Vous pensez encore qu’un simple numéro de téléphone ou une adresse email devinée suffisent pour lancer une campagne de prospection ? Depuis l’été 2026, ce réflexe coûte cher. La Commission nationale de l’informatique et des libertés a récemment publié un cadre précis sur deux pratiques très répandues : les appels à froid destinés aux particuliers et la reconstitution d’adresses professionnelles du type pré[email protected]. Ces règles changent la donne pour les équipes commerciales, les growth marketers et les dirigeants de PME qui s’appuient encore massivement sur ces leviers.

Le paysage de la prospection commerciale a basculé le 11 août 2026. Ce qui était hier un simple filtre via une liste d’opposition est devenu un véritable verrou d’opt-in. Dans le même temps, la CNIL a clarifié les conditions dans lesquelles on peut « deviner » une adresse email professionnelle à partir de données publiques. Ces deux publications, sorties à quelques semaines d’intervalle, obligent les entreprises à revoir leurs process de A à Z. Voici une analyse détaillée, concrète et actionnable de ce nouveau cadre juridique.

Le basculement du démarchage téléphonique : de l’opt-out à l’opt-in strict

Jusqu’à l’été 2026, la logique était simple : tant que le consommateur n’avait pas inscrit son numéro sur Bloctel, on pouvait l’appeler. Cette époque est révolue. L’article L.223-1 du Code de la consommation impose désormais un consentement préalable pour tout démarchage téléphonique destiné aux particuliers. La liste Bloctel a disparu le 11 août 2026. Le consentement doit être recueilli par un acte positif clair : case à cocher sur un formulaire, signature lors d’un achat, validation en magasin ou via un parcours digital explicite.

Ce consentement n’est pas éternel. Il est valable un an maximum. Au-delà, il faut le renouveler. La preuve de ce consentement doit être conservée pendant au moins trois ans. Les autorités exigent que le consentement mentionne clairement l’identité de l’appelant, l’objet précis de l’appel et sa durée approximative. Un simple « j’accepte d’être contacté » sans ces précisions ne tient plus juridiquement.

Deux exceptions principales subsistent. La première concerne les appels liés à l’exécution d’un contrat en cours : un service après-vente, un rappel de renouvellement d’abonnement ou une information sur une livraison. La seconde exception porte sur la vente d’abonnements à des journaux ou magazines. Dans tous les autres cas, l’absence de consentement préalable expose l’entreprise à des sanctions lourdes.

Les plages horaires restent strictement encadrées. Les appels sont autorisés uniquement du lundi au vendredi, entre 10 h et 13 h puis entre 14 h et 20 h. Au-delà de quatre sollicitations par consommateur sur une période de trente jours, le risque de plainte augmente fortement. Ces règles s’appliquent aussi bien aux centres d’appels qu’aux équipes commerciales internes qui passent encore des appels manuels.

Les sanctions financières : un risque réel pour les entreprises

La Direction générale de la concurrence, de la consommation et de la répression des fraudes rappelle que les amendes peuvent atteindre 375 000 euros pour une personne morale. Les sanctions sont systématiquement publiées. Au-delà de l’amende, l’entreprise subit un dommage d’image important : les médias et les réseaux sociaux relaient facilement les décisions de la DGCCRF. Pour une PME, une telle publication peut compromettre durablement la relation de confiance avec ses clients et prospects.

Les secteurs de la rénovation énergétique, de l’adaptation du logement à la perte d’autonomie et de la formation via le Compte personnel de formation restent particulièrement surveillés. Dans ces domaines, le démarchage téléphonique est quasiment interdit sauf demande explicite du consommateur. Les entreprises qui continuent d’appeler sans consentement s’exposent à des contrôles ciblés.

