Cold email RGPD France : guide complet conformité 2026

> TL;DR

> - Le cold email B2B est légal en France sur la base de l'intérêt légitime (art. 6.1.f RGPD)

> - 5 obligations clés : email pro, opt-out, mentions, blocklist, durée conservation

> - Amendes CNIL réelles 2024-2025 : de 5 000 € (TPE) à 250 000 € (ETI)

> - Checklist en 14 points en fin d'article

Le mythe : "Le RGPD interdit le cold email"

Faux. Le RGPD encadre, il n'interdit pas. La CNIL distingue clairement B2C (consentement opt-in obligatoire) et B2B (intérêt légitime suffisant, sous conditions). On voit encore en 2026 des entrepreneurs renoncer à la prospection email "à cause du RGPD" — ils perdent des leads pendant que leurs concurrents prospectent légalement.

Ce guide fait le point précis sur ce qui est conforme en 2026, avec les dernières décisions CNIL (2024-2025) et la jurisprudence européenne.

La base légale : intérêt légitime (art. 6.1.f RGPD)

Pour qu'un cold email B2B soit conforme via l'intérêt légitime, 3 tests doivent passer :

1. Test de finalité : votre produit est-il en lien avec l'activité du destinataire ? (Un SaaS RH proposé à un DRH = oui. Une assurance perso à un dirigeant = non.)

2. Test de nécessité : peux-tu atteindre cette personne par un autre moyen moins intrusif ? (Si vous n'avez que l'email, oui.)

3. Test de balance : vos intérêts (vendre) > vie privée du prospect ? (Si l'email est pro + opt-out simple, généralement oui.)

Les 5 obligations conformité 2026

1. Cible exclusivement professionnelle

• Email pro uniquement (jean@entreprise.fr, pas jean@gmail.com)
• Personne identifiable comme professionnel (LinkedIn, signature mail, fonction publiée)
• Lien direct entre votre produit et son métier

2. Opt-out simple et accessible

• Lien unsubscribe dans chaque email (pas seulement le 1er)
• Suppression effective en < 30 jours (CNIL recommande 72h)
• Page publique d'opposition (ex: volia.fr/opt-out)
• Pas de "confirmation" piège ("Êtes-vous sûr ?" → interdit)

3. Mentions légales complètes

Chaque email doit contenir :

• Identité réelle (raison sociale + SIREN)
• Adresse postale complète
• Pourquoi vous contactez (ex: "vous recevez cet email car vous êtes [poste] de [secteur]")
• Lien opt-out cliquable et fonctionnel

4. Blocklist permanente

Une personne qui se désinscrit doit être bloquée à vie sur votre instance. Si vous changez d'outil 3 mois plus tard et re-contactes la même personne, c'est une infraction. Bonne pratique : exporter la blocklist régulièrement.

5. Durée de conservation limitée

• 3 ans après dernier contact actif (recommandation CNIL)
• 1 an si zéro réponse au 1er email
• Registre des traitements à jour (obligation pour > 250 salariés ou traitement risqué)

Sanctions CNIL réelles 2024-2025

La CNIL ne sanctionne quasiment jamais une prospection "propre". Les sanctions visent : bases achetées douteuses, re-contact post opt-out, scraping massif, B2C déguisé.

Les pièges fréquents 2026

Piège 1 — Bases achetées sur LinkedIn / sites tiers

Vous êtes responsable de la conformité, même si vous avez juste acheté un CSV. La CNIL considère que vous devez pouvoir prouver la légitimité de chaque adresse.

Solution : utilisez un outil qui collecte lui-même les données (comme Volia), vous avez une traçabilité claire (source + date).

Piège 2 — Mailing à des @gmail / @hotmail "pro"

Même si la personne utilise son Gmail au boulot, l'adresse est personnelle au sens RGPD. Sans opt-in préalable, c'est non conforme.

Tip Volia : filtrage natif de 28 domaines email personnels (activé par défaut).

Piège 3 — Multi-relances agressives (5+)

La CNIL considère qu'au-delà de 3 relances sans réponse, l'intérêt légitime devient discutable. Recommandation : max 3-4 emails par séquence, puis stop.

Piège 4 — Scraping LinkedIn

Microsoft (propriétaire LinkedIn) a gagné plusieurs procès contre des scrapers (hiQ Labs 2022). En France, c'est interdit par les CGU LinkedIn + zone grise RGPD.

Alternative : sites officiels, Google Places, annuaires métier. Voir notre guide scraper emails B2B méthodes légales →.

Checklist conformité 2026 (14 points)

1. Cible exclusivement professionnelle (email pro)

2. Lien direct produit ↔ métier du prospect

3. Personnalisation par secteur/poste (pas mass mail)

4. Mentions légales dans chaque email (SIREN + adresse)

5. Lien opt-out fonctionnel dans chaque email

6. Page publique d'opposition (volia.fr/opt-out type)

7. Suppression sous 30 jours après demande

8. Blocklist permanente des désinscrits

9. Durée de conservation définie (3 ans max)

10. Registre des traitements à jour

11. Filtrage des emails personnels (@gmail, @hotmail…)

12. Max 3-4 relances par séquence

13. Pas de bases achetées non sourcées

14. Pas de scraping LinkedIn

FAQ

Le cold email est-il interdit en France en 2026 ?

Non. Il est légal en B2B sous conditions (cible pro, opt-out, mentions, blocklist).

Faut-il l'opt-in préalable en B2B ?

Non. L'opt-in (consentement préalable) est obligatoire en B2C. En B2B, l'intérêt légitime suffit.

Combien risque-t-on en cas de plainte CNIL ?

De 5 000 € (TPE, infraction mineure) à 4 % du CA (cas extrême). En pratique : 90 % des plaintes B2B se règlent par avertissement si vous réagis vite.

Doit-on déclarer son fichier prospects à la CNIL ?

Non depuis 2018. Vous devez juste tenir un registre des traitements en interne (obligatoire si > 250 salariés ou risque élevé).

Combien de temps garder un prospect dans la base ?

3 ans max après dernier contact actif. 1 an si zéro réponse au 1er email.

Conclusion

Le RGPD n'est pas un mur — c'est un cadre qui protège aussi votre business (moins de plaintes, meilleure deliverability, image pro). Volia intègre nativement filtrage emails perso, page opt-out, traçabilité source. Vous prospectez sereinement.

Voir nos tarifs → — conformité RGPD incluse dès le plan Gratuit.