Rémi Kokabi12 octobre 202610 min de lecture
Cold email et RGPD : checklist de conformité pour les équipes B2B (2026)
Le cold email est-il légal au regard du RGPD ?
Le cold email B2B est légal au regard du RGPD quand vous vous appuyez sur l'intérêt légitime, que vous ciblez des personnes dont le poste est pertinent par rapport à votre offre, et que vous incluez un lien de désinscription clair dans chaque message. L'idée reçue la plus répandue sur le cold email et le RGPD, c'est que le RGPD interdirait toute communication non sollicitée par email. Ce n'est pas le cas.
Le RGPD encadre la manière dont les données personnelles sont traitées, et plus précisément la base juridique qui doit exister pour ce traitement. Un cold email envoyé à un contact professionnel sur son adresse email professionnelle peut être conforme au RGPD si la bonne base juridique est en place et si certaines conditions sont remplies.
Alors, quelle est cette base juridique ? La base pertinente est l'article 6(1)(f) du RGPD : l'intérêt légitime. Celui-ci autorise le traitement de données personnelles (y compris l'envoi d'un email à un contact professionnel) lorsque le responsable du traitement (l'expéditeur) a un intérêt légitime à le faire, et que cet intérêt ne prévaut pas sur les droits et libertés de la personne concernée (le destinataire).
Cela dit, la légalité est conditionnelle. Vous avez des obligations sur la façon dont vous collectez les données, ce que vous incluez dans vos emails et comment vous gérez les désinscriptions. La suite de cet article détaille chacune de ces obligations.
Comment le RGPD s'applique à la prospection B2B
Même si vous contactez une entreprise, le RGPD s'applique parce que votre email est envoyé à une personne. Le RGPD s'applique au traitement des données personnelles des individus (appelés « personnes concernées ») qui se trouvent dans l'Union européenne, quel que soit le lieu d'établissement du responsable du traitement ou du sous-traitant.
Une adresse email professionnelle nominative comme jane.smith@company.com est considérée comme une donnée personnelle au sens du RGPD. La collecter, la stocker et envoyer un email à cette adresse constituent tous des « traitements ». En revanche, une adresse générique comme info@company.com n'est généralement pas considérée comme une donnée personnelle, car elle n'identifie pas un individu.
Si vous êtes une entreprise américaine qui envoie des cold emails à des prospects en Allemagne, le RGPD s'applique à votre traitement de leurs données personnelles. Si vous êtes une entreprise britannique qui prospecte des contacts français, le RGPD s'applique. Le siège de votre entreprise n'a aucune importance. C'est le lieu de résidence du destinataire qui compte.
Intérêt légitime vs. consentement pour la prospection B2B
Le RGPD n'exige pas le consentement pour chaque type de traitement. L'intérêt légitime est une base juridique distincte et tout aussi valide, bien plus adaptée à la prospection que le consentement, puisque ce dernier doit être obtenu avant le premier contact, ce qui est par définition impossible avec le cold email.
Alors, quand l'intérêt légitime s'applique-t-il concrètement ? Un cold email envoyé à un DAF d'une entreprise pour lui présenter un logiciel financier, sur son adresse professionnelle, est une communication professionnelle adressée à un professionnel dans le cadre de ses fonctions. Votre offre est pertinente par rapport à son poste. C'est exactement le type de scénario où l'intérêt légitime tient la route.
En revanche, le consentement est nécessaire quand :
Vous envoyez un email sur une adresse personnelle. Si votre liste contient des adresses email personnelles (Gmail, Yahoo, Hotmail) ou que vous contactez des individus qui n'agissent pas dans un cadre professionnel, le consentement explicite est généralement requis par le RGPD.
Votre prospection n'a aucun lien avec le poste du destinataire. Proposer des pièces de chariot élévateur à un CMO ne respecte pas le critère de pertinence exigé par l'intérêt légitime.
La réglementation locale l'exige. Certains pays de l'UE, notamment l'Allemagne, exigent un opt-in même pour les emails B2B (détail ci-dessous).
Comment réaliser une évaluation de l'intérêt légitime avant chaque campagne
Le RGPD attend de vous que vous documentiez une évaluation de l'intérêt légitime (LIA) pour chaque campagne. Pas en tant que document juridique officiel, mais comme un registre écrit interne. Vous devez avoir une LIA documentée par campagne, pas une simple case cochée une fois pour toutes.
Voici comment cette évaluation fonctionne en pratique :
1. Définissez l'objectif de votre prospection
Notez l'objectif business précis. « Générer des démos pour notre produit d'automatisation commerciale auprès de VP Sales dans le SaaS » fonctionne. « Envoyer des emails à tout le monde » non.
2. Confirmez que le cold email est nécessaire pour atteindre votre objectif
Le cold email doit être nécessaire pour atteindre cet objectif. Si vous pouviez obtenir le même résultat sans traiter de données personnelles, l'intérêt légitime ne s'applique pas. Dans la plupart des scénarios de prospection B2B, le cold email est une nécessité pratique, car vous ne pouvez pas obtenir le consentement préalable de quelqu'un à qui vous n'avez jamais parlé.
