Cold email B2B et RGPD : ce qui est légal, ce qui ne l’est pas
Oui, le cold email B2B est légal en France, à trois conditions : écrire à une personne sur son adresse professionnelle, au sujet de sa fonction, et lui permettre de s’opposer simplement à tout autre message. Dans ce cadre, le RGPD n’exige pas de consentement préalable, la base légale est l’intérêt légitime. En Belgique et au Luxembourg, la règle de base pour les adresses nominatives est le consentement, et il faut faire valider votre approche avant une campagne.
Ce que dit le RGPD
Le RGPD ne parle pas de cold email. Il encadre le traitement de données personnelles, et l’adresse prenom.nom@entreprise.fr en est une. Pour traiter cette donnée, il faut une base légale. Pour la prospection B2B, la base retenue est l’intérêt légitime, prévu à l’article 6 du règlement : une entreprise a un intérêt légitime à proposer ses services à des professionnels dont c’est le métier de les évaluer.
Cette base légale s’accompagne de trois obligations. Informer la personne de l’origine de ses données et de l’usage qui en est fait, au plus tard dans le premier message ou dans le mois qui suit la collecte (article 14). Lui permettre de s’opposer à tout moment, sans justification, et respecter cette opposition immédiatement (article 21). Et ne conserver les données que le temps nécessaire, ce que la CNIL fixe, pour des prospects, à trois ans après le dernier contact.
Ce que dit la loi française
En France, l’envoi d’emails de prospection est encadré par l’article L. 34-5 du Code des postes et des communications électroniques. La règle de base est le consentement préalable. La CNIL admet une exception pour la prospection entre professionnels : on peut écrire sans consentement à une personne sur son adresse professionnelle, à condition que le message concerne sa fonction, qu’elle ait été informée de l’usage de son adresse et qu’elle puisse s’y opposer facilement et gratuitement.
Trois exemples pour fixer les idées. Écrire à la directrice commerciale d’une PME, sur son adresse d’entreprise, pour lui proposer un service de prospection : autorisé. Écrire à la même personne sur son adresse Gmail personnelle trouvée sur un réseau social : interdit sans consentement. Écrire à un salarié pour lui proposer une assurance auto sans rapport avec son poste : interdit, le message ne concerne pas sa fonction.
Les adresses génériques (contact@, info@) ne sont pas des données personnelles. Elles échappent au RGPD, mais pas aux règles de bonne conduite : on s’identifie, et on cesse d’écrire dès qu’on le demande.
Belgique et Luxembourg
Les deux pays ont transposé la même directive européenne, avec des règles nationales plus strictes que la doctrine française. En Belgique, l’envoi à une adresse nominative suppose en principe le consentement, sauf pour les clients existants et pour les adresses impersonnelles de personnes morales. Le Luxembourg suit une logique proche. Avant une campagne sur ces marchés, faites valider votre approche par votre conseil : le risque n’est pas théorique, et les sanctions sont prononcées par l’autorité du pays du destinataire.
Ce qui n’est pas légal, même en B2B
- Continuer à écrire à quelqu’un qui a demandé l’arrêt des messages.
- Masquer l’identité de l’expéditeur ou utiliser une adresse de réponse qui n’existe pas.
- Utiliser une liste achetée sans savoir dans quelles conditions les adresses ont été collectées.
- Écrire sur une adresse personnelle obtenue sans consentement.
- Conserver les adresses indéfiniment après la fin de la campagne.
Comment VEKTA applique ces règles
Chez VEKTA, agence de prospection B2B, les campagnes s’adressent uniquement à des professionnels, sur leur adresse professionnelle, à propos de leur métier. Toute personne qui demande à ne plus être contactée est retirée des listes. Les campagnes sont conçues pour la France, la Belgique et le Luxembourg, et chaque situation particulière reste à valider avec votre propre conseil : ce qui précède décrit le cadre général et ne remplace pas un avis juridique.