Prospection commerciale et RGPD : vers un durcissement du cadre juridique
Deuxième volet de cette série : RGPD et prospection commerciale. Alors que le cadre juridique de la prospection commerciale connaît un durcissement significatif, Me Barreiro et Me Hanriot en présentent les principales évolutions et leurs conséquences pratiques pour les entreprises.
1. La prospection commerciale constitue un levier essentiel de développement pour les entreprises, en particulier dans un environnement économique marqué par la digitalisation des échanges et l’intensification de la concurrence. Qu’elle soit réalisée par voie électronique, téléphonique ou via les réseaux sociaux, elle repose largement sur l’exploitation de données à caractère personnel, ce qui justifie son encadrement strict par le droit de la protection des données.
2. Au croisement du règlement général sur la protection des données (Règl. UE 2016/679 du 27-4-2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données - RGPD), de la directive dite « ePrivacy » (Dir. 2002/58/CE du 12-7-2002) et des dispositions nationales, notamment l’article L 34-5 du Code des postes et des communications électroniques (CPCE), le régime applicable à la prospection commerciale s’est progressivement structuré autour d’une exigence centrale : le choix entre consentement préalable pour les canaux électroniques visés à l’article L 34-5 du CPCE et mécanismes d’opposition/information pour d’autres canaux, sous réserve des textes spéciaux.
3. Les évolutions récentes témoignent toutefois d’un durcissement significatif de ce cadre.
D’une part, le législateur est venu encadrer avec le dispositif Bloctel plus strictement la prospection téléphonique (jours, horaires et fréquence). Puis, ce dispositif s’étant révélé insuffisant, le législateur a décidé de le supprimer à partir du 11 août 2026 pour basculer vers un principe d’« opt‑in » téléphonique (Loi 2025-594 du 30-6-2025).
D’autre part, l’autorité de contrôle intensifie ses actions répressives, sanctionnant des pratiques encore largement répandues en matière de collecte et d’exploitation des données à des fins de prospection.
4. Plus récemment encore, la Commission nationale de l’informatique et des libertés (Cnil) a entendu encadrer la pratique des pixels de suivi dans les courriels de prospection commerciale en instaurant une exigence de consentement préalable à l’utilisation de ces traceurs (Recommandation du 12-3-2026 relative aux pixels de suivi dans les courriers électroniques). Les pixels de suivi sont une méthode de traçage alternative aux traceurs et témoins de connexion (cookies), habituellement mise en œuvre sous la forme d’une image réduite intégrée pour l’utilisateur, le chargement de cette image permettant de savoir que l’utilisateur tracé a visité une page ou lu un courrier.
5. Dans ce contexte, la prospection commerciale apparaît engagée dans une transformation profonde vers une généralisation du consentement préalable, qui s’accompagne d’un renforcement des contrôles et des exigences pesant sur les acteurs et conduit, plus largement, à une nécessaire adaptation des pratiques des entreprises en matière de collecte et d’exploitation des données à des fins de prospection.
I. Vers une généralisation du consentement préalable en matière de prospection
6. Longtemps structurée autour de mécanismes d’opposition, la prospection commerciale connaît aujourd’hui un basculement vers un modèle fondé sur le consentement préalable des personnes concernées. Ce basculement n’est cependant pas uniforme selon les canaux et s’inscrit dans un calendrier précis pour le téléphone.
La fin programmée du dispositif Bloctel
7. Instauré afin de permettre aux consommateurs de s’opposer au démarchage téléphonique, le dispositif Bloctel reposait sur un mécanisme d’« opt-out » : les professionnels pouvaient contacter les personnes tant que celles-ci ne s’étaient pas inscrites sur une liste d’opposition. Ce régime demeure applicable jusqu’au 10 août 2026 inclus ; il sera juridiquement remplacé le 11 août 2026 par un principe d’« opt‑in » téléphonique issu de la loi 2025‑594 (le chapitre du Code de la consommation étant intitulé « Consentement au démarchage téléphonique »).
8. À compter de cette date, la prospection téléphonique ne pourra plus être fondée sur l’absence d’opposition, mais nécessitera le recueil préalable du consentement de la personne concernée. Ce changement de paradigme aligne ainsi le démarchage téléphonique sur le régime déjà applicable à la prospection électronique.
