RGPD et prospection commerciale B2B : ce qui est autorisé en 2026

Le RGPD autorise la prospection commerciale B2B sans consentement préalable, par email, sur LinkedIn ou par téléphone, à trois conditions : le message concerne la fonction de la personne, elle sait d’où viennent ses coordonnées et elle peut refuser simplement, à tout moment. Ce qui change en 2026, c’est surtout le téléphone vers les particuliers et l’usage de l’IA. Voici la règle simple, canal par canal, vérifiée sur les textes de la CNIL, de la DGCCRF et de la Commission européenne, avec un modèle de mention à copier en bas de vos messages.

📌 L’essentiel

• Entre professionnels, la prospection repose sur l’intérêt légitime : pas besoin d’accord préalable si le message est en rapport avec le métier du destinataire.
• Chaque message doit dire qui écrit, d’où vient le contact et comment ne plus être sollicité. Un refus arrête tout, tout de suite.
• Depuis le 11 août 2026, appeler un particulier demande son consentement préalable. Le démarchage téléphonique entre professionnels reste fondé sur le droit d’opposition.
• Depuis août 2026, le règlement européen sur l’IA impose de prévenir une personne qu’elle échange avec une IA. Un message relu et assumé par un humain reste le plus simple.

Cet article n’est pas un conseil juridique : c’est une lecture opérationnelle des textes officiels, datée d’octobre 2026. Pour un cas particulier, votre avocat ou votre DPO reste la référence. ⚖️

La prospection commerciale B2B est-elle légale avec le RGPD ?

Oui. Le RGPD n’interdit pas d’écrire à un professionnel que vous ne connaissez pas : il encadre la façon de le faire. La CNIL admet que la prospection auprès de professionnels repose sur l’intérêt légitime de l’entreprise, sans consentement préalable, dès lors que l’objet du message est en rapport avec la profession de la personne démarchée.

L’exemple donné par la CNIL est parlant : présenter un logiciel au directeur informatique d’une entreprise, c’est en rapport avec sa fonction. Proposer une assurance habitation au même directeur, pour lui-même, ne l’est pas. 🎯 La question à se poser avant chaque campagne tient en une ligne : est-ce que mon offre concerne le travail de cette personne ?

Trois règles complètent ce principe :

• 🔍 L’information : la personne doit savoir que ses coordonnées servent à de la prospection et d’où elles viennent, au plus tard au premier message (article 14 du RGPD).
• ✋ L’opposition : elle peut s’opposer à tout moment, et ses données ne sont alors plus utilisées à cette fin (article 21 du RGPD).
• 🗂️ La mesure : on ne garde que les données utiles, et pas indéfiniment.

Un cas à part : les adresses génériques du type contact@ ou info@ désignent une personne morale, pas un individu. La CNIL précise qu’elles ne sont pas soumises à ces principes. Mais une adresse prénom.nom@entreprise reste une donnée personnelle, avec toutes les règles ci-dessus.

Quelles règles pour chaque canal : email, LinkedIn, téléphone, IA ?

La règle de fond est la même partout entre professionnels : un message lié à la fonction, une information claire et un refus respecté. Ce qui varie, c’est la façon de recueillir le contact et les obligations propres à chaque canal, notamment le téléphone vers les particuliers et les échanges menés par une IA.

Canal	Ce qui est permis en B2B	À quelle condition	Ce qui est interdit ou risqué
Email nominatif	Écrire sans accord préalable	Message lié à la fonction, identité de l’expéditeur, moyen simple de refuser, origine des coordonnées	Écrire à un particulier sans son consentement, ignorer un désabonnement
Email générique (contact@)	Écrire sans accord préalable	Rester pertinent pour l’entreprise	Rien de spécifique au RGPD, mais la délivrabilité en souffre si le message est hors sujet
LinkedIn (invitation, message)	Écrire à un membre sur son activité professionnelle	Mêmes règles que l’email, par prudence	Collecter des coordonnées que la personne a masquées, garder des données sans limite
Téléphone vers un professionnel	Appeler sans accord préalable	Appel lié au métier, identité de l’appelant, possibilité de refuser	Rappeler une personne qui s’est opposée
Téléphone vers un particulier	Appeler seulement avec un consentement préalable	Consentement valable un an au plus, preuve gardée 3 ans	Appeler sans accord depuis le 11 août 2026
Message écrit ou assisté par IA	Utiliser l’IA pour préparer et trier	Un humain relit, la personne est prévenue si elle échange avec une IA	Laisser une IA se faire passer pour un humain