3. Mettez en balance votre intérêt et les droits du destinataire
Votre intérêt ne peut pas prévaloir sur les droits à la vie privée de la personne concernée. Le traitement de contacts B2B est généralement plus permissif sur ce point, car les adresses email professionnelles utilisées dans un cadre professionnel impliquent des attentes de confidentialité plus faibles que les données personnelles. Si l'email risque de surprendre ou d'alarmer le destinataire, l'intérêt légitime ne tient probablement pas.
4. Documentez et conservez l'évaluation
Conservez un registre écrit pour chaque campagne : la date, la définition de l'ICP, la source des données et votre raisonnement. C'est votre preuve en cas de plainte. Le raccourci le plus coûteux que prennent les équipes B2B, c'est de sauter l'évaluation écrite de l'intérêt légitime.
Ce que contient chaque cold email conforme au RGPD
Chaque cold email conforme au RGPD inclut un mécanisme de désinscription, votre adresse physique, l'identité de l'expéditeur et un lien vers votre politique de confidentialité. Voici la liste complète :
Votre identité réelle : Nom complet et nom de l'entreprise, pas un faux alias ni une ligne d'expéditeur vague
La raison de votre email : Une raison brève et honnête liée au poste ou à l'entreprise du destinataire
D'où proviennent les données : Nommez la source (LinkedIn, un fournisseur tiers, votre base de données)
Un lien de désinscription fonctionnel : Désinscription en un clic, effective immédiatement
Votre adresse physique : Exigée par le RGPD et la plupart des autres réglementations sur l'email
Un lien vers votre politique de confidentialité : Expliquant comment vous traitez et stockez les données du destinataire
Astuce : lemlist inclut automatiquement un lien de désinscription dans chaque cold email et synchronise les désinscriptions sur toutes vos campagnes et tous vos expéditeurs, pour que personne ne passe entre les mailles du filet.
Les différences entre pays de l'UE qui impactent le cold email
Le RGPD est le socle commun, mais chaque État membre l'applique en parallèle de ses propres règles ePrivacy. Résultat : de vraies variations dans ce que le cold email B2B autorise d'un pays à l'autre.
Niveau de risque | Pays | Résumé de la règle |
|---|---|---|
Risque faible | Royaume-Uni, Irlande, Suède, Danemark, Finlande | Le modèle opt-out B2B est généralement accepté avec une conformité standard |
Risque modéré | France, Pays-Bas, Espagne, Italie | L'intérêt légitime est accepté avec une LIA documentée et un opt-out clair |
Risque élevé | Allemagne, Autriche | Consentement préalable généralement requis, même en B2B |
La loi allemande UWG (Gesetz gegen den unlauteren Wettbewerb) exige le consentement préalable pour la plupart des emails commerciaux, y compris en B2B. Aucune loi en Europe ne mentionne le double opt-in comme obligation, RGPD compris. Ce que la loi exige, c'est un consentement prouvable. Et comme la charge de la preuve repose sur l'expéditeur, les tribunaux allemands ont jugé le simple opt-in insuffisant comme preuve, faisant du double opt-in le standard de facto.
La France autorise généralement le cold email B2B sous l'intérêt légitime lorsque la prospection est clairement liée au poste professionnel du destinataire. Cela la rend plus praticable pour les équipes outbound par rapport à l'Allemagne, même si les mêmes règles de pertinence et de transparence s'appliquent.
Le Royaume-Uni est en dehors de l'UE mais dispose de son propre cadre réglementaire très similaire. Le PECR inclut une exemption « corporate subscriber » qui traite les adresses email rattachées à des entreprises (plutôt qu'à des individus) de manière plus souple, offrant à la prospection B2B ciblant le Royaume-Uni un peu plus de marge que dans certains pays de l'UE.
En pratique : si votre ICP inclut des prospects allemands ou autrichiens, prévoyez une collecte d'opt-in via des contenus téléchargeables, des formulaires web ou des événements avant de lancer vos cold emails. Pour la majeure partie de l'Europe de l'Ouest et du Nord, l'intérêt légitime avec une LIA documentée est l'approche standard.
RGPD vs. CAN-SPAM vs. CASL pour le cold email
Si votre équipe prospecte par email dans plusieurs régions, appliquez la loi la plus stricte. Voici comment les trois grands cadres réglementaires se comparent :
RGPD (UE/EEE) | CAN-SPAM (États-Unis) | CASL (Canada) | |
|---|---|---|---|
Consentement requis ? | Intérêt légitime ou consentement | Pas de consentement préalable | Consentement explicite ou implicite |
Opt-out requis ? | Oui | Oui, sous 10 jours ouvrés | Oui |
Identification de l'expéditeur requise ? | Oui | Oui | Oui |
Divulgation de la source des données ? | Oui | Non | Non |
Sanction maximale | Jusqu'à 4 % du chiffre d'affaires annuel mondial | Jusqu'à 51 744 $ par email | Jusqu'à 10 millions CAD par infraction |
Au-delà de la conformité juridique, les fournisseurs de messagerie comme Google, Yahoo et Microsoft appliquent leurs propres règles. L'authentification SPF, DKIM et DMARC, les seuils de taux de plaintes et les en-têtes de désinscription en un clic influencent directement si votre email atterrit en inbox ou en spam. Le Deliverability Hub de lemlist gère ces configurations automatiquement et surveille la santé de vos boîtes d'envoi pour que vous détectiez les problèmes avant qu'ils n'affectent vos taux d'ouverture.
