De · Newsletter Access Édition du 07/09/26 · 16:54

Objet

RGPD et emailing : ce que dit la loi sur la prospection par email

Aperçu · Consentement, soft opt-in, B2B : le cadre légal de la prospection par email, article par a…

NEWSLETTERACCESS · CADRE LÉGAL DE LA PROSPECTION PAR EMAIL · ÉDITION DU 31/08/26 · SOURCES RELEVÉES LE 31/08/2026

Écrire à une personne physique pour lui vendre quelque chose suppose son consentement préalable : c’est la règle posée par l’article L34-5 du Code des postes et des communications électroniques, en vigueur depuis le 26/07/2020 (loi n° 2020-901 du 24/07/2020, art. 8), consulté le 31/08/2026 sur Legifrance. Cette règle connaît deux tempéraments précis, et deux seulement : le soft opt-in pour un client existant, à trois conditions cumulatives, et la doctrine de la CNIL sur les adresses professionnelles nominatives, fondée sur l’intérêt légitime. Tout le reste — « le double opt-in est obligatoire », « en B2B on prospecte librement », « la loi impose 3 ans » — relève de la légende.

L’essentiel, en cinq lignes

Particulier : consentement préalable, case non pré-cochée, sauf soft opt-in client (3 conditions cumulatives).
Professionnel : contact@ hors champ du consentement individuel ; prenom.nom@ = donnée personnelle, prospection possible sur intérêt légitime si l’objet est en rapport avec la profession.
Quatre obligations ne souffrent aucune exception : identité de l’expéditeur, objet non trompeur, opposition simple et gratuite, traitement sans délai.
Le Conseil constitutionnel a censuré trois alinéas de sanction de l’article L34-5 le 25/06/2026, avec effet différé au 31/10/2027 : l’interdiction de fond, elle, reste entière.
La loi du 30/06/2025 sur le démarchage téléphonique, entrée en vigueur le 11/08/2026, ne concerne pas l’emailing.

Cette page décrit le cadre applicable à la date indiquée et ne constitue pas un conseil juridique. Le régime diffère selon que vous écrivez à un particulier ou à un professionnel, et selon la manière dont l’adresse a été collectée. En cas de doute sur une base existante, faites valider votre dispositif par un professionnel du droit ou consultez directement les recommandations de la CNIL.

Le texte français : l’article L34-5 CPCE

Le droit français de la prospection par email tient dans un seul article : L34-5 du CPCE, créé par l’article 22 de la LCEN (loi n° 2004-575 du 21/06/2004) et en vigueur dans sa version actuelle depuis le 26/07/2020. LCEN et CPCE ne sont donc pas deux régimes concurrents : le second est le véhicule du premier.

Ce que l’article pose, alinéa par alinéa :

L’interdiction de principe : pas de prospection directe par courrier électronique vers une personne physique qui n’a pas exprimé son consentement préalable à recevoir ces messages.
Une définition large de la prospection directe : tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l’image d’une personne. Une « simple newsletter d’information » qui promeut l’image de l’émetteur entre dans le champ.
Le soft opt-in français, dérogation à l’interdiction, à trois conditions cumulatives : les coordonnées ont été recueillies directement auprès du destinataire à l’occasion d’une vente ou d’une prestation de services ; la prospection porte sur des produits ou services analogues fournis par la même personne ; l’opposition est offerte de manière gratuite et simple, au moment de la collecte et dans chaque message envoyé. Les trois. Si l’une manque, la dérogation tombe et l’on revient au consentement préalable.
Les obligations de forme : des coordonnées valables de désinscription, l’interdiction de dissimuler l’identité de l’émetteur et l’interdiction d’un objet de message trompeur.
Le volet répressif : compétence de contrôle de la CNIL et amende administrative prononcée par la DGCCRF — c’est précisément la partie touchée par la décision du 25/06/2026 (section suivante).

Source : legifrance.gouv.fr/codes/article_lc/LEGIARTI000042155961/, consulté le 31/08/2026.

Ce qui a changé le 25 juin 2026 : la décision QPC n° 2026-1210

Le Conseil constitutionnel a déclaré contraires à la Constitution les 6ᵉ, 8ᵉ et 9ᵉ alinéas de l’article L34-5 CPCE — ceux qui organisent la compétence de contrôle de la CNIL, l’amende administrative de la DGCCRF et l’articulation avec l’ARCEP. Le motif : une atteinte au principe de nécessité des peines (article 8 de la Déclaration des droits de l’homme et du citoyen), trois autorités pouvant sanctionner administrativement les mêmes faits.

Deux éléments comptent davantage que la censure elle-même :

L’abrogation est différée au 31 octobre 2027. Jusqu’à cette date, le texte censuré reste applicable.
Une réserve transitoire s’applique immédiatement : aucune autorité ne peut poursuivre pour les mêmes faits si une autre a déjà engagé des poursuites ou prononcé une sanction devenue définitive.