Deux nuances méritent d’être soulignées. Sur LinkedIn, aucun texte français ne fixe un régime à part pour la messagerie : appliquer les règles de l’email est le choix le plus prudent. Et pour les indépendants ou artisans joints sur un mobile personnel, la frontière entre professionnel et particulier est floue : dans le doute, traitez-les comme des particuliers. 💡

Que doit contenir la mention RGPD d’un message de prospection ?

Une mention RGPD de prospection doit dire, en quelques lignes, qui vous êtes, pourquoi vous écrivez à cette personne, d’où viennent ses coordonnées et comment elle peut ne plus être contactée. La CNIL exige l’identité de l’expéditeur et un moyen simple de refuser dans chaque message ; l’article 14 du RGPD ajoute l’origine des données.

L’article 14 du RGPD liste les informations à fournir quand vous n’avez pas obtenu les coordonnées auprès de la personne elle-même. Notre parti pris : l’essentiel dans le message, le détail derrière un lien vers votre politique de confidentialité. Concrètement, la mention tient en cinq éléments :

1. Qui écrit : le nom de votre entreprise et une adresse de réponse valide.
2. Pourquoi cette personne : le lien entre votre offre et sa fonction.
3. D’où vient le contact : profil LinkedIn public, site de l’entreprise, salon, recommandation.
4. Combien de temps : la durée pendant laquelle vous gardez ses données sans échange.
5. Comment refuser : un mot à répondre ou un lien, et l’engagement d’arrêter immédiatement, avec un lien vers ses droits (accès, opposition, réclamation auprès de la CNIL).

Voici un modèle à adapter et à placer sous votre signature. ✍️

Exemple

Vous recevez ce message car votre fonction de [directrice des achats] chez [Entreprise] est liée à [notre offre de maintenance industrielle]. Vos coordonnées professionnelles proviennent de [votre profil LinkedIn public / du site de votre entreprise]. [Votre société], [ville], les conserve au plus 3 ans sans échange de votre part. Pour ne plus être contacté(e), répondez simplement « stop » : nous arrêtons aussitôt. Vos droits (accès, opposition, réclamation auprès de la CNIL) : [lien vers la politique de confidentialité].

Cinq lignes, pas plus. Une mention de vingt lignes en petits caractères n’informe personne : elle fait fuir. Une mention courte et franche rassure, et elle montre que vous savez ce que vous faites. 🙂

Peut-on prospecter sur LinkedIn sans enfreindre le RGPD ?

Oui, si vous écrivez à un membre sur son activité professionnelle, avec un message qui le concerne, et si vous ne récupérez pas des coordonnées qu’il a choisi de masquer. Le risque juridique sur LinkedIn ne vient pas du message lui-même, mais de la collecte des données en amont, surtout avec des extensions qui aspirent des profils.

La CNIL l’a rappelé avec la sanction de 240 000 euros prononcée le 5 décembre 2024 contre la société KASPR, éditrice d’une extension Chrome qui affichait les coordonnées des personnes dont on visitait le profil LinkedIn (CNIL, décembre 2024). Les manquements retenus sont instructifs pour toute équipe commerciale :

• La collecte : KASPR récupérait aussi les coordonnées de membres qui en avaient limité la visibilité à leurs relations. Pour la CNIL, cela dépassait ce à quoi ces personnes pouvaient raisonnablement s’attendre.
• La conservation : les données étaient gardées cinq ans à compter de chaque mise à jour, ce qui revenait à les garder presque sans fin.
• L’information : les personnes n’ont été prévenues qu’à partir de 2022, quatre ans après le lancement, par un email en anglais.
• Les droits : les demandes d’accès n’étaient pas correctement traitées.

