MMS, automate d'appel : opt-in. Le consentement doit être libre, spécifique, éclairé et univoque, recueilli par une case dédiée non pré-cochée. L'acceptation de conditions générales ne suffit pas.
- Téléphone (appel humain) : opt-in depuis le 11 août 2026. Exceptions : appel portant sur un contrat en cours et en rapport avec son objet, fourniture de journaux et magazines, sollicitation non commerciale. Le démarchage reste totalement interdit dans la rénovation énergétique, l'adaptation du logement à la perte d'autonomie et le CPF.
- Courrier postal : opt-out. Information à la collecte et case d'opposition.
L'exception client du L34-5 permet d'écrire sans consentement à une personne déjà cliente, pour des produits ou services analogues fournis par la même entreprise. Elle ne couvre pas un simple compte créé sans achat (CNIL, délibération SAN-2021-008 du 14 juin 2021), ni les offres de partenaires (délibération SAN-2022-017 du 3 août 2022). La CJUE l'a en revanche admise pour un compte gratuit qui sert de levier à une offre payante du même éditeur (CJUE, 13 novembre 2025, Inteligo Media, C-654/23). Le détail par canal est dans notre guide prospection BtoC et RGPD.
Vers un professionnel (BtoB)
En B2B, la CNIL admet l'intérêt légitime, donc l'opt-out, pour l'email, le SMS et le téléphone, à une condition : le message doit être en rapport avec la profession de la personne démarchée. L'exemple de la CNIL : présenter un logiciel au directeur informatique d'une entreprise. Proposer des shampoings à un comptable sur son adresse professionnelle sort de ce cadre et relève du consentement.
Les adresses génériques de personnes morales (contact@, info@) ne sont pas soumises à ces règles, puisqu'elles ne désignent pas une personne physique. Pour la constitution d'un fichier B2B, les séquences de relance et l'usage de l'IA en prospection, voir notre guide prospection B2B et RGPD.
Les obligations communes à toute prospection
Informer dès la collecte
Quelle que soit la base légale, la personne doit savoir, au moment où ses coordonnées sont collectées, qu'elles serviront à la prospection et par quel canal. Chaque message doit ensuite indiquer l'identité de l'émetteur et offrir un moyen simple de ne plus être sollicité. La CNIL recommande une case décochée par défaut pour permettre l'opposition dès la collecte, par exemple : « Je m'oppose à ce que mes coordonnées postales soient utilisées pour recevoir des offres de la société X par courrier postal. »
Rendre l'opposition effective : la liste repoussoir
Un lien de désinscription ne suffit pas si l'adresse revient au prochain import de fichier. La CNIL recommande une liste repoussoir, conservée au minimum 3 ans, et suggère de n'y garder que l'empreinte (hash) de l'email ou du numéro plutôt que la donnée en clair. Cette liste ne peut servir à rien d'autre qu'à la gestion de l'opposition. Pour organiser le traitement des demandes, voir notre guide sur l'exercice des droits.
Conserver 3 ans, pas plus
Le référentiel de la CNIL sur la gestion des activités commerciales fixe la durée de conservation des données d'un prospect non client à 3 ans à compter de leur collecte ou du dernier contact émanant du prospect. Un clic sur un lien compte comme un contact ; la simple ouverture d'un email, non. Pour un client, les 3 ans courent à compter de la fin de la relation commerciale. Au terme du délai, on peut reprendre contact pour demander si la personne souhaite continuer à recevoir des offres ; sans réponse positive et explicite, les données sont supprimées. Détail dans notre guide sur la durée de conservation.
Fichiers achetés et données transmises à des partenaires
Acheter ou louer un fichier ne transfère pas la responsabilité : l'acheteur doit vérifier que les personnes ont été informées et, en BtoC électronique, qu'elles ont valablement consenti. Le 15 mai 2025, la CNIL a sanctionné SOLOCAL MARKETING SERVICES de 900 000 euros (délibération SAN-2025-001) pour avoir prospecté par SMS et email sur la base de consentements recueillis par des courtiers en données au moyen de formulaires trompeurs. En clôturant l'injonction le 17 septembre 2026 (délibération SAN-2026-012), elle a rappelé que l'entreprise reste responsable des consentements recueillis pour son compte, même avec un contrôle automatisé des formulaires de ses partenaires.
