NEWSLETTER ACCESS · NON CLASSÉ · ÉDITION DU 31/08/26

RGPD et emailing : ce que dit la loi sur la prospection par email

NEWSLETTERACCESS · CADRE LÉGAL DE LA PROSPECTION PAR EMAIL · ÉDITION DU 31/08/26 · SOURCES RELEVÉES LE 31/08/2026

Écrire à une personne physique pour lui vendre quelque chose suppose son consentement préalable : c’est la règle posée par l’article L34-5 du Code des postes et des communications électroniques, en vigueur depuis le 26/07/2020 (loi n° 2020-901 du 24/07/2020, art. 8), consulté le 31/08/2026 sur Legifrance. Cette règle connaît deux tempéraments précis, et deux seulement : le soft opt-in pour un client existant, à trois conditions cumulatives, et la doctrine de la CNIL sur les adresses professionnelles nominatives, fondée sur l’intérêt légitime. Tout le reste — « le double opt-in est obligatoire », « en B2B on prospecte librement », « la loi impose 3 ans » — relève de la légende.

L’essentiel, en cinq lignes

Particulier : consentement préalable, case non pré-cochée, sauf soft opt-in client (3 conditions cumulatives).
Professionnel : contact@ hors champ du consentement individuel ; prenom.nom@ = donnée personnelle, prospection possible sur intérêt légitime si l’objet est en rapport avec la profession.
Quatre obligations ne souffrent aucune exception : identité de l’expéditeur, objet non trompeur, opposition simple et gratuite, traitement sans délai.
Le Conseil constitutionnel a censuré trois alinéas de sanction de l’article L34-5 le 25/06/2026, avec effet différé au 31/10/2027 : l’interdiction de fond, elle, reste entière.
La loi du 30/06/2025 sur le démarchage téléphonique, entrée en vigueur le 11/08/2026, ne concerne pas l’emailing.

Cette page décrit le cadre applicable à la date indiquée et ne constitue pas un conseil juridique. Le régime diffère selon que vous écrivez à un particulier ou à un professionnel, et selon la manière dont l’adresse a été collectée. En cas de doute sur une base existante, faites valider votre dispositif par un professionnel du droit ou consultez directement les recommandations de la CNIL.

Le texte français : l’article L34-5 CPCE

Le droit français de la prospection par email tient dans un seul article : L34-5 du CPCE, créé par l’article 22 de la LCEN (loi n° 2004-575 du 21/06/2004) et en vigueur dans sa version actuelle depuis le 26/07/2020. LCEN et CPCE ne sont donc pas deux régimes concurrents : le second est le véhicule du premier.

Ce que l’article pose, alinéa par alinéa :

L’interdiction de principe : pas de prospection directe par courrier électronique vers une personne physique qui n’a pas exprimé son consentement préalable à recevoir ces messages.
Une définition large de la prospection directe : tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l’image d’une personne. Une « simple newsletter d’information » qui promeut l’image de l’émetteur entre dans le champ.
Le soft opt-in français, dérogation à l’interdiction, à trois conditions cumulatives : les coordonnées ont été recueillies directement auprès du destinataire à l’occasion d’une vente ou d’une prestation de services ; la prospection porte sur des produits ou services analogues fournis par la même personne ; l’opposition est offerte de manière gratuite et simple, au moment de la collecte et dans chaque message envoyé. Les trois. Si l’une manque, la dérogation tombe et l’on revient au consentement préalable.
Les obligations de forme : des coordonnées valables de désinscription, l’interdiction de dissimuler l’identité de l’émetteur et l’interdiction d’un objet de message trompeur.
Le volet répressif : compétence de contrôle de la CNIL et amende administrative prononcée par la DGCCRF — c’est précisément la partie touchée par la décision du 25/06/2026 (section suivante).

Source : legifrance.gouv.fr/codes/article_lc/LEGIARTI000042155961/, consulté le 31/08/2026.

