Beaucoup de freelances prospectent en B2B avec la peur au ventre, persuadés que le moindre email non sollicité viole le RGPD. D'autres font l'inverse et envoient en masse sans se poser la question. Les deux ont tort de la même façon : ni interdit total, ni permis total. Le cadre légal du cold email B2B en France est précis, tient sur trois conditions cumulatives, et change concrètement selon le type d'adresse email visée.
Le principe : opt-out en B2B, opt-in en B2C
Le point de départ, c'est l'article L34-5 du Code des postes et des communications électroniques (issu de la LCEN), complété par l'article 6.1.f du RGPD sur l'intérêt légitime. Il pose une distinction simple : pour prospecter une personne physique dans un cadre grand public (B2C), il faut son consentement préalable (opt-in), une case à cocher explicite et non pré-cochée. Pour prospecter une entreprise dans un cadre professionnel (B2B), un régime d'opposition (opt-out) suffit : pas besoin d'accord avant le premier message, à condition de respecter des règles précises et de permettre un désabonnement simple à tout moment.
C'est cette distinction B2B/B2C, pas le fait d'envoyer un email non sollicité en soi, qui détermine ce qui est permis. La CNIL le rappelle sur sa page dédiée à la prospection par voie électronique : le régime applicable dépend d'abord de la nature du destinataire et de l'adresse utilisée, pas du volume envoyé.
Adresse générique ou nominative : deux régimes différents
Toutes les adresses professionnelles ne se valent pas au regard du RGPD, et c'est le détail que la plupart des freelances ignorent.
Une adresse générique type contact@entreprise.fr, info@entreprise.fr ou rh@entreprise.fr n'est pas considérée comme une donnée à caractère personnel : elle identifie une fonction ou un service, pas une personne. Elle peut être prospectée sans condition particulière au-delà de l'obligation générale d'information et de désinscription facile.
Une adresse nominative type prenom.nom@entreprise.fr identifie en revanche une personne physique précise, donc une donnée personnelle au sens du RGPD. Sa prospection reste autorisée en B2B sur la base de l'intérêt légitime, mais à trois conditions cumulatives :
- Le message concerne un produit ou service en lien avec la fonction professionnelle du destinataire (inutile de démarcher un développeur pour une offre de comptabilité).
- L'identité de l'expéditeur est clairement indiquée, dès le premier message.
- Le destinataire dispose d'un moyen simple et gratuit de s'opposer à tout nouveau message, à chaque envoi.
Les trois doivent être réunies. Un message parfaitement identifié mais hors sujet par rapport au métier du destinataire, ou un message pertinent sans lien de désinscription visible, sort du cadre légal.
Les obligations RGPD qui s'ajoutent au-delà de l'email lui-même
Respecter ces trois conditions ne suffit pas à clore le sujet. Le RGPD ajoute des obligations qui portent sur la donnée elle-même, pas seulement sur le contenu du message :
- Information dès la collecte (article 14 du RGPD) : le prospect doit pouvoir savoir, sans effort particulier, d'où vient son adresse email et dans quel but elle est utilisée.
- Durée de conservation limitée : selon le référentiel de la CNIL sur la gestion des activités commerciales, une donnée de prospection se conserve 3 ans à compter du dernier contact réel émanant du prospect (une réponse, une demande, pas une simple ouverture d'email qui ne compte pas comme un contact actif). Passé ce délai sans reprise de contact, la donnée doit être supprimée ou son usage réactivé par une nouvelle sollicitation d'accord.
- Désinscription réellement fonctionnelle : un lien de désabonnement cassé ou qui redirige vers un formulaire à plusieurs étapes est un motif de non-conformité récurrent relevé par la CNIL, qui publie régulièrement des sanctions sur ce type de manquement.
Rien de tout ça ne demande un outillage juridique lourd. Un email d'expéditeur identifiable, un lien de désinscription qui fonctionne réellement en un clic, et un tri régulier des contacts jamais répondus au-delà de 3 ans couvrent l'essentiel. Être en règle sur le fond ne suffit pas si le message n'arrive jamais en boîte de réception : voir notre guide SPF, DKIM, DMARC sur la délivrabilité technique du cold email, un sujet distinct mais tout aussi bloquant.
Le cas particulier des indépendants et auto-entrepreneurs en nom propre
C'est le point qui piège le plus de freelances, souvent dans le sens inverse de ce qu'ils imaginent : prospecter un autre indépendant ou un auto-entrepreneur en nom propre n'est pas automatiquement du B2B au sens de la prospection par email.
La raison est mécanique. Un auto-entrepreneur qui n'a pas de site ni d'adresse professionnelle dédiée utilise très souvent son adresse personnelle (Gmail, Outlook, Yahoo, Free, Orange...) comme contact d'activité. Or une adresse email sur un domaine de webmail grand public reste, pour la CNIL, une donnée qui identifie une personne physique dans son usage courant, pas une adresse professionnelle au sens du régime opt-out. Prospecter cette adresse relève donc du régime B2C, avec consentement préalable requis, même si le destinataire exerce bien une activité professionnelle.
Concrètement : un email envoyé sans accord préalable à jean.dupont@entreprise-x.fr peut être conforme sous les trois conditions vues plus haut. Le même message envoyé à jeandupont.freelance@gmail.com, pour la même activité professionnelle, sort du cadre B2B et demande un consentement préalable pour être conforme.
C'est exactement le filtre appliqué par défaut sur les leads collectés par Citylead : une adresse identifiée comme webmail grand public (Gmail, Outlook, Yahoo, les fournisseurs français type Orange ou Free inclus) est écartée automatiquement des envois traités comme des contacts professionnels standards, pour rester dans un régime B2B strict sans que le freelance ait à vérifier chaque adresse une par une avant de prospecter.
