En 2026, vous avez sûrement reçu un mail spécial des newsletters auxquelles vous êtes abonné(e). Ce mail vous indiquait quelques spécificités sur les traitements dont vos données personnelles font l’objet, dans le système de la mailing liste en question. Voir aussi Email professionnel et RGPD : toutes les règles à respecter en 2026

En 2026, les obligations concernant les emails et newsletters reposent sur 2 ensembles de règles qui se complètent :

• le RGPD, qui encadre le traitement des données personnelles ;
• les règles de la directive ePrivacy, transposées en France à l’article L.34-5 du Code des postes et des communications électroniques, qui encadrent spécifiquement la prospection par email.

La différence entre le B2C et le B2B est fondamentale.

Les obligations pour les newsletters et emails en B2C

Lorsqu’une entreprise envoie une newsletter ou des emails commerciaux à des particuliers, le principe est simple : le consentement préalable est obligatoire.

Le consentement (opt-in)

Avant tout envoi commercial, le destinataire doit avoir accepté de recevoir des communications marketing.

Ce consentement doit être :

• libre ;
• spécifique ;
• éclairé ;
• univoque.

Une case précochée ou un consentement implicite ne sont pas valables. L’entreprise doit être capable de démontrer quand, comment et avec quel texte le consentement a été recueilli.

L’exception pour les clients existants

Une entreprise peut envoyer des emails commerciaux sans nouveau consentement uniquement si toutes les conditions suivantes sont réunies :

• l’adresse email a été recueillie lors d’une vente ou d’une prestation ;
• les produits ou services proposés sont similaires à ceux déjà achetés ;
• le client a été informé lors de la collecte que son adresse serait utilisée à cette fin ;
• chaque email contient un moyen simple de se désinscrire.

Si une seule de ces conditions manque, il faut revenir au principe du consentement préalable.

Les mentions obligatoires dans chaque newsletter

Chaque email commercial doit comporter :

• l’identité de l’expéditeur ;
• un objet non trompeur ;
• un lien de désinscription fonctionnel ;
• les coordonnées permettant d’exercer les droits RGPD (ou un lien vers la politique de confidentialité) ;
• les informations légales de l’entreprise.

Le lien de désinscription doit fonctionner immédiatement et gratuitement.

Après une désinscription

Lorsqu’un abonné clique sur « Se désinscrire », son choix doit être pris en compte sans délai.

L’entreprise ne doit plus lui envoyer de prospection commerciale.

En revanche, elle peut conserver son adresse dans une liste d’opposition (liste repoussoir) afin d’éviter tout nouvel envoi accidentel. Cette conservation est non seulement autorisée, mais recommandée par la CNIL.

Durée de conservation

La CNIL recommande de supprimer ou d’anonymiser les données des prospects qui ne répondent plus aux sollicitations après 3 ans sans interaction.

Pour les clients, la durée dépend de la relation commerciale et des obligations légales applicables.

Les obligations pour les emails et newsletters en B2B

Le régime est beaucoup plus souple.

Contrairement à une idée répandue, le RGPD n’interdit pas le cold email B2B.

Le consentement n’est pas obligatoire

Une entreprise peut contacter un professionnel sans avoir obtenu son accord préalable, sous réserve de respecter plusieurs conditions cumulatives.

Le message doit concerner directement l’activité professionnelle du destinataire.

Par exemple :

• un logiciel RH pour un DRH ;
• une solution comptable pour un expert-comptable ;
• une agence SEO pour un responsable marketing.

En revanche, proposer un logiciel médical à un directeur informatique ne respecterait pas ce principe.

Base légale

La base juridique utilisée est généralement l’intérêt légitime (article 6 du RGPD).

L’entreprise doit pouvoir démontrer qu’elle a réalisé une mise en balance entre son intérêt commercial et les droits du destinataire.

Information obligatoire

Dès le premier email, le professionnel doit être informé :

• de l’identité de l’expéditeur ;
• de l’origine des données si elles n’ont pas été collectées directement ;
• de la finalité du traitement ;
• de son droit d’opposition.

Ces informations peuvent être intégrées dans le pied de page de l’email ou dans la politique de confidentialité accessible par lien.

Désinscription

Même sans consentement préalable, chaque email B2B doit proposer un moyen simple de ne plus recevoir de messages.

Un lien « Se désinscrire » est aujourd’hui considéré comme une bonne pratique et facilite la conformité.

Les adresses génériques

Les adresses du type :

• contact@…
• info@…
• commercial@…
• rh@…

ne sont généralement pas considérées comme des données personnelles.

Elles peuvent être prospectées plus librement, à condition :

• que le message reste pertinent pour l’activité de l’entreprise ;
• qu’un mécanisme de désinscription soit proposé.

Les obligations communes au B2B et au B2C

Quel que soit le type de destinataire, plusieurs règles restent identiques.

L’entreprise doit notamment :

• tenir un registre des traitements si elle y est soumise ;
• sécuriser sa base de données ;
• limiter l’accès aux listes d’abonnés ;
• respecter les droits d’accès, de rectification, d’effacement et d’opposition ;
• documenter la base légale utilisée ;
• supprimer les données lorsqu’elles ne sont plus nécessaires ;
• conclure un contrat de sous-traitance conforme au RGPD avec la plateforme d’emailing (Brevo, Mailchimp, Mailjet, Sarbacane, HubSpot, etc.) lorsque celle-ci traite les données pour son compte.

Attention aux pixels de suivi en 2026

Le principal changement de 2026 concerne les pixels de suivi des ouvertures d’emails.

La CNIL considère désormais que les pixels permettant de mesurer l’ouverture d’un email relèvent du régime des traceurs lorsqu’ils accèdent au terminal du destinataire. Depuis la fin de la période de transition en juillet 2026, leur utilisation nécessite, selon les cas prévus par la recommandation, un consentement lorsqu’ils vont au-delà de ce qui est strictement nécessaire à la prospection. Les entreprises utilisant le suivi des ouvertures, du comportement ou du profilage doivent donc vérifier que leurs pratiques sont conformes aux nouvelles recommandations. Des contrôles sont annoncés.

Tableau récapitulatif