La reconstitution d’adresses emails professionnelles : un cadre désormais clair

Le 16 octobre 2026, la CNIL a publié une fiche dédiée à une pratique quotidienne des équipes B2B : la reconstitution d’adresses emails professionnelles. Il s’agit de deviner une adresse du type pré[email protected] à partir de données publiées en ligne (LinkedIn, site corporate, annuaire, page équipe). Cette technique, très utilisée par les outils d’enrichissement, n’échappe pas au RGPD.

Selon la CNIL, cette reconstitution peut reposer sur l’intérêt légitime, mais uniquement après une analyse au cas par cas. Il ne s’agit pas d’une base légale automatique. L’entreprise doit démontrer que l’intérêt de contacter la personne l’emporte sur les droits et libertés de celle-ci. Deux signaux sont particulièrement scrutés : la visibilité professionnelle du prospect et les mesures qu’il a prises pour se protéger.

Si un prospect n’a aucun profil public, ou s’il affiche uniquement un formulaire de contact plutôt qu’une adresse email directe, la CNIL y voit un indice fort que la personne ne souhaite pas être joignable par email. Dans ce cas, l’intérêt légitime devient difficile à défendre. Même logique lorsque la personne a explicitement limité la visibilité de ses coordonnées.

Avant d’envoyer le premier message, l’entreprise doit croiser deux éléments : la présence visible du prospect sur des réseaux professionnels ou sur le site de son entreprise, et un motif de contact clairement lié à l’offre proposée. Si l’un de ces deux éléments manque, mieux vaut renoncer à la reconstitution ou passer par un consentement explicite.

Les garanties concrètes exigées par la CNIL

La CNIL cite deux garanties essentielles. Premièrement, une adresse reconstituée ne doit être conservée qu’après un premier échange dans un délai raisonnable. Si la personne ne répond pas, l’adresse doit être supprimée. Deuxièmement, toute opposition doit être prise en compte immédiatement, sans justification. L’entreprise n’a pas le droit de demander pourquoi la personne refuse d’être contactée.

Le « délai raisonnable » n’est pas chiffré précisément. Dans la pratique, les équipes les plus prudentes fixent une limite de trente à soixante jours. Au-delà, l’adresse est considérée comme inactive et doit disparaître des fichiers. Cette règle oblige les outils d’enrichissement et les CRM à intégrer des mécanismes de purge automatique.

Il est également recommandé de documenter l’analyse d’intérêt légitime. Un simple tableau indiquant pour chaque segment de prospects les raisons du contact, la source des données et les mesures de protection mises en place constitue une preuve solide en cas de contrôle.

Tableau comparatif des deux régimes

Pour y voir plus clair, voici une synthèse des différences majeures entre l’appel à un consommateur et l’email professionnel reconstitué :

Critère principal : pour l’appel téléphonique, le consentement préalable est obligatoire sauf exceptions limitées. Pour l’email pro, l’intérêt légitime reste possible mais doit être démontré au cas par cas.

Point de vigilance : le consentement téléphonique est valable un an maximum et la preuve se conserve trois ans. Pour l’email, la visibilité en ligne de la personne et les mesures de protection qu’elle a prises sont déterminantes.

Conséquence en cas de non-conformité : pas d’appel possible, sauf contrat en cours ou presse. Pour l’email, soit on recueille le consentement, soit on renonce à la reconstitution.

Calendrier des changements clés de 2026

Pour situer précisément les évolutions, il est utile de rappeler la chronologie :

Le 23 juillet 2026, le décret n° 2026-662 a précisé les modalités de recueil, de conservation et de retrait du consentement. Le 11 août 2026, le consentement préalable est entré en vigueur et Bloctel a disparu. Le 24 septembre 2026, un webinaire commun CNIL-DGCCRF a présenté le nouveau régime. Le 16 octobre 2026, la CNIL a publié son cadre sur la reconstitution d’adresses. Enfin, le 19 octobre 2026, le replay du webinaire a été mis en ligne.

Deux mois après la bascule, le moment est idéal pour auditer l’ensemble des fichiers d’appels et des bases d’emails enrichis. Chaque consentement doit être daté, traçable et conforme aux critères de la DGCCRF. Chaque adresse reconstituée doit faire l’objet d’une analyse documentée.

Impact concret sur les équipes commerciales et growth

Les centres d’appels et les équipes de sales development representatives sont les plus exposés. Les campagnes de cold calling massives deviennent extrêmement risquées. Les outils d’enrichissement qui proposent des milliers d’adresses email en un clic doivent être paramétrés avec des filtres stricts. Les growth marketers qui s’appuyaient sur des listes achetées ou reconstituées doivent repenser leur stratégie d’acquisition.

Les entreprises qui fonctionnent principalement avec des leads entrants (inbound) sont beaucoup moins impactées. En revanche, celles qui combinait prospection sortante et inbound doivent revoir l’équilibre de leurs canaux. Le coût d’acquisition risque d’augmenter à court terme, mais la qualité des contacts devrait s’améliorer.

Dans la pratique, plusieurs entreprises ont déjà adapté leurs process. Certaines ont mis en place un double opt-in pour le téléphone et un parcours de consentement explicite pour les emails. D’autres ont réduit drastiquement le volume d’appels sortants pour se concentrer sur les leads chauds issus de webinaires, de contenus ou de recommandations.

Comment auditer vos fichiers dès maintenant

La première étape consiste à cartographier l’ensemble des bases de contacts utilisées pour la prospection. Pour chaque fichier, identifiez la source des données, la date de collecte, la base légale retenue et la dernière date de contact. Les consentements téléphoniques doivent être isolés et vérifiés un par un.

Pour les adresses emails reconstituées, demandez-vous si chaque personne était réellement visible professionnellement au moment de la reconstitution. Si la réponse est non, ou si le motif de contact est trop large, l’adresse doit être mise de côté. Mettez en place un processus de purge automatique des adresses non utilisées après un délai défini.

Formez vos équipes commerciales et marketing. Un commercial qui continue d’appeler sans vérifier le consentement expose toute l’entreprise. Un growth marketer qui lance une séquence d’emails sur des adresses reconstituées sans analyse d’intérêt légitime crée un risque juridique immédiat.

Les zones grises qui restent à clarifier

Plusieurs points restent flous. La FAQ de la CNIL sur le démarchage téléphonique vise explicitement les particuliers. Elle n’aborde pas l’appel B2B. Dans la pratique, les entreprises doivent vérifier le statut de leur cible : particulier ou professionnel. Un dirigeant de TPE qui utilise son numéro personnel peut se retrouver dans une zone intermédiaire.

Pour les emails reconstitués, la CNIL précise que s’aligner sur la base légale de la prospection n’est « ni automatique ni systématique ». Chaque cas doit être analysé. Le délai raisonnable de conservation n’est pas chiffré. Les entreprises ont donc intérêt à adopter une approche prudente plutôt qu’une interprétation large.

Les secteurs sensibles (rénovation énergétique, adaptation du logement, CPF) restent fermés au démarchage téléphonique sauf demande explicite. Ces interdictions sectorielles s’ajoutent au régime général et complexifient encore la conformité.

Bonnes pratiques pour rester conforme tout en prospectant

Voici une liste de recommandations concrètes pour adapter vos process sans tuer la prospection :

• Traitez chaque consentement téléphonique comme un actif daté à renouveler chaque année
• Documentez systématiquement l’analyse d’intérêt légitime pour chaque segment d’emails reconstitués
• Mettez en place une purge automatique des adresses non utilisées après trente à soixante jours
• Formez l’ensemble des équipes commerciales et marketing aux nouvelles règles
• Privilégiez les canaux inbound et le content marketing pour réduire la dépendance au cold outreach
• Intégrez des mécanismes d’opposition simples et immédiats dans tous vos messages
• Conservez les preuves de consentement pendant au moins trois ans dans un système sécurisé

Ces mesures ne sont pas seulement défensives. Elles améliorent aussi la qualité des bases de contacts. Une liste plus courte mais réellement consentie convertit généralement mieux qu’une base massive et peu qualifiée.

L’intérêt légitime : comment le démontrer concrètement

L’intérêt légitime reste la base légale la plus utilisée pour la prospection B2B. Pour qu’elle soit solide, l’entreprise doit pouvoir répondre à trois questions. Quel est mon intérêt à contacter cette personne ? Quels sont les droits et libertés de la personne concernée ? Existe-t-il un équilibre raisonnable entre les deux ?

Un commercial qui contacte un directeur marketing pour lui proposer un outil de marketing automation a un intérêt légitime évident si la personne est visible sur LinkedIn et si l’offre correspond à son métier. En revanche, le même commercial qui envoie un message générique à une adresse reconstituée sans lien avec le poste de la personne se trouve en terrain glissant.

La documentation de cette analyse est essentielle. Un tableau Excel ou un champ dans le CRM indiquant « intérêt légitime justifié par visibilité LinkedIn + offre correspondante au poste » constitue une preuve simple et efficace.

Le rôle des outils d’enrichissement et des CRM

Les plateformes d’enrichissement de données doivent adapter leurs algorithmes. Proposer une adresse email sans indiquer le niveau de confiance ou la source de la reconstitution devient risqué. Les meilleurs outils intègrent désormais des scores de conformité et des alertes lorsque la personne n’est pas suffisamment visible.

Les CRM doivent permettre de tracer la base légale de chaque contact, la date du consentement ou de l’analyse d’intérêt légitime, et la date de dernière utilisation de l’adresse. Sans ces champs, l’audit devient impossible. Les entreprises qui n’ont pas encore intégré ces fonctionnalités doivent les prioriser rapidement.

Les séquences d’emails automatisées doivent également intégrer des points de contrôle. Après un premier message resté sans réponse, l’adresse ne devrait plus être utilisée après un certain délai. Cette logique de « use it or lose it » devient la norme.

Cas pratiques : ce qui passe et ce qui ne passe plus

Imaginons une startup SaaS qui vend un outil de reporting. Elle identifie un directeur financier sur LinkedIn, reconstitue son adresse email et lui envoie un message personnalisé expliquant en quoi l’outil répond à un besoin spécifique de son secteur. Si le profil est public et le message pertinent, l’intérêt légitime est défendable.

Même startup qui achète une liste de 10 000 adresses emails reconstituées et lance une séquence générique « Découvrez notre solution révolutionnaire ». Dans ce cas, l’analyse au cas par cas n’a pas été réalisée. Le risque de plainte et de sanction est élevé.

Côté téléphone, une entreprise qui appelle un ancien client pour lui proposer une extension de contrat dans le cadre d’un contrat encore en cours reste dans les clous. La même entreprise qui appelle un prospect froid sans consentement préalable sort du cadre légal.

Comment anticiper les prochains contrôles

Les autorités ne vont pas contrôler toutes les entreprises demain. Elles cibleront d’abord les secteurs à fort volume d’appels et les plaintes récurrentes. Les centres d’appels, les sociétés de rénovation énergétique et les organismes de formation sont en première ligne. Les PME qui font de la prospection occasionnelle sont moins exposées, mais pas à l’abri.

En cas de contrôle, la capacité à produire rapidement les preuves de consentement ou les analyses d’intérêt légitime fait la différence. Une entreprise qui a documenté ses process et formé ses équipes a beaucoup plus de chances de s’en sortir avec un simple avertissement qu’une entreprise qui n’a rien anticipé.

Il est recommandé de réaliser un audit interne au moins une fois par an. Cet audit peut être confié à un juriste spécialisé ou à un consultant RGPD. Le coût de cet audit reste très inférieur à celui d’une amende ou d’une publication de sanction.

