Vous avez identifié vos cibles et vous voulez lancer une campagne de prospection par e-mail. La partie visible du travail paraît simple : récupérer une adresse de contact sur chaque site, la ranger dans un tableur, envoyer. Deux murs se dressent en pratique. Le premier est le temps : répéter l'opération mille fois n'a rien d'anodin, et beaucoup d'entreprises ne publient plus d'adresse justement pour éviter le démarchage. Le second est juridique, et c'est celui qui coûte le plus cher.
Je travaille sur l'acquisition et le référencement depuis 2012, et cette page existe sur ce site depuis 2020. Elle proposait à l'époque un tableur qui automatisait la récupération d'adresses génériques par scraping, avec un repli sur les pages Facebook des entreprises quand le site ne donnait rien. J'ai retiré ce fichier. Non parce que la méthode ne fonctionnait pas, mais parce qu'elle faisait porter à mes lecteurs un risque que je présentais alors trop légèrement : un fichier constitué de cette façon ne contient aucune preuve, et la preuve est exactement ce qu'on vous demandera. Voici donc comment je construis un fichier de prospection aujourd'hui.
Deux régimes juridiques, pas un seul
Tout part de l'article L34-5 du code des postes et des communications électroniques (version en vigueur depuis le 26 juillet 2020) : la prospection directe par courrier électronique utilisant les coordonnées d'une personne physique qui n'a pas exprimé préalablement son consentement est interdite. Le RGPD se superpose à ce texte pour tout ce qui concerne la constitution du fichier lui-même : base légale, information, droits des personnes, durée de conservation.
La fiche de la CNIL sur la prospection par courrier électronique (mise à jour le 10 juin 2026) distingue clairement deux situations. Vers un particulier, il faut un consentement préalable, libre, spécifique, éclairé et univoque, matérialisé par une case à cocher non pré-cochée. Vers un professionnel, la prospection peut reposer sur l'intérêt légitime lorsque l'objet de la sollicitation est en rapport avec sa fonction : proposer un logiciel de sauvegarde au responsable informatique, oui ; lui proposer un séjour au ski, non. La CNIL précise aussi que les adresses génériques du type contact@ ou info@, qui concernent la personne morale, ne relèvent pas de ces principes.
| Type d'adresse | Base légale | Obligations principales |
|---|---|---|
| Particulier (adresse personnelle) | Consentement préalable | Case non pré-cochée, preuve horodatée, retrait aussi simple que l'adhésion |
| Professionnel nominatif (prenom.nom@entreprise.fr) | Intérêt légitime, si l'objet est lié à la fonction | Information de la personne, opposition possible dès la collecte et dans chaque message |
| Adresse générique (contact@, info@) | Hors champ des règles applicables aux personnes physiques | Identité de l'expéditeur, objet professionnel, moyen simple de refuser |
| Client existant | Exception « produits ou services analogues » | La simple création d'un compte ne suffit pas à créer la relation client |
Le scraping n'est pas une base légale
C'est le point sur lequel j'ai changé d'avis. La CNIL a publié le 30 avril 2020 une position explicite sur la réutilisation des données publiquement accessibles à des fins de démarchage commercial : des données publiquement accessibles restent des données personnelles et ne sont pas librement réutilisables par n'importe quel responsable de traitement. Ses contrôles avaient relevé trois manquements récurrents chez les utilisateurs de logiciels d'aspiration : absence d'information des personnes, notamment sur la source des données ; absence de consentement avant l'envoi ; non-respect du droit d'opposition.
À ce risque s'ajoute un risque contractuel : l'aspiration automatisée est interdite par les conditions d'utilisation de la plupart des plateformes et des annuaires professionnels. Vous pouvez donc cumuler un manquement au RGPD et une violation de contrat, pour un fichier dont vous ne pourrez de toute façon justifier ni l'origine ni la date de collecte. Aspirer des milliers d'adresses reste techniquement trivial ; c'est la capacité à les exploiter sans se découvrir qui a disparu.