Ce qui a changé le 25 juin 2026 : la décision QPC n° 2026-1210

Le Conseil constitutionnel a déclaré contraires à la Constitution les 6ᵉ, 8ᵉ et 9ᵉ alinéas de l’article L34-5 CPCE — ceux qui organisent la compétence de contrôle de la CNIL, l’amende administrative de la DGCCRF et l’articulation avec l’ARCEP. Le motif : une atteinte au principe de nécessité des peines (article 8 de la Déclaration des droits de l’homme et du citoyen), trois autorités pouvant sanctionner administrativement les mêmes faits.

Deux éléments comptent davantage que la censure elle-même :

L’abrogation est différée au 31 octobre 2027. Jusqu’à cette date, le texte censuré reste applicable.
Une réserve transitoire s’applique immédiatement : aucune autorité ne peut poursuivre pour les mêmes faits si une autre a déjà engagé des poursuites ou prononcé une sanction devenue définitive.

Deux phrases que vous lirez ailleurs et qui sont fausses

« L’article L34-5 a été déclaré inconstitutionnel » : non. Seuls trois alinéas relatifs aux sanctions sont visés. L’interdiction de fond et le soft opt-in restent pleinement en vigueur.
« La prospection par email est temporairement dépénalisée » : non, et c’est dangereux à croire. La voie de sanction fondée sur le RGPD, entre les mains de la CNIL, n’est pas touchée par cette décision.

Sources : conseil-constitutionnel.fr/decision/2026/20261210QPC.htm et son communiqué de presse, consultés le 31/08/2026.

B2C et B2B : la distinction que tout le monde rate

Vers un particulier

Le consentement préalable est obligatoire. La CNIL précise, sur sa page consacrée à la prospection commerciale par voie électronique (mise à jour le 10/06/2026, consultée le 31/08/2026), que la case de recueil doit être non pré-cochée et que l’acceptation de conditions générales de vente ne vaut pas consentement à la prospection. L’exception du client existant vise des produits ou services similaires. Une précision peu reprise ailleurs mérite d’être connue : la simple création d’un compte ne constitue pas, à elle seule, une relation commerciale ouvrant droit au soft opt-in.

Vers un professionnel — et là, deux cas, pas un

C’est ici que la plupart des contenus français basculent dans le faux, en concluant que « le B2B est libre ». Il ne l’est pas. La doctrine CNIL distingue :

Les adresses génériques de personne morale (contact@, info@) : elles sortent du champ des règles de consentement individuel.
Les adresses professionnelles nominatives (prenom.nom@entreprise.fr) : ce sont des données personnelles, leur titulaire est une personne physique. La prospection y est possible sur le fondement de l’intérêt légitime (article 6.1.f du RGPD), lorsque l’objet de la sollicitation est en rapport avec la profession de la personne démarchée — l’exemple donné par la CNIL est celui d’un logiciel présenté au directeur informatique.

Deux conditions restent cumulatives dans ce second cas : l’information de la personne au moment de la collecte et un droit d’opposition simple et gratuit. Et il faut lire cette dérogation pour ce qu’elle est : la position d’une autorité de contrôle appliquant l’article 6.1.f du RGPD, pas une disposition légale autonome, et en aucun cas un droit de prospecter sans limite.

Quelle que soit la base légale retenue, quatre obligations ne souffrent aucune exception : l’identité de l’expéditeur doit être clairement indiquée ; l’objet du message ne doit pas être trompeur ; un moyen simple et gratuit de s’opposer aux envois doit figurer dans chaque message ; et la demande de désabonnement doit être traitée sans délai. Le droit d’opposition à la prospection est absolu : il n’a pas à être motivé et ne peut pas être refusé.

Combien de temps garder un prospect inactif ?

La CNIL retient trois ans à compter du dernier contact, délai glissant qui redémarre à chaque contact actif (pages « durées de conservation » de cnil.fr et guide associé, consultés le 31/08/2026). Il faut être exact sur le statut de ce chiffre : c’est une recommandation, un référentiel indicatif — pas une durée légale. L’article 5.1.e du RGPD impose une durée limitée et justifiée ; il ne fixe aucun nombre d’années. Écrire « la loi impose 3 ans » est faux.

