Le consentement : la règle qui change entre B2C et B2B
Pour prospecter un particulier par email, la CNIL impose un consentement préalable : la personne doit dire oui avant de recevoir le premier message commercial, pas après. Ce consentement doit être libre, spécifique, informé et non ambigu. Une case pré-cochée ne compte pas comme un accord, quelle que soit la mention à côté.
Pour prospecter un professionnel sur son adresse professionnelle, la règle s'assouplit : l'intérêt légitime suffit, à condition que le message reste en lien avec son activité et qu'il puisse s'y opposer facilement à tout moment. La CNIL, dans sa page de référence sur la prospection commerciale, distingue ces deux régimes sans les confondre.
L'exception client existant, souvent mal comprise
Une boutique peut recontacter un client déjà acheteur pour lui proposer des produits similaires, sans nouveau consentement. Deux conditions cependant : la personne doit avoir acheté un produit ou un service (créer un compte sans achat ne suffit pas), et elle doit avoir eu la possibilité de s'opposer à cet usage dès la collecte de son adresse, puis à chaque envoi.
Un visiteur qui crée un compte ou remplit un formulaire sans jamais acheter n'entre pas dans l'exception client existant. Lui envoyer des campagnes sans consentement séparé revient au même régime qu'un prospect inconnu : opt-in obligatoire.
Ce que chaque email doit contenir, sans exception
- L'identité claire de l'expéditeur (nom de la boutique, pas seulement une adresse générique)
- Un moyen simple et gratuit de s'opposer à de futurs envois, présent dans chaque message
- Une information claire sur l'usage fait des données collectées
- Une preuve conservée de l'origine du consentement (date, source, canal de collecte)
Une base de contacts sans traçabilité de son origine est présumée non conforme en cas de contrôle. La sanction vient rarement d'un email de trop envoyé : elle vient de l'incapacité à prouver le consentement, ou du non-respect d'une demande d'opposition.
Combien de temps garder une preuve, combien de temps garder un contact
La preuve du consentement (date, source, adresse IP le cas échéant) se conserve pendant la durée de la relation commerciale. Côté liste, un contact resté inactif pendant 3 ans sans clic, ouverture ni achat doit être supprimé ou recontacté pour un nouveau consentement.
Cette règle rejoint un sujet déjà traité sur ce blog : l'article la méthode en 3 étapes pour réveiller une liste email morte détaille comment relancer ces contacts avant l'échéance, plutôt que de les garder par défaut dans une base qui devient un risque plutôt qu'un actif.
Ce que ça coûte de se tromper
Ces trois sanctions visent des entreprises largement plus grandes qu'une boutique e-commerce moyenne, et le montant d'une amende dépend de la taille de l'entreprise et de la gravité du manquement. Elles montrent que la CNIL contrôle et sanctionne des pratiques de prospection email sur le terrain, pas seulement des cas emblématiques de grands groupes.
Checklist avant votre prochaine campagne
| À vérifier | Pourquoi |
|---|---|
| Origine du consentement tracée pour chaque contact | Une base sans traçabilité est présumée non conforme en cas de contrôle |
| Aucune case pré-cochée sur vos formulaires d'inscription | Un consentement obtenu ainsi n'est pas valide, quel que soit le texte affiché |
| Lien de désinscription présent et fonctionnel dans chaque email | Obligatoire dans tous les cas, y compris pour les clients existants |
| Contacts inactifs depuis 3 ans identifiés | À supprimer ou recontacter avant que la base entière soit fragilisée |
| Distinction claire entre prospects et clients existants dans votre outil | L'exception client existant ne s'applique qu'aux acheteurs réels |
La segmentation de votre liste aide sur ce dernier point : séparer prospects, clients ponctuels et clients récurrents rend visible, en un coup d'œil, quelle partie de la base relève de quel régime de consentement.
Ceci n'est pas un conseil juridique. Cet article résume des règles générales à partir de sources publiques (CNIL et sites spécialisés en droit du numérique), pour donner des repères, pas pour remplacer l'avis d'un avocat ou d'un délégué à la protection des données sur votre situation précise.
- Règles de consentement B2C/B2B, exception client existant, obligations de chaque message : CNIL, La prospection commerciale par courrier électronique, SMS-MMS et automate d'appel, mis à jour le 10/06/2026
- Confirmation indépendante des règles opt-in/opt-out et des deux exceptions : Leto Legal, Prospection email & SMS : règles RGPD, publié le 14/06/2026
- Durée de conservation (3 ans), sanctions Canal+ (600 000€) et Hubside.store (525 000€) : Données Personnelles, Email marketing et RGPD : règles, consentement et sanctions, mis à jour le 10/07/2026
- Sanction Futura Internationale (500 000€) : Données Personnelles, Prospection commerciale RGPD : sanctions et règles 2026, mis à jour le 10/07/2026