⚠️ La leçon pratique : si un outil vous donne l’email ou le téléphone d’une personne qui ne les affiche pas, demandez-vous d’où il les tient. Vous restez responsable de l’usage que vous en faites. Notre guide pour trouver une adresse mail professionnelle détaille les méthodes fiables et leur point RGPD.

La prospection téléphonique B2B est-elle touchée par la loi de 2025 ?

Non, pas directement. La loi n° 2025-594 du 30 juin 2025, appliquée depuis le 11 août 2026, impose le consentement préalable pour démarcher un consommateur par téléphone. Entre professionnels, la CNIL indique que l’appel reste fondé sur l’intérêt légitime, avec un simple droit d’opposition, s’il concerne le métier de la personne.

Côté particuliers, le changement est profond. La DGCCRF précise que cette réforme met fin à Bloctel, la liste d’opposition sur laquelle les consommateurs s’inscrivaient. 📞 Le consentement doit être libre, spécifique et donné par un geste actif ; il vaut un an au plus, et sa preuve se garde au moins trois ans, selon la CNIL. Les appels vers les consommateurs ne sont permis que du lundi au vendredi, de 10 h à 13 h et de 14 h à 20 h.

Côté professionnels, l’appel à froid reste possible, avec les mêmes réflexes que pour l’email : vous vous présentez, vous dites pourquoi vous appelez cette personne, et vous notez tout refus pour ne plus la rappeler. Pour que l’appel ait une chance d’aboutir, mieux vaut appeler pour une vraie raison : c’est l’objet de notre article sur le cold call.

Que change l’AI Act pour la prospection avec l’IA ?

L’AI Act n’interdit pas d’utiliser l’IA pour prospecter. Il ajoute une obligation de transparence, applicable depuis août 2026 selon la Commission européenne : une personne doit savoir qu’elle échange avec un système d’IA, par exemple un assistant conversationnel, quand ce n’est pas évident.

En prospection, cela touche surtout deux usages. Préparer un message, trier des prospects, résumer un profil : l’IA reste un outil de travail, et le message envoyé est celui d’un humain qui l’a relu. Mener seule une conversation avec un prospect : là, la personne doit être prévenue qu’elle parle à une IA. 🤖 Dans les deux cas, le RGPD continue de s’appliquer aux données que l’IA traite.

La voie la plus sûre tient en trois réflexes :

• Un humain relit chaque premier message avant l’envoi, et l’assume.
• Si un assistant répond aux prospects, il le dit, et il répond honnêtement si on lui pose la question.
• On ne donne à l’IA que les données utiles au message : la fonction, l’entreprise, le fait public qui justifie le contact.

Pour voir comment un assistant peut mener la conversation après la première réponse sans tromper personne, lisez notre article sur l’agent conversationnel IA.

Combien de temps garder les données d’un prospect ?

La CNIL recommande de garder les données d’un prospect qui n’est pas client trois ans au plus, à compter de leur collecte ou du dernier contact venant du prospect. Un clic sur un lien compte comme un contact ; un email que vous envoyez sans réaction ne fait pas repartir le délai.

Ce repère vient des référentiels de la CNIL sur la gestion commerciale, qui ne sont pas contraignants mais imposent de justifier tout écart. La même page recommande de garder au moins trois ans les informations qui permettent de respecter une opposition, dans une liste dite « repoussoir ». 🗑️ En pratique :

• Supprimez ou archivez les prospects sans échange depuis trois ans.
• Gardez la liste des refus, pour ne jamais recontacter une personne qui a dit non.
• Méfiez-vous des outils qui remettent à jour la date de « dernière activité » à chaque relance automatique : une relance n’est pas un contact du prospect.

Comment rester conforme sans perdre de rendez-vous ?

Être conforme et obtenir des rendez-vous vont dans le même sens : un message qui parle du travail de la personne, qui dit d’où vous venez et qui la laisse libre, est aussi celui qui obtient des réponses. La conformité ne coûte rien à l’accroche ; c’est le message générique qui coûte cher, en refus comme en signalements.