Le socle européen : RGPD et ePrivacy

Le RGPD (règlement (UE) 2016/679) encadre l’ensemble : définition du consentement (art. 4(11)), intérêt légitime (art. 6.1.f, éclairé par le considérant 47 qui admet que la prospection puisse relever de l’intérêt légitime), conditions et charge de la preuve du consentement pesant sur le responsable de traitement (art. 7), information de la personne (art. 13 et 14), droit d’opposition à la prospection, absolu, immédiat, sans motif à justifier (art. 21.2 et 21.3), minimisation et limitation de conservation (art. 5), encadrement contractuel du sous-traitant — votre routeur en est un (art. 28), registre des traitements (art. 30). Sources : EUR-Lex, CELEX 32016R0679, et le miroir de la CNIL (cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3), consultés le 31/08/2026.

La directive ePrivacy 2002/58/CE (version consolidée 02002L0058-20091219) reste le texte-cadre : son article 13.2 porte le soft opt-in, avec les trois mêmes conditions cumulatives qu’en droit français. Elle n’a jamais été abrogée. Le projet de règlement destiné à la remplacer a été retiré : le programme de travail de la Commission publié le 11/02/2025 l’indique — nous n’avons pas lu ce document en source primaire, seulement des sources concordantes, et nous le signalons plus bas.

Si votre outil d’envoi héberge aux États-Unis

La décision d’adéquation du 10/07/2023 encadrant les transferts UE–États-Unis est toujours en vigueur au 31/08/2026 (liste officielle des décisions d’adéquation de la Commission, consultée le 31/08/2026). Le recours Latombe a été rejeté par le Tribunal de l’Union européenne le 03/09/2025 (aff. T-553/23) ; un pourvoi a été formé devant la Cour de justice le 31/10/2025 (aff. C-703/25 P). Formulation exacte : le cadre de transfert est aujourd’hui valide mais fait l’objet d’un pourvoi pendant devant la CJUE. Ni plus, ni moins.

Le piège du démarchage téléphonique

Depuis le 11/08/2026, la loi n° 2025-594 du 30/06/2025 est entrée en vigueur : elle réforme l’article L223-1 du Code de la consommation, met fin au dispositif Bloctel et impose un consentement préalable strict pour les appels commerciaux. Elle est récente, très commentée, et régulièrement transposée à tort à l’email.

Elle ne concerne pas l’emailing. Le régime de l’email reste celui de l’article L34-5 CPCE et du RGPD, décrits ci-dessus. Confondre les deux conduit soit à s’interdire des envois licites, soit à croire qu’un opt-in téléphonique vaut consentement email : ce sont deux canaux, deux textes, deux régimes.

Ce qu’exige un formulaire d’inscription

Ce tableau est volontairement écrit pour être vérifiable ligne à ligne sur n’importe quel formulaire, y compris le nôtre. La dernière colonne est la plus importante : elle sépare ce que la loi impose de ce qui est une recommandation ou une bonne pratique. Les confondre est la faute la plus courante des check-lists en circulation.