Erreurs RGPD fréquentes des équipes B2B en cold email
La plupart des infractions au RGPD en cold email viennent de lacunes opérationnelles, pas d'une mauvaise intention. Voici celles qui reviennent le plus souvent :
Listes de suppression incomplètes : Un opt-out sur un domaine n'empêche pas l'envoi depuis un autre domaine que vous gérez. Centralisez la suppression sur l'ensemble de votre stack outbound.
Utiliser l'intérêt légitime comme passe-droit universel : Sans LIA documentée pour chaque campagne, vous n'avez aucune défense en cas de plainte.
Envoyer sur des adresses personnelles : Envoyer des emails sur des adresses gmail.com, outlook.com ou yahoo.com signale des comptes personnels, ce qui annule l'exemption B2B dans la plupart des juridictions.
Pas de politique de conservation des données : Stocker les données de prospects indéfiniment sans base juridique ni durée de conservation documentée crée un risque. Pour le cold email sous intérêt légitime, la durée de conservation pratique est de 24 mois sans aucun engagement avant suppression.
Ne pas vous identifier : Chaque email doit inclure votre vrai nom, votre entreprise et un moyen de vous contacter. Les lignes d'expéditeur vagues invitent les plaintes.
Comment gérer les désinscriptions et les demandes de suppression de données
Le RGPD accorde aux destinataires deux droits distincts : le droit de ne plus recevoir d'emails (désinscription) et le droit à l'effacement complet de leurs données en vertu de l'article 17.
Pour les désinscriptions, agissez sous 48 heures. Le RGPD ne précise pas de délai exact, mais c'est le standard pratique pour éviter les plaintes. Et la désinscription doit se propager dans chaque outil et chez chaque commercial. Si un expéditeur traite la désinscription mais qu'un autre commercial envoie un email au même contact depuis une autre séquence, vous êtes en infraction.
Pour la suppression de données (aussi appelée « demande d'effacement »), le RGPD vous donne un mois pour répondre. L'effacement implique de supprimer le contact de votre CRM, de vos séquences, de vos outils d'enrichissement et de toute liste stockée, puis de documenter la suppression.
Astuce : Dans lemlist, les listes de suppression se synchronisent automatiquement sur toutes les campagnes et tous les expéditeurs. Quand un prospect se désinscrit d'une séquence, il est bloqué sur toutes les séquences, quel que soit le domaine ou la boîte d'envoi à l'origine de l'email.
Checklist de conformité pré-envoi pour les équipes commerciales B2B
Avant de lancer une campagne de cold email vers des prospects dans l'UE, passez en revue cette liste :
☐ Évaluation de l'intérêt légitime documentée pour cette campagne
☐ Source des données connue et enregistrée pour chaque contact
☐ L'email inclut le nom de l'expéditeur, l'entreprise et l'adresse physique
☐ L'email explique pourquoi vous contactez le destinataire
☐ Lien de désinscription en un clic fonctionnel inclus
☐ Lien vers la politique de confidentialité inclus
☐ Liste de suppression synchronisée et à jour
☐ Réglementation locale du pays du destinataire vérifiée (opt-in vs. opt-out)
☐ Authentification email (SPF, DKIM, DMARC) configurée
☐ Politique de conservation des données définie et documentée
Comment envoyer des cold emails conformes au RGPD à grande échelle
La conformité se complique quand les volumes augmentent, parce que les vérifications manuelles ne tiennent pas. La vraie question est : comment maintenir tout ce qui précède quand vous gérez des dizaines de campagnes sur des milliers de contacts ?
Commencez par des données vérifiées. Utiliser une base avec des emails vérifiés réduit les bounces et protège votre réputation d'expéditeur, ce qui maintient vos taux de plaintes bas. La base de 600M+ leads de lemlist fournit des adresses email vérifiées grâce à l'enrichissement en cascade via 14+ fournisseurs de données, pour que vous travailliez avec des données propres dès le départ.
Ensuite, automatisez les contrôles de conformité. Gestion intégrée des désinscriptions, suppression centralisée sur tous les expéditeurs et campagnes, configuration automatique de l'authentification et suivi de la délivrabilité : tout cela élimine les étapes manuelles où la conformité dérape habituellement.
Commencer gratuitement et lancez votre prospection conforme depuis une seule plateforme, avec un essai gratuit de 14 jours, sans carte bancaire.
Convert strategy into pipeline
Launch your first outbound campaign with verified leads, AI sequences, and multichannel outreach from one platform.