9. Cette réforme traduit une volonté claire du législateur de renforcer la protection des consommateurs face à des pratiques souvent perçues comme intrusives, en substituant à une logique d’opposition une logique d’autorisation préalable.
Exigence du consentement préalable pour la majorité des canaux de prospection
10. Au-delà du seul démarchage téléphonique, la tendance actuelle est à la généralisation de l’exigence de consentement préalable pour la plupart des formes de prospection commerciale.
En application de l’article L 34-5 du CPCE, la prospection par voie électronique (courriels, SMS, messages via les réseaux sociaux) est en principe subordonnée au consentement préalable des personnes concernées, sauf exception tenant notamment à l’existence d’une relation commerciale préexistante.
11. Ainsi, indépendamment du calendrier téléphonique, la prospection par courriel/SMS reste soumise à l’« opt‑in » de principe (CPCE art. L 34‑5), avec l’exception « produits ou services analogues » lorsque l’adresse a été collectée à l’occasion d’une vente/prestation et que l’opposition est offerte de manière claire et simple. La bascule téléphonique du 11 août 2026 rapprochera les logiques entre canaux, sans les confondre.
12. Seules certaines formes de prospection demeurent soumises à un régime distinct, en particulier la prospection postale ou certaines communications en BtoB, sous réserve du respect des principes généraux du RGPD.
13. Le consentement doit, en effet, en tout état de cause, répondre aux exigences posées par le RGPD et précisées par la Cnil. Il doit être libre, spécifique, éclairé et univoque. En pratique, cela implique notamment l’absence de cases pré-cochées, une information claire sur les finalités poursuivies et la possibilité pour la personne concernée de retirer son consentement à tout moment, avec la même facilité que pour le donner.
Ces exigences renforcées imposent aux professionnels de repenser leurs mécanismes de collecte des données et de gestion des consentements, en particulier lorsqu’ils recourent à des intermédiaires ou à des bases de données acquises auprès de tiers.
Un encadrement renforcé de certains secteurs sensibles
14. Parallèlement à cette évolution générale, le législateur a entendu encadrer plus strictement la prospection dans certains secteurs particulièrement exposés aux pratiques abusives.
15. À ce jour, le Code de la consommation prévoit des interdictions sectorielles ciblées, comme pour le téléphone, l’interdiction de démarchage des consommateurs visant certains travaux ou équipements liés à l’efficacité énergétique et aux énergies renouvelables (C. consom. art. L 223-1).
Ces interdictions sectorielles s’inscrivent dans une logique de lutte contre les fraudes et de protection des publics les plus vulnérables, fréquemment ciblés par des campagnes de prospection agressives ou trompeuses.
L’encadrement du recours aux pixels de suivi dans les courriels
16. Dans cette mouvance, la Cnil a souhaité encadrer davantage une pratique largement répandue depuis de nombreuses années, l’utilisation d’outils de suivi intégrés aux communications électroniques (les « pixels de suivi »). Elle a ainsi récemment précisé, dans une recommandation dédiée (Recommandation relative aux pixels de suivi dans les courriers électroniques du 12-3-2026), le régime applicable à ces traceurs, lesquels permettent notamment de mesurer l’ouverture des messages ou le comportement des destinataires.
17. La Cnil considère que ces dispositifs constituent des traceurs soumis aux règles applicables en matière de prospection électronique et de protection des données. Selon elle, leur utilisation à des fins de suivi ou d’analyse suppose, en principe, le recueil préalable du consentement des personnes concernées, ainsi qu’une information claire et spécifique sur les finalités poursuivies.
Cette position, qui semble entrer en contradiction avec l’exception de recueil du consentement préalable prévue à l’article L 34-5 du CPCE, tenant notamment à l’existence d’une relation commerciale préexistante, s’inscrit définitivement dans un durcissement des exigences en matière de transparence et de consentement.
II. Une intensification des contrôles et des sanctions en matière de prospection
18. Parallèlement à la généralisation de l’exigence du consentement préalable, la prospection commerciale fait l’objet d’une vigilance accrue de la part de la Cnil. Les décisions récentes confirment des lignes directrices exigeantes sur la preuve du consentement valable pour les courriels/SMS, la traçabilité des flux de données en cas de recours à des courtiers/partenaires, la limitation des durées de conservation des données relatives aux prospects et l’effectivité des mécanismes de retrait/opposition.