#	Exigence	Base (article / doctrine)	Formulation vérifiable	Statut juridique
1	Case de consentement non pré-cochée, distincte du bouton d’envoi	Doctrine CNIL B2C + RGPD art. 4(11) et 7	La case existe, n’est pas cochée par défaut, est séparée visuellement du bouton	Recommandation CNIL + obligation RGPD (preuve du consentement)
2	Mention d’information visible au formulaire, pas seulement derrière un lien	RGPD art. 13 et 14	Responsable de traitement, finalité, base légale, durée de conservation, droits, contact — affichés au moment de la collecte	Obligation légale
3	Lien vers la politique de confidentialité, à côté du bouton	RGPD art. 13	Lien direct, visible, non caché derrière un menu	Obligation légale
4	Aucun champ transmis avant clic délibéré sur le bouton d’envoi	RGPD art. 7 (preuve du consentement)	Pas d’envoi à la sortie de champ, pas de sauvegarde de frappe partielle	Bonne pratique déduite de la charge de la preuve (art. 7.1)
5	Preuve du consentement horodatée et conservée (texte affiché, version, date, IP ou équivalent)	RGPD art. 7.1 — la charge de la preuve incombe au responsable de traitement	Un enregistrement technique existe et est consultable	Obligation légale
6	Moyen de désinscription simple et gratuit, présent dans chaque envoi	L34-5 CPCE al. 5 + RGPD art. 21.2	Lien de désinscription fonctionnel dans chaque email, pas seulement à l’inscription	Obligation légale
7	Désinscription traitée « sans délai »	L34-5 CPCE al. 5 — aucun délai chiffré unique ; les exigences techniques des fournisseurs de boîtes sont un sujet distinct, hors périmètre RGPD	Aucun « 10 jours » affirmé comme règle légale	Obligation légale non chiffrée + bonne pratique technique séparée
8	Durée de conservation affichée et appliquée	Recommandation CNIL « 3 ans » glissants — pas une obligation légale chiffrée	La page affiche une durée et une purge programmée existe réellement	Recommandation CNIL (pas la loi)
9	Double opt-in	Ni le RGPD ni le CPCE ne l’imposent	Présenté comme le moyen le plus sûr de prouver le consentement, jamais comme obligatoire	Non obligatoire, fortement recommandé
10	Identité de l’expéditeur claire, objet non trompeur	L34-5 CPCE al. 5	Nom ou marque identifiable dans l’expéditeur, objet fidèle au contenu	Obligation légale

bases : legifrance.gouv.fr (L34-5 CPCE) · eur-lex.europa.eu (CELEX 32016R0679) · cnil.fr · relevé le 31/08/2026

Ce que la CNIL sanctionne réellement

Les plafonds théoriques du RGPD circulent partout ; les montants réellement prononcés en matière de prospection par email sont plus instructifs. Deux délibérations que nous avons pu rattacher à leur source :

Date	Organisme	Montant	Motif
14/11/2024	Orange SA	50 000 000 €	Publicités insérées entre les courriels des utilisateurs sans consentement (L34-5 CPCE) et non-respect du retrait de consentement aux cookies (art. 82 de la loi Informatique et Libertés). Environ 7,89 millions d’utilisateurs concernés.
15/05/2025	Solocal Marketing Services	900 000 €	Prospection sur des données achetées à des courtiers et formulaires de collecte trompeurs (L34-5 CPCE, art. 6 et 7 du RGPD). Injonction sous 9 mois, astreinte de 10 000 € par jour. Délibération SAN-2025-001, publiée le 21/05/2025.

source : cnil.fr, pages de sanction dédiées · relevé le 31/08/2026

Le motif est commun aux deux : des campagnes bâties sur des fichiers dont le consentement amont est douteux — en particulier des données achetées à des courtiers. C’est le point de contrôle prioritaire de l’autorité, et c’est plus utile à savoir qu’un plafond d’amende. Nous ne présentons donc pas les maxima du RGPD comme des montants « typiques » : les sanctions effectivement prononcées se situent très en dessous.

Une précision qui vaut avertissement : la sanction pénale de « 750 € par message », issue de la version 2004 du dispositif, circule encore sur des dizaines de pages françaises. Elle a été remplacée par le régime d’amende administrative. Ne l’utilisez pas comme référence.