Voici à quoi ressemble la différence, sur un signal réel de prospection.

Exemple

Signal : la directrice des achats d’une PME industrielle publie sur LinkedIn qu’elle cherche à réduire les arrêts de ligne liés à la maintenance.

Accroche ratée : « Bonjour, j’ai trouvé votre email, nous aidons les entreprises à optimiser leurs coûts. Avez-vous 15 minutes cette semaine ? » Rien ne dit pourquoi elle, ni d’où vient l’adresse, ni comment refuser.

Accroche qui obtient une réponse : « Bonjour Claire, votre publication sur les arrêts de ligne m’a parlé : on voit souvent ce problème chez les fabricants qui ont deux fournisseurs de maintenance pour un même parc. Comment le gérez-vous aujourd’hui ? » Suivie de la mention RGPD de cinq lignes, avec la source : sa publication LinkedIn publique.

La seconde version respecte les trois règles de la CNIL, et elle donne une raison de répondre. ✅ Chez nos clients, qui écrivent sur la fonction de la personne et respectent chaque refus, 30 % des prospects contactés répondent (relevé MeetMagnet du 9 octobre 2026, 27 comptes clients payants, 15 910 prospects, LinkedIn et email). Un chiffre qui montre qu’un message assumé et clair n’empêche pas d’obtenir des réponses.

C’est la façon dont MeetMagnet travaille : on part d’un signal public lié à la fonction de la personne, l’accroche porte sur son travail, chaque message est relu par un humain avant l’envoi, et un refus arrête la séquence immédiatement. Pour soigner aussi l’arrivée en boîte de réception, notre guide de la délivrabilité d’un cold email complète cette partie.

Avant votre prochaine campagne, une liste de contrôle en six points :

1. Mon offre concerne-t-elle la fonction de chaque personne ciblée ?
2. Est-ce que je sais d’où vient chaque coordonnée, et puis-je le dire ?
3. Chaque message dit-il qui écrit et comment refuser ?
4. Un refus arrête-t-il la séquence sur tous les canaux ?
5. Les données sans échange depuis trois ans sont-elles supprimées ?
6. Un humain relit-il les messages, et l’IA est-elle annoncée quand elle converse seule ?

Le RGPD ne ferme pas la porte à la prospection B2B : il demande d’écrire à la bonne personne, pour une bonne raison, en le disant franchement. Ce sont aussi les trois ingrédients d’un premier message qui décroche une réponse, puis un rendez-vous. Le vrai risque n’est pas d’écrire à un inconnu : c’est d’acheter des fichiers dont on ignore l’origine, de garder des données sans fin, ou de faire parler une IA à la place d’un humain sans le dire. 🚀

Sources

• « La prospection commerciale par courrier électronique », CNIL, consulté le 27 octobre 2026, https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-electronique
• « Prospection commerciale par téléphone (hors automate d’appel) : quelles sont les règles ? », CNIL, consulté le 27 octobre 2026, https://cnil.fr/fr/prospection-commerciale-par-telephone-hors-automate-dappel-quelles-sont-les-regles
• « Aspiration de données : sanction de 240 000 euros à l’encontre de la société KASPR », CNIL, consulté le 27 octobre 2026, https://www.cnil.fr/fr/aspiration-de-donnees-sanction-de-240-000-euros-lencontre-de-la-societe-kaspr
• « Questions-réponses sur les référentiels relatifs à la gestion des activités commerciales et des impayés », CNIL, consulté le 27 octobre 2026, https://www.cnil.fr/fr/questions-reponses-sur-les-referentiels-relatifs-la-gestion-des-activites-commerciales-et-des
• « Règlement européen sur la protection des données, chapitre III (articles 14 et 21) », CNIL, consulté le 27 octobre 2026, https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3
• « Les règles du démarchage téléphonique s’imposant aux entreprises », DGCCRF, consulté le 27 octobre 2026, https://www.economie.gouv.fr/dgccrf/les-fiches-pratiques/les-regles-du-demarchage-telephonique-simposant-aux-entreprises
• « AI Act », Commission européenne, consulté le 27 octobre 2026, https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai