Prospection par e-mail : les règles de la CNIL pour une TPE en 2026

Prospection par e-mail : deux régimes selon la cible

La fiche de la CNIL « La prospection commerciale par courrier électronique, SMS-MMS et automate d'appel », datée du 10 juin 2026, résume le principe : les personnes doivent d'abord être informées, puis « y consentir préalablement s'il s'agit de particuliers ou pouvoir s'y opposer s'il s'agit de professionnels ».

Le piège du « déjà client »

L'exception client est plus étroite qu'on ne le croit. La CNIL précise qu'elle « ne peut pas être mobilisée lorsqu'aucune vente ou prestation de service n'a été effectuée, y compris lorsque le client a créé un compte en ligne », par exemple sur un site marchand : la simple création d'un compte ne signifie pas qu'une commande suivra.

Côté professionnels, son exemple d'intérêt légitime est un message présentant les mérites d'un logiciel au directeur informatique d'une entreprise. Et quand les adresses viennent d'un tiers, il faut s'assurer que la personne a été informée de leur usage pour la prospection et qu'elle peut s'y opposer.

Dans tous les cas : case décochée, identité, désinscription

La CNIL recommande de recueillir le consentement, ou l'opposition pour le B to B, par une case à cocher ; « l'utilisation d'une case pré-cochée est interdite en matière de recueil du consentement ». Chaque message doit indiquer l'identité de l'expéditeur et permettre de refuser les sollicitations suivantes par un moyen simple.

Les personnes peuvent accéder à leurs données et les faire rectifier ; l'organisme doit répondre sous un mois maximum, sauf exceptions. À défaut, une plainte peut être adressée à la CNIL.

La liste repoussoir : ne plus écrire à qui a dit non

Une seconde fiche de la CNIL, du 10 juin 2026, rappelle que le droit d'opposition à la prospection est « absolu » et n'a pas à être justifié, par exemple via un lien de désabonnement en bas d'e-mail. Pour qu'il soit respecté sur le long terme, notamment quand on achète ou importe de nouvelles listes, la CNIL propose une liste repoussoir, qui empêche de réinscrire par mégarde une personne opposée.

Cette liste ne peut servir à rien d'autre. La CNIL recommande de conserver ces informations « au minimum 3 ans », et suggère de ne garder que des empreintes, ou « hash », des adresses plutôt que les adresses en clair ; ces empreintes restent des données personnelles à sécuriser.

Ce que risque l'expéditeur

La fiche « Spam électronique, que faire ? » de Cybermalveillance.gouv.fr, mise à jour le 26 février 2026, cite l'article L34-5 du code des postes et communications électroniques, qui interdit la prospection directe par courrier électronique vers une personne physique « qui n'a pas exprimé son consentement préalable ». Elle mentionne une amende administrative pouvant atteindre 3 000 € pour une personne physique et 15 000 € pour une personne morale lorsque le professionnel n'a pas respecté une injonction, et, pour un traitement à des fins de prospection malgré l'opposition de la personne, cinq ans d'emprisonnement et 300 000 euros d'amende, article 226-18-1 du code pénal.

Choisir son outil d'e-mailing

Nos pages d'outils détaillent les offres, pas leur conformité, que nous n'avons pas évaluée : Brevo, dont l'offre gratuite permet jusqu'à 300 e-mails par jour d'après sa page tarifs du 13 septembre 2026, HubSpot, dont les outils gratuits incluent 2 000 e-mails par mois à sa marque, et GetResponse. Quel que soit l'outil, les règles ci-dessus restent à la charge de l'expéditeur.

Ce que cette page ne dit pas

Elle ne traite ni la prospection par téléphone ni celle par courrier postal, qui ont leurs propres règles. Pages de la CNIL et fiche lues le 14 septembre 2026.