Le cadre légal : CNIL, RGPD et droit d'opposition

L'article L34-5 du CPCE, le code qui encadre les communications électroniques, proscrit la prospection par e-mail vers une personne physique qui n'y a pas consenti au préalable. Le texte ne prévoit pas d'exception écrite pour les professionnels : c'est la CNIL qui l'admet. Selon sa fiche mise à jour le 10 juin 2026, la prospection auprès de professionnels peut reposer sur l'intérêt légitime quand l'objet du message est en rapport avec la profession de la personne : un logiciel de paie proposé à une directrice des ressources humaines, pas une offre de défiscalisation.

Chaque sollicitation doit permettre de connaître l'identité de l'organisation qui l'envoie et d'exprimer, par un moyen simple, le refus d'en recevoir d'autres, rappelle la CNIL. Le RGPD demande que le droit d'opposition soit signalé explicitement, au plus tard lors de la première communication, clairement et à part du reste. Quand les coordonnées n'ont pas été collectées auprès de la personne, il faut aussi lui dire d'où elles viennent et à quoi elles servent, dans le premier message au plus tard.

Les adresses génériques comme contact@ ou info@ désignent l'entreprise, une personne morale : la CNIL précise qu'elles échappent à ces règles. Une adresse personnelle (un Gmail privé, par exemple) n'est pas une adresse professionnelle : sans consentement préalable, n'y prospectez pas. Pour les adresses reconstituées sur le modèle prenom.nom@, la CNIL fixe ses limites dans une fiche d'octobre 2026, résumée dans la règle 02.

Une demande d'arrêt s'applique sans attendre, dans tous vos outils : tenez une liste d'opposition unique, que chaque logiciel consulte avant d'envoyer. Pour les gros expéditeurs, Yahoo exige que les désinscriptions soient honorées en deux jours et Google recommande 48 heures. Côté données, la CNIL fixe à trois ans, à compter de la collecte ou du dernier contact venu du prospect, la conservation des données d'un prospect ; une simple ouverture d'e-mail ne compte pas comme un contact.

Le RGPD plafonne les amendes de la CNIL à 20 millions d'euros ou, pour une entreprise, à 4 % de son chiffre d'affaires mondial de l'exercice précédent si ce second montant est plus élevé. Elle a sanctionné en mai 2025 la société Solocal Marketing Services (900 000 €) pour avoir démarché des prospects sans leur consentement avec des données achetées à des courtiers, et en décembre 2024 la société Kaspr (240 000 €) pour avoir collecté sur LinkedIn les coordonnées d'utilisateurs qui en avaient limité la visibilité. Les manquements à l'article L34-5 exposent aussi à une amende administrative allant jusqu'à 375 000 € pour une entreprise.