CNIL et démarchage par email : les sanctions à connaître en 2026

Ce que tu risques vraiment en 2026 (chiffres officiels CNIL)

En 2025, la CNIL a infligé 44 millions d'euros d'amendes liées à la prospection commerciale par email. La plupart concernent des cas tordus (B2C, données revendues), mais le démarchage B2B agressif n'est plus à l'abri.

Voici les vraies règles, les vrais montants, et comment rester du bon côté.

Cadre légal : RGPD + LCEN + ePrivacy

Le démarchage par email en France est encadré par 3 textes :

1. RGPD (2018) : traitement des données personnelles (consentement, finalité, durée)

2. LCEN (2004) : encadre les prospects par mail (article L34-5)

3. Directive ePrivacy : opt-in obligatoire dans la majorité des cas

B2B vs B2C : la différence cruciale

Conclusion : prospecter en B2B vers des emails pros est légal, à condition de respecter 4 règles.

Les 4 règles d'or du cold email B2B légal

1. Rapport avec l'activité professionnelle

L'email envoyé doit avoir un lien direct avec l'activité de la personne. Tu peux contacter le DAF d'une PME pour parler logiciel comptable, pas pour lui vendre une cuisine équipée.

2. Mention du nom de l'expéditeur (et de l'entreprise)

Le nom et l'entreprise expéditrice doivent être clairement identifiables. Pas d'expéditeur masqué, pas de fausse identité.

3. Lien de désabonnement fonctionnel

Présent dans chaque email, en clair, fonctionnel. Une simple ligne en bas type "Pour ne plus recevoir nos emails, cliquez ici" suffit.

4. Respect des opt-out (sous 48h)

Quand quelqu'un demande à se désinscrire, tu as 48h max pour le retirer de toutes tes listes. Et tu ne peux plus le contacter sous AUCUNE forme.

Les pièges qui coûtent cher

Piège #1 : utiliser des emails personnels (@gmail, @hotmail)

Même si la personne est une professionnelle, dès que l'email est personnel, la jurisprudence considère que c'est du B2C → opt-in obligatoire → cold email = sanctionnable.

Comment l'éviter : utiliser un outil avec filtre RGPD intégré qui exclut automatiquement les emails personnels. Sur Volia c'est activé par défaut, on bloque 28 domaines personnels.

Piège #2 : email "personnalisé" sans rapport avec l'activité

Un sales tech qui prospecte des médecins libéraux pour leur vendre du CRM B2B → assignation devant la CNIL en 2024, 5 000 € d'amende.

Piège #3 : oublier de tenir un registre opt-out

La CNIL contrôle aussi la traçabilité : si tu ne peux pas prouver qu'un opt-out a bien été pris en compte, tu prends l'amende.

Piège #4 : revendre ou partager des listes

Acheter une base de leads à un broker qui n'a pas le consentement = automatiquement illégal. La CNIL traque ces revendeurs et remonte aux acheteurs.

Les vraies amendes (exemples 2024-2025)

Plafond théorique : 20 millions d'euros ou 4% du CA mondial (article 83 RGPD), mais en pratique les amendes restent proportionnées.

Check-list rapide avant ta prochaine campagne

• [ ] Mes prospects sont bien en B2B (emails pros, pas perso)
• [ ] Le contenu de mon email est lié à leur activité
• [ ] J'ai un lien désabonnement fonctionnel et visible
• [ ] J'ai un registre opt-out tenu à jour (CSV, base de données)
• [ ] Mes données proviennent de sources légales (pas de listes achetées)
• [ ] Je supprime les opt-out sous 48h max

Comment Volia te facilite la vie

Volia bloque par défaut les 28 domaines emails personnels, propose une page opt-out RGPD publique avec suppression auto, et chaque prospect contient le score de confiance pour identifier les sources fragiles.

Le filtre RGPD est activable/désactivable par utilisateur (avec un gros warning si tu le désactives), donc tu restes responsable mais l'outil te guide.

Tester Volia gratuitement → — filtre RGPD activé par défaut.