Acheter ou louer un fichier ne transfère pas la responsabilité
La tentation est connue : plutôt que de collecter, on achète. Deux décisions publiées le même jour montrent où cela mène. Le 15 mai 2025, la CNIL a sanctionné la société SOLOCAL MARKETING SERVICES d'une amende de 900 000 € (délibération SAN-2025-001) et la société CALOGA d'une amende de 80 000 € (délibération SAN-2025-002), montants publiés sur la liste des sanctions de la CNIL. Dans les deux cas, les données venaient de formulaires de jeux-concours opérés par des partenaires, avec des interfaces où le bouton de participation validait au passage l'usage des coordonnées à des fins de prospection. La formation restreinte a jugé ces consentements invalides au regard de l'article L34-5, et a relevé que les personnes ignoraient que leurs données seraient transmises à des tiers non identifiés.
La décision concernant CALOGA retient aussi un manquement à la limitation de la durée de conservation : des adresses conservées au-delà de trois ans, avec un point de départ du délai calculé sur l'ouverture d'un e-mail plutôt que sur un acte volontaire de la personne. Ouvrir un message n'est pas un signe d'intérêt exploitable pour rallonger indéfiniment la durée de vie d'un contact. Retenez le principe : c'est l'expéditeur qui répond du fichier qu'il utilise, pas le courtier qui le lui a vendu. J'ai détaillé les vérifications à mener avant tout achat dans cet article sur la prospection mail B2B et dans celui consacré à l'achat d'un fichier e-mail client.
Le contexte de contrôle, lui, ne se détend pas : la CNIL indique avoir reçu 20 150 plaintes en 2025, en hausse de 10 % sur un an, dans son rapport annuel publié le 18 mai 2026. Une plainte de prospect mécontent suffit à déclencher une demande d'explication, et la première question porte toujours sur l'origine de l'adresse.
Informer, permettre l'opposition, purger
Trois obligations pratiques structurent un fichier tenable. D'abord l'information : la personne doit savoir qui utilise ses coordonnées, pour quoi, et d'où elles proviennent lorsqu'elles n'ont pas été collectées auprès d'elle. La CNIL rappelle que si les données sont déjà détenues ou acquises auprès de tiers, il faut s'assurer que la personne a bien été informée de cet usage possible.
Ensuite l'opposition : chaque message doit permettre d'identifier l'expéditeur et d'obtenir l'arrêt des sollicitations par un moyen simple et gratuit. Un lien de désabonnement qui fonctionne réellement, traité sous quelques jours, et non une adresse de réponse non surveillée.
Enfin la conservation. La CNIL ne publie pas de durée unique et demande que la durée soit déterminée en fonction de la finalité du traitement (page mise à jour le 2 avril 2026). La décision CALOGA donne un repère utile : au-delà de trois ans sans acte volontaire du prospect, la conservation devient difficile à justifier. Concrètement, je conseille une colonne « dernier contact utile » dans le fichier et une purge annuelle.
La méthode que j'applique aujourd'hui
Elle est plus lente que le scraping, et c'est précisément son intérêt : chaque ligne est défendable.
- Commencer par la demande entrante. Les contacts qui viennent d'un formulaire, d'un contenu utile ou d'un webinaire portent leur consentement avec eux. C'est la seule source qui s'améliore avec le temps.
- Qualifier à la main un volume raisonnable. Cinquante à cent cinquante comptes réellement pertinents produisent davantage de rendez-vous que dix mille adresses ramassées automatiquement, pour un risque nul.
- Privilégier les adresses génériques et les formulaires publics quand vous prospectez des entreprises : le régime applicable est plus simple et vous restez lisible.
- Documenter chaque ligne. Source, URL exacte, date de collecte, base légale retenue, date de la dernière sollicitation. Ces cinq colonnes constituent votre dossier de preuve et alimentent votre registre des traitements.