Deux phrases que vous lirez ailleurs et qui sont fausses

« L’article L34-5 a été déclaré inconstitutionnel » : non. Seuls trois alinéas relatifs aux sanctions sont visés. L’interdiction de fond et le soft opt-in restent pleinement en vigueur.
« La prospection par email est temporairement dépénalisée » : non, et c’est dangereux à croire. La voie de sanction fondée sur le RGPD, entre les mains de la CNIL, n’est pas touchée par cette décision.

Sources : conseil-constitutionnel.fr/decision/2026/20261210QPC.htm et son communiqué de presse, consultés le 31/08/2026.

Vers un particulier

Le consentement préalable est obligatoire. La CNIL précise, sur sa page consacrée à la prospection commerciale par voie électronique (mise à jour le 10/06/2026, consultée le 31/08/2026), que la case de recueil doit être non pré-cochée et que l’acceptation de conditions générales de vente ne vaut pas consentement à la prospection. L’exception du client existant vise des produits ou services similaires. Une précision peu reprise ailleurs mérite d’être connue : la simple création d’un compte ne constitue pas, à elle seule, une relation commerciale ouvrant droit au soft opt-in.

Vers un professionnel — et là, deux cas, pas un

C’est ici que la plupart des contenus français basculent dans le faux, en concluant que « le B2B est libre ». Il ne l’est pas. La doctrine CNIL distingue :

Les adresses génériques de personne morale (contact@, info@) : elles sortent du champ des règles de consentement individuel.
Les adresses professionnelles nominatives (prenom.nom@entreprise.fr) : ce sont des données personnelles, leur titulaire est une personne physique. La prospection y est possible sur le fondement de l’intérêt légitime (article 6.1.f du RGPD), lorsque l’objet de la sollicitation est en rapport avec la profession de la personne démarchée — l’exemple donné par la CNIL est celui d’un logiciel présenté au directeur informatique.

Deux conditions restent cumulatives dans ce second cas : l’information de la personne au moment de la collecte et un droit d’opposition simple et gratuit. Et il faut lire cette dérogation pour ce qu’elle est : la position d’une autorité de contrôle appliquant l’article 6.1.f du RGPD, pas une disposition légale autonome, et en aucun cas un droit de prospecter sans limite.

Quelle que soit la base légale retenue, quatre obligations ne souffrent aucune exception : l’identité de l’expéditeur doit être clairement indiquée ; l’objet du message ne doit pas être trompeur ; un moyen simple et gratuit de s’opposer aux envois doit figurer dans chaque message ; et la demande de désabonnement doit être traitée sans délai. Le droit d’opposition à la prospection est absolu : il n’a pas à être motivé et ne peut pas être refusé.

Combien de temps garder un prospect inactif ?

La CNIL retient trois ans à compter du dernier contact, délai glissant qui redémarre à chaque contact actif (pages « durées de conservation » de cnil.fr et guide associé, consultés le 31/08/2026). Il faut être exact sur le statut de ce chiffre : c’est une recommandation, un référentiel indicatif — pas une durée légale. L’article 5.1.e du RGPD impose une durée limitée et justifiée ; il ne fixe aucun nombre d’années. Écrire « la loi impose 3 ans » est faux.

Cylindre porte-plaque d’une presse au repos — photo Pexels

Le socle européen : RGPD et ePrivacy

Le RGPD (règlement (UE) 2016/679) encadre l’ensemble : définition du consentement (art. 4(11)), intérêt légitime (art. 6.1.f, éclairé par le considérant 47 qui admet que la prospection puisse relever de l’intérêt légitime), conditions et charge de la preuve du consentement pesant sur le responsable de traitement (art. 7), information de la personne (art. 13 et 14), droit d’opposition à la prospection, absolu, immédiat, sans motif à justifier (art. 21.2 et 21.3), minimisation et limitation de conservation (art. 5), encadrement contractuel du sous-traitant — votre routeur en est un (art. 28), registre des traitements (art. 30). Sources : EUR-Lex, CELEX 32016R0679, et le miroir de la CNIL (cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3), consultés le 31/08/2026.

La directive ePrivacy 2002/58/CE (version consolidée 02002L0058-20091219) reste le texte-cadre : son article 13.2 porte le soft opt-in, avec les trois mêmes conditions cumulatives qu’en droit français. Elle n’a jamais été abrogée. Le projet de règlement destiné à la remplacer a été retiré : le programme de travail de la Commission publié le 11/02/2025 l’indique — nous n’avons pas lu ce document en source primaire, seulement des sources concordantes, et nous le signalons plus bas.

