Prospection B2B par e-mail : ce qui est permis en France, en Allemagne, en Espagne et en Italie

En France, un e-mail de prospection peut être envoyé à un professionnel sans son consentement préalable, à condition qu'il concerne son activité, qu'il l'informe et qu'il lui permette de s'opposer simplement. L'Allemagne et l'Italie exigent au contraire un consentement préalable, même entre entreprises ; l'Espagne aussi, selon son autorité de protection des données, même si cette lecture est discutée pour les adresses génériques. Hors de l'UE, le Royaume-Uni et les États-Unis sont plus ouverts, le Canada plus strict.

Cet article est une information générale, à jour au 13 octobre 2026. Il ne constitue pas un conseil juridique.

Quelle loi s'applique quand on écrit à une entreprise étrangère ?

Le réflexe « j'envoie depuis la France, donc le droit français s'applique » est risqué. La directive européenne sur le commerce électronique exclut l'admissibilité des communications commerciales non sollicitées par e-mail du principe du pays d'origine (directive 2000/31/CE, annexe). L'hypothèse prudente consiste donc à appliquer la règle du pays du destinataire. Le Canada le prévoit expressément : sa loi s'applique aux messages consultés depuis le Canada (Mystrika).

Deux notions reviennent. Le régime d'opposition (opt-out) autorise l'envoi tant que le destinataire ne s'y est pas opposé. Le régime de consentement (opt-in) exige un accord préalable, libre et vérifiable.

Que permet la France ?

La CNIL admet la prospection B2B sur la base de l'intérêt légitime lorsque le message est en rapport avec la profession du destinataire, que celui-ci a été informé et qu'il peut s'opposer ; chaque message doit identifier l'expéditeur et offrir un moyen simple de refuser les envois suivants. Les adresses génériques de personnes morales, comme contact@ ou info@, ne sont pas soumises à ces règles (CNIL, 10 juin 2026).

Quand les adresses viennent de sources publiques, la source doit être indiquée au plus tard lors de la première communication (CNIL, 30 avril 2020). La collecte elle-même est contrôlée : le 5 décembre 2024, la CNIL a infligé 240 000 € d'amende à KASPR, qui collectait les coordonnées de membres de LinkedIn ayant restreint leur visibilité et les conservait cinq ans, dans une base d'environ 160 millions de contacts (CNIL, 19 décembre 2024). Pour le moissonnage de pages web, la CNIL demande notamment de respecter les fichiers robots.txt et les CAPTCHA (CNIL, 19 juin 2025).

Pourquoi l'Allemagne est-elle la plus stricte ?

L'article 7 de la loi contre la concurrence déloyale (UWG) qualifie de publicité importune toute publicité par e-mail envoyée sans consentement préalable, exprès et prouvable, entre entreprises comme envers les consommateurs ; un consentement présumé ne suffit pas (IHK). La seule exception vise les clients existants, pour des produits similaires (IT-Recht Kanzlei).

Deux canaux restent ouverts. L'appel téléphonique B2B est admis sur consentement présumé s'il existe un lien concret avec l'activité de l'entreprise appelée, la simple présence dans un annuaire ne suffisant pas. Le courrier postal nominatif est en principe autorisé (IHK). Le risque principal est civil : des concurrents ou des associations peuvent agir en cessation (IT-Recht Kanzlei).

Que disent l'Italie et l'Espagne ?

En Italie, l'article 130 du code de la vie privée exige le consentement préalable du destinataire. Le Garante a précisé que cette obligation s'applique quelle que soit sa nature juridique, personne physique ou morale (Garante, 7 mai 2015) : une adresse info@ ne fait pas exception.

En Espagne, l'article 21 de la LSSI interdit les e-mails commerciaux qui n'ont pas été demandés ou expressément autorisés par leurs destinataires, sauf relation contractuelle antérieure portant sur des produits similaires (BOE). L'AEPD applique cette règle aux personnes morales (AEPD, E/01415/2017). Un guide d'éditeur publié en mai 2026 soutient l'inverse pour les adresses génériques ou liées à la fonction (Overloop) : cette position n'engage pas l'autorité. Un envoi non conforme est une infraction légère, jusqu'à 30 000 € ; un envoi massif, ou plus de trois messages au même destinataire en un an, devient une infraction grave, de 30 001 à 150 000 € (LSSI, art. 38 et 39).

Et hors de l'UE : Royaume-Uni, États-Unis, Canada ?

Au Royaume-Uni, le règlement PECR permet d'écrire sans consentement aux « abonnés personnes morales » : sociétés, sociétés de personnes écossaises, LLP et administrations. Les entrepreneurs individuels et certaines sociétés de personnes sont traités comme des particuliers. L'expéditeur doit s'identifier et fournir une adresse valide pour se désinscrire (ICO). Depuis la loi Data (Use and Access) Act 2025, dont l'essentiel est entré en vigueur le 5 février 2026, les amendes PECR peuvent atteindre 17,5 M£ ou 4 % du chiffre d'affaires mondial (Harper James, mars 2026).

Aux États-Unis, la loi CAN-SPAM ne prévoit aucune exception B2B. Elle impose un en-tête exact, la mention publicitaire, une adresse postale valide et le traitement des désinscriptions sous 10 jours ouvrés, avec une pénalité pouvant atteindre 53 088 $ par e-mail non conforme (FTC).

Au Canada, la loi anti-pourriel (LCAP) exige un consentement exprès ou tacite. Le consentement tacite peut découler d'une adresse publiée de façon bien visible, sans mention de refus, si le message concerne la fonction du destinataire (CRTC). Les sanctions administratives vont jusqu'à 10 M$ CA par violation pour une entreprise (Mystrika).

Quel régime s'applique, pays par pays ?

Quelles règles de délivrabilité s'ajoutent au droit ?

Un envoi légal peut rester invisible. Google demande à tous les expéditeurs de maintenir un taux de spam inférieur à 0,3 % dans Postmaster Tools et recommande de rester sous 0,1 %. Au-delà de 5 000 messages par jour vers Gmail, il exige aussi SPF, DKIM, DMARC et une désinscription en un clic (Google).

Microsoft impose depuis le 5 mai 2025 aux domaines qui envoient plus de 5 000 messages par jour vers Outlook.com, Hotmail et Live de publier SPF, DKIM et DMARC ; les messages non conformes partent d'abord en courrier indésirable (Microsoft, 2 avril 2025). Un message ciblé, court et utile limite les signalements, qui pèsent sur tout le domaine d'envoi.

Comment constituer un fichier de prospection sans risque ?

Les données d'entreprise (raison sociale, activité, site web) ne sont pas des données personnelles ; les noms et adresses nominatives le sont. Trois règles réduisent le risque :

1. Choisir des sources réutilisables. Les conditions d'utilisation d'un site peuvent interdire l'extraction, même d'une base non protégée (CJUE, 15 janvier 2015). LinkedIn interdit les outils automatisés d'extraction et d'envoi (LinkedIn).
2. Informer et limiter la conservation. En Espagne, l'AEPD a infligé 1,8 M€ en 2025 à Informa D&B pour avoir traité sans base légale ni information les données de 1,6 million d'entrepreneurs individuels tirées d'un recensement public (PPC Land).
3. Tenir une liste d'opposition commune à toutes les campagnes, appliquée dans chaque pays.

La France reste le seul des quatre pays où l'envoi B2B sans consentement préalable est clairement admis. En Allemagne, en Italie et en Espagne, le premier contact passe par d'autres canaux : salons, courrier, contenus qui amènent le prospect à donner son accord.