A. UNE PRIORITÉ AFFIRMÉE DE LA CNIL
19. Dans son bilan pour l’année 2025, la Cnil a indiqué que la prospection, qu’elle soit commerciale ou politique, constituait un axe prioritaire de contrôle. À ce titre, dix décisions de sanction ont été rendues dans ce domaine en 2025.
À l’occasion de ces décisions, l’autorité rappelle de manière constante que les responsables de traitement doivent être en mesure de démontrer la licéité des opérations de prospection, ce qui implique notamment de pouvoir justifier du recueil d’un consentement conforme aux exigences de l’article L 34-5 du CPCE.
B. DES SANCTIONS RÉVÉLATRICES DES MANQUEMENTS LES PLUS FRÉQUENTS
L’irrégularité du consentement collecté
20. Plusieurs décisions récentes mettent en lumière des pratiques consistant à recourir à des données issues de courtiers ou de partenaires, sans s’assurer de la validité du consentement des personnes concernées.
Dans deux affaires distinctes, des sociétés ont ainsi été sanctionnées pour avoir utilisé des bases de données acquises auprès de tiers afin de réaliser des campagnes de prospection par courrier électronique ou SMS, sans disposer d’un consentement valable. L’autorité a notamment relevé que les formulaires de collecte utilisés en amont présentaient une interface trompeuse, ne permettant pas de recueillir un consentement libre et univoque (Délib. Cnil du 15-5-2025 no SAN-2025-001 et no SAN-2025-002).
21. Ces décisions rappellent que le recours à des intermédiaires n’exonère pas le responsable de traitement de ses obligations. Celui-ci doit être en mesure de démontrer, à tout moment, que les personnes concernées ont valablement consenti à la réception de messages de prospection.
La maîtrise de la chaîne de valeur des données
22. Au-delà du seul recueil du consentement, les sanctions prononcées mettent en évidence les risques liés à la circulation des données au sein d’un écosystème de partenaires.
La transmission de données à des annonceurs ou à des partenaires commerciaux, en vue de la réalisation d’opérations de prospection, suppose en effet que les personnes concernées aient été clairement informées de ces destinataires et aient consenti à une telle utilisation. À défaut, la prospection est illicite si le consentement n’est ni spécifique ni suffisamment éclairé.
Ces exigences renforcent la nécessité pour les entreprises de maîtriser l’ensemble de la chaîne de traitement des données, depuis leur collecte jusqu’à leur utilisation finale, en passant par les éventuels transferts à des tiers.
Focus sur une décision en matière de prospection multicanal
23. Une décision récente illustre de manière particulièrement significative les exigences applicables en matière de prospection et de publicité ciblée (Délib. Cnil du 30-12-2025 no SAN-2025-017).
Dans cette affaire, la société Intersport a été sanctionnée pour avoir transmis les données de ses clients à un partenaire en vue de la diffusion de publicités personnalisées sur un réseau social.
La société soutenait que le consentement des personnes résultait de leur adhésion à un programme de fidélité et de l’acceptation des conditions générales d’utilisation ainsi que de la politique de confidentialité. Cette argumentation n’a pas été retenue.
L’autorité a en effet considéré que le consentement n’était ni suffisamment spécifique ni suffisamment éclairé, les personnes concernées n’ayant pas été clairement informées de la transmission de leurs données à un tiers à des fins de ciblage publicitaire.
24. Cette décision rappelle qu’un consentement global, recueilli à l’occasion de l’adhésion à un service, ne saurait couvrir des traitements distincts, en particulier lorsqu’ils impliquent des tiers. Elle souligne également l’importance de délivrer une information claire et complète aux personnes concernées.
C. DES SANCTIONS DISSUASIVES ET UN RISQUE ACCRU POUR LES ENTREPRISES
25. Les montants des sanctions prononcées, qui peuvent atteindre plusieurs millions d’euros, témoignent du caractère dissuasif du dispositif répressif. Au-delà de l’impact financier, la publicité donnée à certaines décisions contribue également à renforcer le risque réputationnel pour les entreprises concernées.