Si votre outil d’envoi héberge aux États-Unis

La décision d’adéquation du 10/07/2023 encadrant les transferts UE–États-Unis est toujours en vigueur au 31/08/2026 (liste officielle des décisions d’adéquation de la Commission, consultée le 31/08/2026). Le recours Latombe a été rejeté par le Tribunal de l’Union européenne le 03/09/2025 (aff. T-553/23) ; un pourvoi a été formé devant la Cour de justice le 31/10/2025 (aff. C-703/25 P). Formulation exacte : le cadre de transfert est aujourd’hui valide mais fait l’objet d’un pourvoi pendant devant la CJUE. Ni plus, ni moins.

Le piège du démarchage téléphonique

Depuis le 11/08/2026, la loi n° 2025-594 du 30/06/2025 est entrée en vigueur : elle réforme l’article L223-1 du Code de la consommation, met fin au dispositif Bloctel et impose un consentement préalable strict pour les appels commerciaux. Elle est récente, très commentée, et régulièrement transposée à tort à l’email.

Elle ne concerne pas l’emailing. Le régime de l’email reste celui de l’article L34-5 CPCE et du RGPD, décrits ci-dessus. Confondre les deux conduit soit à s’interdire des envois licites, soit à croire qu’un opt-in téléphonique vaut consentement email : ce sont deux canaux, deux textes, deux régimes.

Câblage rangé à l’arrière d’une baie de serveurs — photo Pexels

Ce qu’exige un formulaire d’inscription

Ce tableau est volontairement écrit pour être vérifiable ligne à ligne sur n’importe quel formulaire, y compris le nôtre. La dernière colonne est la plus importante : elle sépare ce que la loi impose de ce qui est une recommandation ou une bonne pratique. Les confondre est la faute la plus courante des check-lists en circulation.

#	Exigence	Base	Formulation vérifiable	Statut juridique
1	Case de consentement non pré-cochée, distincte du bouton d’envoi	Doctrine CNIL B2C + RGPD art. 4(11) et 7	La case existe, n’est pas cochée par défaut, est séparée visuellement du bouton	Recommandation CNIL + obligation RGPD (preuve du consentement)
2	Mention d’information visible au formulaire, pas seulement derrière un lien	RGPD art. 13 et 14	Responsable de traitement, finalité, base légale, durée de conservation, droits, contact — affichés au moment de la collecte	Obligation légale
3	Lien vers la politique de confidentialité, à côté du bouton	RGPD art. 13	Lien direct, visible, non caché derrière un menu	Obligation légale
4	Aucun champ transmis avant clic délibéré sur le bouton d’envoi	RGPD art. 7 (preuve du consentement)	Pas d’envoi à la sortie de champ, pas de sauvegarde de frappe partielle	Bonne pratique déduite de la charge de la preuve (art. 7.1)
5	Preuve du consentement horodatée et conservée (texte affiché, version, date, IP ou équivalent)	RGPD art. 7.1 — la charge de la preuve incombe au responsable de traitement	Un enregistrement technique existe et est consultable	Obligation légale
6	Moyen de désinscription simple et gratuit, présent dans chaque envoi	L34-5 CPCE al. 5 + RGPD art. 21.2	Lien de désinscription fonctionnel dans chaque email, pas seulement à l’inscription	Obligation légale
7	Désinscription traitée « sans délai »	L34-5 CPCE al. 5 — aucun délai chiffré unique ; les exigences techniques des fournisseurs de boîtes sont un sujet distinct, hors périmètre RGPD	Aucun « 10 jours » affirmé comme règle légale	Obligation légale non chiffrée + bonne pratique technique séparée
8	Durée de conservation affichée et appliquée	Recommandation CNIL « 3 ans » glissants — pas une obligation légale chiffrée	La page affiche une durée et une purge programmée existe réellement	Recommandation CNIL (pas la loi)
9	Double opt-in	Ni le RGPD ni le CPCE ne l’imposent	Présenté comme le moyen le plus sûr de prouver le consentement, jamais comme obligatoire	Non obligatoire, fortement recommandé
10	Identité de l’expéditeur claire, objet non trompeur	L34-5 CPCE al. 5	Nom ou marque identifiable dans l’expéditeur, objet fidèle au contenu	Obligation légale

bases : legifrance.gouv.fr (L34-5 CPCE) · eur-lex.europa.eu (CELEX 32016R0679) · cnil.fr · relevé le 31/08/2026

Ce que la CNIL sanctionne réellement

Les plafonds théoriques du RGPD circulent partout ; les montants réellement prononcés en matière de prospection par email sont plus instructifs. Deux délibérations que nous avons pu rattacher à leur source :