- Fiabiliser l'envoi. Google impose depuis le 1er février 2024 aux expéditeurs dépassant 5 000 messages par jour vers Gmail l'authentification SPF, DKIM et DMARC, le désabonnement en un clic et un taux de plaintes pour spam maintenu sous 0,3 % (consignes officielles pour les expéditeurs). Un fichier douteux dégrade la délivrabilité de tous vos autres e-mails, y compris vos factures.
- Soigner le message. Un objectif explicite, un texte lisible en quelques secondes, une segmentation par type d'activité, et un suivi des clics et des réponses plutôt que du seul taux d'ouverture, devenu peu fiable. Les points à contrôler avant un envoi sont réunis dans ce guide de campagne emailing.
Un dernier conseil de bon sens : si votre fichier doit aussi servir à du démarchage téléphonique ou postal, vérifiez les règles propres à ces canaux avant de le réutiliser. Elles diffèrent de celles de l'e-mail et évoluent régulièrement.
Constituer un fichier de prospection reste parfaitement légal. Ce qui ne l'est pas, c'est de le constituer sans pouvoir dire d'où viennent les adresses. La différence entre les deux tient à quelques colonnes dans un tableur et à une discipline que vous pouvez mettre en place dès aujourd'hui.
Questions fréquentes
Peut-on écrire à une adresse contact@ sans consentement préalable ?
Oui, dans la plupart des cas. La CNIL considère que les adresses génériques comme contact@ ou info@ concernent la personne morale et ne relèvent pas des règles applicables aux données des personnes physiques. Le message doit toutefois identifier clairement son expéditeur, porter sur un sujet en rapport avec l'activité de l'entreprise et offrir un moyen simple de ne plus être sollicité.
L'intérêt légitime suffit-il pour prospecter des professionnels par e-mail ?
Il peut suffire lorsque l'objet de la sollicitation est en rapport direct avec la fonction de la personne contactée, par exemple une offre de logiciel adressée à un responsable informatique. Cette base légale n'exonère de rien d'autre : la personne doit être informée de l'usage de ses coordonnées et pouvoir s'y opposer dès la collecte et dans chaque message. Si l'offre n'a aucun lien avec son métier, l'intérêt légitime ne tient pas.
Le scraping d'adresses e-mail sur internet est-il autorisé ?
Non, pas en tant que tel. La CNIL rappelle que des données publiquement accessibles restent des données personnelles et ne sont pas librement réutilisables pour du démarchage sans base légale, information des personnes et respect du droit d'opposition. L'aspiration automatisée viole en outre les conditions d'utilisation de la plupart des plateformes et des annuaires, ce qui ajoute un risque contractuel au risque réglementaire.
Acheter un fichier protège-t-il en cas de consentement invalide ?
Non. La responsabilité pèse sur l'organisme qui envoie les messages, pas sur le courtier qui a vendu les données. La CNIL a sanctionné le 15 mai 2025 deux sociétés à hauteur de 900 000 € et 80 000 € pour des consentements recueillis via des formulaires de jeux-concours jugés trompeurs. Avant tout achat, exigez la capture du formulaire d'origine, la date de collecte et la liste des partenaires identifiés.
Combien de temps conserver un prospect qui ne répond jamais ?
La CNIL ne fixe pas de durée unique et demande que la durée soit déterminée en fonction de la finalité du traitement. Dans une décision de mai 2025, elle a jugé excessive la conservation d'adresses au-delà de trois ans, en précisant que le point de départ du délai doit être un acte volontaire de la personne et non la simple ouverture d'un e-mail. Une purge annuelle des contacts sans interaction réelle constitue une pratique prudente.
Que doit contenir un fichier de prospection conforme ?
Au minimum les coordonnées utilisées, la source exacte de chaque contact avec l'URL ou le support d'origine, la date de collecte, la base légale retenue et la date de la dernière sollicitation. Ces informations permettent de répondre en quelques minutes à une demande d'explication et alimentent le registre des traitements. Un fichier sans traçabilité de l'origine des adresses est un fichier indéfendable.