L’email est devenu le principal outil de communication des entreprises. Pourtant, il reste aussi l’une des premières sources de violations du RGPD. Une simple campagne de prospection mal préparée, une erreur dans les destinataires d’un message ou une boîte mail conservée trop longtemps peuvent suffire à déclencher un contrôle de la CNIL, voire une sanction.
Beaucoup d’entreprises pensent encore que le RGPD ne concerne que les bases de données clients ou les cookies. C’est faux. Chaque adresse email nominative, chaque message envoyé, chaque signature électronique et chaque archive de messagerie entre dans le champ d’application du règlement européen lorsqu’une personne physique peut être identifiée.
Pour éviter les erreurs les plus fréquentes, il est indispensable de connaître les règles applicables en matière de prospection commerciale, de conservation des emails, de sécurité des échanges et de gestion des boîtes professionnelles. Voici tout ce qu’il faut savoir en 2026.
Une adresse email professionnelle est une donnée personnelle
Dès lors qu’une adresse email permet d’identifier directement ou indirectement une personne, elle constitue une donnée à caractère personnel au sens de l’article 4 du RGPD. C’est notamment le cas des adresses du type prenom.nom@entreprise.fr ou p.dupont@societe.fr. La CNIL comme la jurisprudence française rappellent régulièrement ce principe, qui s’applique quelle que soit la taille de l’entreprise.
À l’inverse, une adresse générique comme contact@, commercial@ ou info@ n’identifie pas, en elle-même, une personne physique. Elle n’est donc pas automatiquement considérée comme une donnée personnelle. En revanche, les messages qu’elle contient peuvent parfaitement comporter des informations soumises au RGPD.
Cette qualification entraîne plusieurs obligations pour l’entreprise. Toute collecte ou utilisation d’adresses email nominatives doit reposer sur une base juridique valable, informer les personnes concernées de la finalité du traitement, respecter leurs droits (accès, rectification, effacement, opposition), prévoir une durée de conservation adaptée et mettre en œuvre des mesures de sécurité proportionnées. Ces obligations concernent aussi bien un fichier de prospects qu’un simple carnet d’adresses Outlook ou Google Workspace.
Prospection commerciale par email : les règles diffèrent entre le B2B et le B2C
Les règles applicables à l’emailing commercial ne sont pas les mêmes selon que les destinataires sont des particuliers ou des professionnels. Cette distinction est essentielle car elle conditionne la légalité de toute campagne de prospection.
En B2C, le consentement reste la règle
Lorsqu’une entreprise souhaite envoyer des emails promotionnels à des particuliers utilisant une adresse personnelle comme Gmail, Outlook ou Orange, le principe est simple : le destinataire doit avoir donné son accord avant toute sollicitation commerciale.
Ce consentement doit être libre, spécifique, éclairé et pouvoir être démontré en cas de contrôle. Il ne suffit donc pas qu’une personne ait communiqué son adresse email à l’occasion d’un achat ou d’une demande d’information pour recevoir automatiquement des offres commerciales.
Une exception existe néanmoins lorsque l’entreprise souhaite promouvoir auprès de ses propres clients des produits ou services similaires à ceux qu’ils ont déjà achetés. Cette possibilité n’est admise que si les coordonnées ont été collectées lors d’une vente ou d’une prestation, que la personne a été informée dès l’origine qu’elle pourrait recevoir des offres commerciales et que chaque email comporte un lien de désinscription simple, gratuit et immédiatement utilisable.
Cette exception est interprétée de manière restrictive par la CNIL. Une entreprise qui l’utilise pour promouvoir des services sans lien avec la relation commerciale initiale s’expose à un risque de sanction.
En B2B, la prospection est possible sous plusieurs conditions
Le régime est plus souple lorsque les messages sont adressés à des professionnels sur leur adresse de travail nominative.
Dans cette situation, le consentement préalable n’est généralement pas exigé. En revanche, plusieurs conditions doivent être réunies. Le contenu de l’email doit présenter un lien direct avec les fonctions exercées par son destinataire. L’identité de l’expéditeur doit être clairement identifiable et chaque message doit offrir un moyen simple de s’opposer aux sollicitations futures. L’entreprise doit également être capable de démontrer que la personne a été informée de l’utilisation de son adresse email lors de sa collecte.
Les adresses génériques telles que contact@, rh@ ou direction@ peuvent, quant à elles, être démarchées plus librement, sous réserve de respecter les règles relatives à la désinscription.
En pratique, l’un des principaux risques concerne aujourd’hui l’utilisation de bases de données achetées ou constituées par extraction automatique sur internet ou les réseaux sociaux professionnels. Lors d’un contrôle, l’entreprise qui réalise la prospection doit être capable de démontrer l’origine licite des adresses utilisées. Le simple fait d’avoir acheté un fichier auprès d’un prestataire ne suffit pas à transférer cette responsabilité.
Quelle base juridique utiliser ?
Pour la prospection B2B, de nombreuses entreprises s’appuient sur l’intérêt légitime prévu par l’article 6 du RGPD. Ce choix est possible mais suppose de réaliser une véritable analyse de mise en balance entre les intérêts commerciaux de l’entreprise et les droits des personnes concernées.
En B2C, cette approche n’est pas envisageable pour contourner l’obligation de consentement imposée par les règles relatives aux communications électroniques. Les autorités européennes rappellent régulièrement que le consentement demeure la référence pour les campagnes marketing destinées aux particuliers.
Voir aussi le sujet du pixel qui est maintenant un tracker au sens du RGPD.
Les mentions obligatoires dans une signature email professionnelle
La signature électronique ne sert pas uniquement à afficher les coordonnées d’un collaborateur. Elle participe également au respect de plusieurs obligations légales.
Un email professionnel doit permettre d’identifier clairement son expéditeur ainsi que l’entreprise pour laquelle il agit. Il est donc recommandé d’y faire figurer le nom et le prénom du salarié, sa fonction, le nom de l’entreprise, sa forme juridique, l’adresse de son siège social, ses numéros SIREN ou SIRET, ainsi que le numéro de TVA intracommunautaire lorsqu’il existe. Les coordonnées de contact de l’entreprise doivent également être facilement accessibles. Certaines professions réglementées doivent en outre ajouter les informations spécifiques imposées par leur ordre professionnel ou leur réglementation sectorielle.
D’un point de vue RGPD, il est également conseillé d’ajouter un encart rappelant que les données échangées sont traitées dans le cadre de la relation commerciale et précisant les modalités d’exercice des droits des personnes concernées. Cette mention ne crée pas à elle seule la conformité, mais elle améliore l’information délivrée aux destinataires.
En revanche, certaines pratiques restent déconseillées. Il ne sert à rien d’afficher une formule du type « Cet email est conforme au RGPD » si aucune information concrète n’est fournie. Cette affirmation n’a aucune portée juridique. De même, un lien de désinscription inopérant dans une campagne marketing ou l’utilisation d’images distantes permettant de suivre l’ouverture des emails sans information préalable peuvent constituer des manquements relevés par la CNIL.