Est-il légal d'acheter un fichier de prospection B2B,
et de s'en servir ?

Pourquoi le B2B ne suit pas les mêmes règles que le B2C

La règle de base figure à l'article L.34-5 du code des postes et des communications électroniques : la prospection directe par courrier électronique est interdite lorsqu'elle utilise les coordonnées d'une personne physique qui n'a pas exprimé son consentement préalable. Le sujet protégé par le texte, c'est la personne physique.

Là où la situation d'un professionnel diffère, ce n'est pas que la loi prévoirait une dérogation écrite en sa faveur : le texte n'en contient pas, hormis celle des produits analogues après une vente. C'est la position publiée par la CNIL qui établit le régime applicable aux professionnels, en considérant qu'une sollicitation adressée à quelqu'un dans le cadre de ses fonctions, et portant sur son domaine d'activité, peut reposer sur l'intérêt légitime de l'organisme qui prospecte plutôt que sur son consentement.

La nuance mérite d'être posée clairement, parce que beaucoup de pages l'escamotent : on ne s'appuie pas ici sur une exception légale, mais sur l'interprétation que l'autorité de contrôle publie et applique. C'est solide, c'est opposable en pratique, et c'est révisable — d'où l'intérêt de dater ce qu'on cite plutôt que d'énoncer des vérités intemporelles.

L'intérêt légitime et ses trois conditions

Invoquer l'intérêt légitime ne dispense de rien : c'est une base légale assortie de conditions, et ces conditions sont cumulatives. Les trois suivantes ressortent directement des indications publiées par la CNIL en matière de prospection entre professionnels.

Ce qui change d'une coordonnée à l'autre

Toutes les lignes d'un fichier ne relèvent pas du même régime. La distinction ne tient pas au support — email ou téléphone — mais à ce que la coordonnée permet d'identifier : une structure, ou une personne.

Les obligations qui accompagnent l'envoi

Deux mentions doivent accompagner chaque sollicitation, et elles ne se négocient pas. L'identité de l'organisme qui émet le message, d'abord : le destinataire doit savoir qui le contacte, sans avoir à le deviner. Un moyen simple de refuser de nouvelles sollicitations, ensuite — en pratique, un lien de désinscription accessible dès le premier message, et non après plusieurs relances.

L'article L.34-5 formule cette seconde obligation en des termes larges : il est interdit d'émettre un message de prospection sans indiquer de coordonnées valables permettant au destinataire de demander l'arrêt de ces communications, gratuitement hors coûts de transmission. Un lien de désinscription qui ne fonctionne pas, ou qui mène à un formulaire demandant de justifier sa demande, ne satisfait pas cette exigence.

Une opposition enregistrée doit par ailleurs rester effective dans le temps. C'est le point sur lequel les organisations échouent le plus souvent sans mauvaise intention : l'adresse est bien désinscrite d'une campagne, puis réintroduite au prochain import depuis un fichier source qui, lui, n'a pas été mis à jour. Du point de vue de la personne concernée, la demande n'a jamais été traitée.

Ce que l'achat d'un fichier ajoute comme obligation

Lorsque les coordonnées ne proviennent pas de la personne elle-même mais d'un tiers, l'article 14 du RGPD impose une information spécifique. Elle doit intervenir dans un délai raisonnable, qui ne peut excéder un mois, et comporter notamment la source des données — le nom de l'organisme auprès duquel le fichier a été obtenu. La CNIL le rappelle explicitement dans ses indications sur la vente de fichiers.

Le second point est celui qui surprend le plus : acheter un fichier ne transfère pas la responsabilité au vendeur. À partir du moment où vous décidez de la finalité du traitement et des moyens employés, vous en êtes le responsable de traitement. Les obligations qui en découlent — traiter les demandes d'opposition et d'effacement, borner les durées de conservation, être en mesure d'indiquer l'origine des données — vous incombent, quelles que soient les garanties annoncées par le fournisseur.

Côté vendeur, la CNIL indique de son côté que le fichier cédé ne doit pas contenir les données des personnes s'étant opposées à leur transmission, ni celles conservées à des fins purement administratives, et que les conditions de transmission doivent garantir sécurité et confidentialité. Les deux séries d'obligations coexistent : elles ne se substituent pas l'une à l'autre.

Combien de temps conserver les données

Le référentiel de la CNIL relatif à la gestion des activités commerciales retient, pour un prospect non client, une durée de trois ans à compter de la collecte des données ou du dernier contact émanant du prospect.

Le détail qui compte se trouve dans la définition de ce « dernier contact ». Il doit émaner de la personne : une demande de documentation, un clic sur un lien. La CNIL précise que la simple ouverture d'un courriel ne devrait pas être considérée comme tel. La distinction est loin d'être théorique, puisqu'elle détermine si une base se régénère réellement ou si elle vieillit pendant qu'on croit la rafraîchir.

Au terme des trois ans, il reste possible de reprendre contact pour demander à la personne si elle souhaite continuer à recevoir des sollicitations. En l'absence de réponse positive et explicite, les données doivent être supprimées ou archivées.