Ce qu’on ne sait pas

Les limites de cette page, énoncées plutôt que masquées

Les montants d’amende de l’article 83 du RGPD n’ont pas été re-vérifiés verbatim en source primaire au 31/08/2026 : la consultation d’EUR-Lex s’interrompait avant le chapitre VIII. Nous ne citons donc aucun montant plafond dans cette page.
Le sort du pourvoi Latombe devant la CJUE (aff. C-703/25 P), sur le cadre de transfert UE–États-Unis, n’est pas tranché. Toute affirmation sur l’avenir de ce cadre est une conjecture.
Le périmètre exact de « en rapport avec la profession » en B2B n’est défini par aucune liste exhaustive de la CNIL : l’appréciation se fait au cas par cas. Nous ne publions pas de liste de cas « autorisés », elle serait inventée.
Le Digital Omnibus (COM(2025) 837) n’est, au 31/08/2026, qu’une proposition en négociation ; les analyses disponibles n’envisagent pas de première application avant fin 2027. Rien n’y est acquis et rien ne doit être présenté comme voté.
La date de dernière mise à jour de la doctrine CNIL retenue ici est le 10/06/2026 ; la page de l’autorité peut avoir évolué depuis notre consultation du 31/08/2026. Vérifiez-la directement à la source avant toute décision.
Le retrait du projet de règlement ePrivacy nous est connu par des sources concordantes, mais le programme de travail de la Commission du 11/02/2025 n’a pas été lu en document primaire.
Une troisième sanction CNIL en matière de prospection circule dans nos notes ; sa date et son motif n’ayant pas pu être confirmés verbatim sur la délibération, nous la retirons du tableau ci-dessus plutôt que de la publier approximativement.
Nous n’avons pas audité page par page les contenus concurrents sur cette requête. Nos remarques sur les erreurs répandues portent sur des formulations documentées, pas sur un relevé exhaustif de ce que publient d’autres sites.
Legifrance et EUR-Lex répondent parfois par une erreur ou une page tronquée à une consultation automatisée. Quand une source n’a pas pu être ouverte, nous le disons : nous ne reconstituons jamais un article de mémoire.

Sources et méthode

Méthode de cette page : chaque règle citée est rattachée à son texte, à son URL officielle et à sa date de consultation. Aucune règle n’est reformulée de mémoire ; ce qui n’a pas pu être vérifié en source primaire figure dans la section précédente au lieu d’être arrondi. Cette page sera réexaminée et redatée au moins une fois par an.

Article L34-5 du CPCE — legifrance.gouv.fr/codes/article_lc/LEGIARTI000042155961/ · consulté le 31/08/2026
Décision QPC n° 2026-1210 du 25/06/2026 et communiqué — conseil-constitutionnel.fr/decision/2026/20261210QPC.htm · consultés le 31/08/2026
Règlement (UE) 2016/679 — EUR-Lex, CELEX 32016R0679 · consulté le 31/08/2026
Directive 2002/58/CE, version consolidée 02002L0058-20091219, art. 13.2 · consultée le 31/08/2026
LCEN, loi n° 2004-575 du 21/06/2004, art. 22 · consultée le 31/08/2026
CNIL — « La prospection commerciale par courrier électronique, SMS, MMS et automate d’appel », page mise à jour le 10/06/2026 · consultée le 31/08/2026
CNIL — durées de conservation des données et guide associé · consultés le 31/08/2026
CNIL — pages de sanction Orange SA (14/11/2024) et Solocal Marketing Services, délibération SAN-2025-001 (15/05/2025, publiée le 21/05/2025) · consultées le 31/08/2026
Loi n° 2025-594 du 30/06/2025 (démarchage téléphonique, art. L223-1 du Code de la consommation), en vigueur le 11/08/2026 · consultée le 31/08/2026
Commission européenne — liste des décisions d’adéquation, décision du 10/07/2023 · consultée le 31/08/2026 · Tribunal de l’UE, aff. T-553/23 (03/09/2025) · pourvoi C-703/25 P (31/10/2025)

page rédigée à partir de sources primaires datées · édition du 31/08/26 · prochaine revue : mise à jour annuelle

Hélène Sertin

Rédaction · Newsletter Access

Article publié le 21/08/2026, mis à jour le 31/08/2026.