Vers une prospection plus qualitative

Ces nouvelles règles ne signent pas la fin de la prospection. Elles obligent simplement les entreprises à être plus sélectives et plus transparentes. Une liste de 500 contacts réellement consentis et pertinents convertit souvent mieux qu’une base de 10 000 contacts froids et non conformes.

Le content marketing, les webinaires, les communautés et le networking professionnel gagnent en importance. Ces canaux génèrent des leads déjà engagés, pour lesquels le consentement est beaucoup plus simple à obtenir. Les entreprises qui investissent dans ces leviers réduisent leur dépendance au cold outreach et améliorent leur conformité.

La reconstitution d’emails reste possible, mais elle devient un outil de précision plutôt qu’un outil de volume. Les équipes qui l’utilisent avec discernement continueront à l’exploiter. Celles qui l’utilisaient en masse devront revoir leur stratégie.

Les points de vigilance pour 2027 et au-delà

Le cadre évoluera probablement encore. La CNIL et la DGCCRF pourraient préciser le délai raisonnable de conservation des adresses reconstituées. Des décisions de jurisprudence pourraient affiner les contours de l’intérêt légitime. Les entreprises ont intérêt à rester à l’écoute des publications officielles et à adapter leurs process en continu.

Les outils d’intelligence artificielle utilisés pour générer des emails de prospection ou pour identifier des prospects devront également intégrer ces contraintes. Un modèle de langage qui propose automatiquement des adresses reconstituées sans analyse de conformité expose l’entreprise qui l’utilise.

Enfin, la culture d’entreprise joue un rôle central. Une direction qui valorise uniquement le volume d’appels ou d’emails sortants crée un risque systémique. Une direction qui valorise la qualité des contacts et la conformité encourage les bonnes pratiques.

Synthèse des actions prioritaires

Pour conclure de manière opérationnelle, voici les actions à lancer immédiatement :

• Auditer l’ensemble des consentements téléphoniques et vérifier leur date et leur contenu
• Isoler les adresses emails reconstituées et documenter l’analyse d’intérêt légitime pour chaque segment
• Mettre en place une purge automatique des adresses non utilisées
• Former les équipes commerciales et marketing aux nouvelles règles
• Adapter les outils d’enrichissement et le CRM pour tracer les bases légales
• Renforcer les canaux inbound pour réduire la dépendance au cold outreach

Ces deux publications de la CNIL et de la DGCCRF marquent un tournant. L’appel vers les particuliers passe en opt-in strict. L’email professionnel reconstitué se justifie au cas par cas. Les entreprises qui traitent chaque consentement comme un actif précieux et chaque adresse reconstituée comme une donnée temporaire resteront conformes tout en continuant à prospecter efficacement.

Le temps de l’improvisation est révolu. La prospection de demain sera plus cadrée, plus transparente et, paradoxalement, plus qualitative. Les équipes qui s’adaptent dès maintenant prendront une longueur d’avance sur celles qui continueront de jouer avec les anciennes règles.

Ces deux publications justifient une révision complète des process de prospection. L’appel vers les particuliers passe en opt-in strict, l’email deviné en B2B se justifie au cas par cas. Elles visent d’abord les centres d’appels, les SDR et les growth marketers qui enrichissent des listes en masse.

– Analyse issue des publications CNIL et DGCCRF d’octobre 2026

En intégrant ces contraintes dès la conception des campagnes, les entreprises transforment une obligation légale en avantage concurrentiel. Une prospection respectueuse génère moins de plaintes, moins de désabonnements et plus de relations durables. C’est précisément ce que le nouveau cadre juridique encourage, et c’est vers quoi les équipes les plus matures s’orientent déjà.

Les prochains mois seront déterminants. Ceux qui attendront les premiers contrôles pour réagir paieront le prix fort. Ceux qui anticipent et documentent leurs process gagneront en sérénité et en performance. Le choix est clair : adapter ses méthodes maintenant ou risquer de les voir imposées par la sanction.