Mettre sa prospection en conformité : la méthode en 5 étapes
- Cartographier les campagnes : pour chaque campagne, noter la cible (BtoB ou BtoC), le canal et la source du fichier. C'est la ligne de votre registre des traitements.
- Fixer la base légale de chaque couple cible-canal : consentement ou intérêt légitime, selon les règles ci-dessus, et documenter le choix.
- Mettre à jour les formulaires et les messages : mention d'information, case de consentement ou d'opposition, identité de l'émetteur et lien de désinscription dans chaque envoi.
- Brancher la liste repoussoir sur chaque import : toute nouvelle liste est comparée aux oppositions avant le premier envoi.
- Purger à 3 ans : automatiser la suppression des prospects sans contact depuis 3 ans, et conserver la preuve des consentements recueillis.
En cas de manquement, l'article 83 du RGPD prévoit jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Pour suivre la conformité de vos traitements de prospection au quotidien, sans tableur, Leto tient le registre, les bases légales et les demandes d'opposition au même endroit : demandez une démo.
Questions fréquemment posées
Faut-il un consentement pour faire de la prospection commerciale ?
Pas toujours. Le consentement préalable est exigé pour prospecter un particulier par email, SMS, automate d'appel (article L34-5 du CPCE) et, depuis le 11 août 2026, par téléphone (article L223-1 du code de la consommation). Pour un professionnel sollicité sur un sujet lié à son métier, et pour le courrier postal, l'intérêt légitime suffit, à condition d'informer la personne et de lui permettre de s'opposer.
Peut-on envoyer un email de prospection à un professionnel sans son accord ?
Oui, si le message est en rapport avec sa profession. La prospection repose alors sur l'intérêt légitime : la personne doit être informée de l'usage de son adresse, et chaque email doit permettre de s'opposer simplement et gratuitement. Si le message n'a pas de lien avec son activité, le consentement redevient nécessaire.
Qu'est-ce qui a changé pour le démarchage téléphonique en 2026 ?
Depuis le 11 août 2026, en application de la loi du 30 juin 2025, un consommateur ne peut plus être appelé à des fins commerciales sans consentement préalable, sauf si l'appel porte sur un contrat en cours. Le décret n° 2026-662 du 23 juillet 2026 limite la validité du consentement à un an et impose d'en conserver la preuve au moins 3 ans. Le démarchage téléphonique des professionnels reste soumis à l'opt-out.
Combien de temps peut-on conserver les données d'un prospect ?
Trois ans à compter de la collecte ou du dernier contact émanant du prospect, selon le référentiel de la CNIL sur la gestion des activités commerciales. L'ouverture d'un email ne relance pas ce délai, un clic ou une demande de documentation oui.
Peut-on acheter un fichier de prospects ?
Oui, mais l'acheteur reste responsable. Il doit s'assurer que les personnes ont été informées de la transmission de leurs données et, pour une prospection électronique de particuliers, qu'elles ont valablement consenti à recevoir des offres de partenaires. La sanction de 900 000 euros prononcée contre SOLOCAL MARKETING SERVICES le 15 mai 2025 porte précisément sur ce point.
Que faire quand un prospect s'oppose à la prospection ?
Cesser immédiatement de le solliciter, quel que soit le canal, puisque l'article 21 du RGPD rend ce droit absolu en matière de prospection. Inscrivez son adresse ou son numéro dans une liste repoussoir, conservée au moins 3 ans selon la CNIL, pour qu'il ne soit pas réintégré au prochain import de fichier.
Les adresses génériques de type contact@ sont-elles concernées ?
Non. Selon la CNIL, les adresses génériques de personnes morales (contact@, info@, commande@) ne désignent pas une personne physique et ne sont pas soumises aux règles de consentement ou d'opposition de la prospection électronique. Une adresse nominative du type prenom.nom@societe.fr reste en revanche une donnée personnelle.