Ce qui a changé le 11 août 2026

La prospection téléphonique vers les consommateurs a basculé du régime d'opposition au régime du consentement préalable. L'article 13 de la loi n° 2025-594 du 30 juin 2025 a réécrit l'article L.223-1 du code de la consommation : il est désormais interdit de démarcher téléphoniquement un consommateur qui n'a pas préalablement exprimé son consentement. Le chapitre correspondant du code s'intitule d'ailleurs maintenant « Consentement au démarchage téléphonique » là où il disait « Opposition ».

Bloctel disparaît avec ce changement : le décret n° 2026-662 du 23 juillet 2026 abroge les articles qui encadraient la liste d'opposition, devenue sans objet dès lors que le démarchage est interdit par défaut. Deux conséquences pour la prospection entre professionnels, et elles vont dans le même sens : Bloctel était une liste destinée aux consommateurs et ne gouvernait pas le B2B, et le dispositif n'existe plus.

Le texte vise le consommateur. La CNIL maintient, sur sa page consacrée à la prospection téléphonique dans sa version postérieure à la réforme, que la sollicitation d'un professionnel dans le champ de son activité peut reposer sur l'intérêt légitime, moyennant information et opposition facile et gratuite. La prospection B2B n'est donc pas concernée par le passage au consentement.

Un cas reste ouvert, et nous préférons le signaler que l'habiller : celui du dirigeant d'une société unipersonnelle ou de l'auto-entrepreneur joint sur son mobile personnel. Le code de la consommation définit le consommateur comme une personne physique agissant à des fins n'entrant pas dans le cadre de son activité professionnelle, ce qui plaide pour l'exclusion du nouveau régime lorsque l'appel porte sur l'activité. Mais à notre connaissance, aucune position de la CNIL ni décision de justice n'a tranché ce cas précis depuis le 11 août 2026. Nous ne trancherons pas davantage.

Ce qui est clairement interdit

Au-delà des zones d'appréciation, un noyau de règles ne souffre pas d'interprétation. Les six points suivants sont directement rattachables à un texte ou à une indication publiée.

Ce que la CNIL sanctionne réellement

Les plafonds du RGPD sont connus : son article 83 prévoit, pour les manquements les plus graves, des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Ces chiffres sont souvent brandis pour impressionner. Regarder les décisions effectivement rendues est plus instructif.

Le 15 mai 2025, la CNIL a sanctionné la société SOLOCAL MARKETING SERVICES à hauteur de 900 000 euros et la société CALOGA à hauteur de 80 000 euros, dans des dossiers portant sur du démarchage de prospects sans consentement et sur la transmission de leurs données à des partenaires sans base légale valable. Une sanction de 75 000 euros prononcée en décembre 2023 contre la société TAGADAMEDIA a par ailleurs été ramenée à 50 000 euros par le Conseil d'État le 20 mai 2026.

Ce que ces décisions ont en commun mérite d'être dit explicitement : elles portent sur le recueil et la preuve du consentement, et sur la chaîne de revente des données. Ce ne sont pas des sanctions de prospection entre professionnels fondée sur l'intérêt légitime. Les présenter comme ce que risque une entreprise qui prospecte des professionnels dans le champ de leur activité serait trompeur. Ce qu'elles montrent, en revanche, est utile à l'acheteur d'un fichier : le contrôle remonte la chaîne, et l'origine des données compte autant que l'usage qu'on en fait.

Les textes et sources cités

Chaque affirmation de cette page renvoie à l'une des sources suivantes. Elles sont consultables directement, et c'est volontaire : une page sur le droit qui ne permet pas de remonter aux textes demande qu'on la croie sur parole.

• Article L.34-5 du code des postes et des communications électroniques — consentement préalable pour la prospection électronique visant une personne physique, et obligation d'indiquer des coordonnées de désinscription.
• CNIL — La prospection commerciale par courrier électronique, SMS-MMS et automate d'appel (mise à jour du 10 juin 2026) — régime applicable aux professionnels, sort des adresses génériques, mentions obligatoires à chaque envoi.
• CNIL — Prospection commerciale par téléphone hors automate d'appel (mise à jour du 10 juin 2026) — règles applicables depuis le 11 août 2026 et situation des professionnels.
• Article 13 de la loi n° 2025-594 du 30 juin 2025 — réécriture de l'article L.223-1 du code de la consommation, entrée en vigueur au 11 août 2026.
• Décret n° 2026-662 du 23 juillet 2026 — modalités du consentement au démarchage téléphonique et abrogation des articles encadrant la liste d'opposition.
• CNIL — Vente de fichiers clients : la CNIL rappelle les règles — obligations respectives du cédant et de l'acquéreur, information sous un mois, mention de la source.
• CNIL — Référentiel relatif à la gestion des activités commerciales (PDF) — durées de conservation des données de prospects et définition du dernier contact.
• Sanctions citées : SOLOCAL MARKETING SERVICES, CALOGA et TAGADAMEDIA.