Date	Organisme	Montant	Motif
14/11/2024	Orange SA	50 000 000 €	Publicités insérées entre les courriels des utilisateurs sans consentement (L34-5 CPCE) et non-respect du retrait de consentement aux cookies (art. 82 de la loi Informatique et Libertés). Environ 7,89 millions d’utilisateurs concernés.
15/05/2025	Solocal Marketing Services	900 000 €	Prospection sur des données achetées à des courtiers et formulaires de collecte trompeurs (L34-5 CPCE, art. 6 et 7 du RGPD). Injonction sous 9 mois, astreinte de 10 000 € par jour. Délibération SAN-2025-001, publiée le 21/05/2025.

source : cnil.fr, pages de sanction dédiées · relevé le 31/08/2026

Le motif est commun aux deux : des campagnes bâties sur des fichiers dont le consentement amont est douteux — en particulier des données achetées à des courtiers. C’est le point de contrôle prioritaire de l’autorité, et c’est plus utile à savoir qu’un plafond d’amende. Nous ne présentons donc pas les maxima du RGPD comme des montants « typiques » : les sanctions effectivement prononcées se situent très en dessous.

Une précision qui vaut avertissement : la sanction pénale de « 750 € par message », issue de la version 2004 du dispositif, circule encore sur des dizaines de pages françaises. Elle a été remplacée par le régime d’amende administrative. Ne l’utilisez pas comme référence.

Terminal informatique ancien, écran vert allumé — photo Pexels

Sources et méthode

Méthode de cette page : chaque règle citée est rattachée à son texte, à son URL officielle et à sa date de consultation. Aucune règle n’est reformulée de mémoire ; ce qui n’a pas pu être vérifié en source primaire figure dans la section précédente au lieu d’être arrondi. Cette page sera réexaminée et redatée au moins une fois par an.

Article L34-5 du CPCE — legifrance.gouv.fr/codes/article_lc/LEGIARTI000042155961/ · consulté le 31/08/2026
Décision QPC n° 2026-1210 du 25/06/2026 et communiqué — conseil-constitutionnel.fr/decision/2026/20261210QPC.htm · consultés le 31/08/2026
Règlement (UE) 2016/679 — EUR-Lex, CELEX 32016R0679 · consulté le 31/08/2026
Directive 2002/58/CE, version consolidée 02002L0058-20091219, art. 13.2 · consultée le 31/08/2026
LCEN, loi n° 2004-575 du 21/06/2004, art. 22 · consultée le 31/08/2026
CNIL — « La prospection commerciale par courrier électronique, SMS, MMS et automate d’appel », page mise à jour le 10/06/2026 · consultée le 31/08/2026
CNIL — durées de conservation des données et guide associé · consultés le 31/08/2026
CNIL — pages de sanction Orange SA (14/11/2024) et Solocal Marketing Services, délibération SAN-2025-001 (15/05/2025, publiée le 21/05/2025) · consultées le 31/08/2026
Loi n° 2025-594 du 30/06/2025 (démarchage téléphonique, art. L223-1 du Code de la consommation), en vigueur le 11/08/2026 · consultée le 31/08/2026
Commission européenne — liste des décisions d’adéquation, décision du 10/07/2023 · consultée le 31/08/2026 · Tribunal de l’UE, aff. T-553/23 (03/09/2025) · pourvoi C-703/25 P (31/10/2025)

page rédigée à partir de sources primaires datées · édition du 31/08/26 · prochaine revue : mise à jour annuelle

Autres pages de cette rubrique

Victor Lemoine

Journaliste · stratégies marketing, innovation digitale, newsletters

Victor explore les dernières tendances en matière de stratégies marketing et d'innovation digitale. Avant de publier, il croise les informations avec des rapports fiables et des interviews d'experts.

Voir tous les articles de Victor

L’état de ce relevé
Rubrique	Cadre légal
Relevé publié le	21/08/2026
Dernière vérification	07/09/2026
Sources citées en fin de page	aucune — cette page ne cite aucun barème extérieur
À revérifier avant le	06/12/2026

Comment ce relevé a été fait

Les montants de cette page ont été lus le 07/09/2026 sur la page de tarifs de l’éditeur lui-même, pas sur un comparatif ni sur une fiche d’annuaire. Ils sont notés hors taxes et au tarif mensuel affiché : un engagement annuel, une remise de lancement ou une négociation commerciale les font baisser, et cette page ne les connaît pas.

Un éditeur peut changer sa grille du jour au lendemain, et il le fait sans prévenir ses lecteurs. Le seul chiffre qui engage est celui affiché par l’éditeur au moment où vous signez : si l’écart avec cette page vous coûte quelque chose, c’est sa page qui fait foi, pas la nôtre.

Ce qui n’est pas mesurable ici est laissé vide plutôt que coché : une case sans réponse veut dire que nous n’avons pas pu le vérifier, pas que la fonction est absente.

La suite du barème

Victor Lemoine

Rédaction · Newsletter Access

Article publié le 21/08/2026, mis à jour le 07/09/2026.