Dans ce contexte, la conformité des pratiques de prospection apparaît non seulement comme une obligation juridique, mais également comme un enjeu stratégique pour les entreprises, soucieuses de préserver la confiance de leurs clients et partenaires.
III. Vers une adaptation des pratiques de prospection : enjeux et perspectives
26. Les évolutions récentes du cadre juridique et les positions adoptées par l’autorité de contrôle invitent les entreprises à repenser en profondeur leurs pratiques de prospection commerciale. Cette transformation implique notamment une remise en cause de certains modèles fondés sur la collecte et l’exploitation massive de données.
La remise en cause des pratiques fondées sur l’achat de bases de données
27. Le recours à des bases de données acquises auprès de tiers, longtemps répandu, apparaît aujourd’hui particulièrement risqué au regard des exigences relatives au consentement pour les courriels ou les SMS (CPCE art. L 34-5) et, plus largement, des règles relatives à l’information, l’opposition, la minimisation et la traçabilité.
28. En pratique, les entreprises doivent être en mesure de vérifier que les données collectées par leurs partenaires l’ont été dans des conditions conformes au RGPD, ce qui suppose une traçabilité complète du consentement. À défaut, elles s’exposent à des sanctions, y compris lorsque les manquements trouvent leur origine dans la phase de collecte.
Cette évolution conduit à privilégier des stratégies de collecte directe des données, permettant de mieux maîtriser les conditions dans lesquelles le consentement est recueilli.
L’intégration de la conformité dès la conception des dispositifs de prospection
29. La mise en conformité ne peut plus être appréhendée comme une contrainte a posteriori. Elle doit être intégrée à la conception des outils et des campagnes de prospection, conformément au principe de « protection des données dès la conception » consacré par le RGPD.
Concrètement, cela implique notamment de concevoir des formulaires de collecte clairs et compréhensibles, d’éviter les mécanismes susceptibles d’altérer le caractère libre du consentement et de mettre en place des outils permettant de tracer et de gérer les préférences des utilisateurs.
30. La capacité à démontrer le respect de ces exigences constitue un élément déterminant en cas de contrôle par la CNIL.
31. À cet égard, une attention particulière doit être portée à la gestion opérationnelle des consentements. Il est notamment recommandé de mettre en place des dispositifs permettant de tracer de manière fiable le recueil du consentement (date, canal, finalité, contenu de l’information fournie), afin d’être en mesure d’en apporter la preuve en cas de contrôle.
32. Par ailleurs, les entreprises ont intérêt à prévoir des mécanismes simples et effectifs de gestion des préférences (retrait du consentement, opposition, paramétrage des communications), et à s’assurer que ces préférences sont effectivement prises en compte dans l’ensemble des outils et canaux de prospection.
La transparence comme facteur de confiance et de différenciation
33. Au-delà des seules obligations juridiques, les exigences accrues en matière de transparence participent à l’instauration d’une relation de confiance entre les entreprises et leurs clients.
Dans un contexte où les consommateurs sont de plus en plus sensibilisés à la protection de leurs données, les pratiques respectueuses des droits des personnes peuvent constituer un véritable avantage concurrentiel.
34. La prospection commerciale tend ainsi à évoluer vers des modèles plus qualitatifs, reposant sur une relation consentie et éclairée, plutôt que sur des approches massives et peu ciblées.
IV. Conclusion
35. La prospection commerciale connaît aujourd’hui une mutation profonde, sous l’effet conjugué du renforcement du cadre juridique et de l’intensification des contrôles opérés par les autorités. La volonté de tendre vers une généralisation du consentement préalable, illustrée notamment par la suppression annoncée du dispositif Bloctel ainsi que le recueil du consentement préalable des pixels de suivi en matière de prospection par courriel, marque un tournant dans l’encadrement de ces pratiques.
Dans ce contexte, les entreprises sont invitées à adapter leurs stratégies, en privilégiant des approches respectueuses des droits des personnes et conformes aux exigences du RGPD. À défaut, elles s’exposent à des risques juridiques et réputationnels significatifs.
La prospection commerciale entre ainsi dans une nouvelle ère, marquée par l’exigence de transparence et de consentement, désormais au cœur de la relation entre les entreprises et leurs clients.
Article paru dans le Bulletin rapide Droit des affaires (BRDA) n° 10/26 le 15 mai 2026
