La conformité du cold email en 2026 : RGPD, CAN-SPAM et CASL expliqués

CAN-SPAM n'exige pas de consentement préalable pour le cold email B2B

Le CAN-SPAM Act de 2003 est la loi qui régit l'e-mail commercial aux États-Unis. Point crucial : il n'exige pas de consentement préalable (opt-in) avant l'envoi d'un e-mail commercial. C'est ce qui en fait le plus permissif des trois grands cadres. Ce qu'il exige en revanche, c'est un ensemble clair de mentions obligatoires et un mécanisme de désabonnement immédiat et fonctionnel.

Les six exigences fondamentales de CAN-SPAM sont : (1) vos adresses d'expéditeur/de réponse doivent identifier avec exactitude qui envoie l'e-mail ; (2) les lignes d'objet ne peuvent pas induire en erreur sur le contenu de l'e-mail ; (3) si le message est une publicité, il doit être identifié comme telle — même si la loi vous laisse une marge de manœuvre sur la façon de le faire ; (4) votre adresse postale physique doit figurer dans l'e-mail ; (5) vous devez inclure un mécanisme de désabonnement clair et visible ; et (6) vous devez honorer les demandes de désabonnement sous dix jours ouvrables.

Pour une prospection B2B pratique, la conformité CAN-SPAM est atteignable avec un minimum de friction. Vos cold emails passent presque toujours le test de la ligne d'objet non trompeuse si vous rédigez des messages honnêtes et centrés sur le prospect. Incluez l'adresse physique de votre entreprise dans la signature (une adresse professionnelle enregistrée ou une boîte postale suffit). Ajoutez un lien de désabonnement en un clic ou une instruction de désabonnement en texte brut. Traitez les retraits sous 10 jours ouvrables, et ne réintégrez jamais une personne qui s'est désabonnée.

RGPD : le standard plus strict de l'Union européenne

Le RGPD exige une base légale — et « l'intérêt légitime » est la meilleure défense du cold email

Le Règlement général sur la protection des données (RGPD) de l'UE, appliqué depuis mai 2018, s'applique dès que vous traitez des données personnelles de résidents de l'UE — quel que soit le pays où votre entreprise est basée. Pour le cold email, cela signifie que si vous écrivez à quelqu'un avec une adresse e-mail de résident de l'UE en .de, .fr, .nl ou similaire, le RGPD s'applique à vous. L'amende maximale est de 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros, le montant le plus élevé étant retenu. Meta a payé 1,2 milliard d'euros en 2023. Même des entreprises de taille intermédiaire ont fait face à des sanctions à sept chiffres.

Le RGPD n'interdit pas catégoriquement le cold email. Ce qu'il exige, c'est une base légale pour traiter les données personnelles du destinataire (son adresse e-mail, son nom, son entreprise). Pour le cold email B2B, la base légale la plus défendable est l'intérêt légitime — l'article 6(1)(f). Elle s'applique lorsque vous avez une véritable raison commerciale de contacter quelqu'un, que votre raison est proportionnée et qu'elle ne prévaut pas sur les droits de la personne. Le test pratique s'appelle l'évaluation de l'intérêt légitime (Legitimate Interest Assessment, LIA).

Pour réussir une LIA pour un cold email, vous devez documenter : (1) la finalité du traitement (prospection pour une offre commerciale pertinente), (2) la nécessité (vous ne pouvez pas atteindre le même objectif sans ces données) et (3) un test de mise en balance montrant que les intérêts du prospect ne prévalent pas sur les vôtres. La pertinence est ici essentielle. Écrire à un VP de l'ingénierie au sujet d'outils pour développeurs est défendable. Écrire à un dentiste au sujet d'un logiciel RH d'entreprise ne l'est pas.

Sous le RGPD, vous devez aussi inclure une notice de confidentialité ou un lien vers celle-ci dans vos cold emails, honorer les demandes de suppression (droit à l'oubli), et conserver les preuves de la manière dont vous avez obtenu les données du prospect. De nombreuses équipes commerciales gèrent cela en ajoutant une brève ligne en pied d'e-mail : « Cet e-mail vous a été envoyé parce que [raison]. Pour vous désabonner, répondez REMOVE ou cliquez ici. » Cette approche couvre simultanément l'identification, le contexte de pertinence et le désabonnement.

CASL : le cadre canadien fondé sur le consentement

CASL est le cadre majeur le plus strict — le consentement implicite sauve la plupart des cold emails B2B

La Loi canadienne anti-pourriel (CASL), en vigueur depuis 2014, est la plus restrictive des trois grands cadres. Elle exige un consentement exprès ou implicite avant l'envoi d'un message électronique commercial (MEC). Le consentement exprès signifie que la personne a explicitement accepté de recevoir vos e-mails. Le consentement implicite couvre les relations d'affaires, les coordonnées publiées et certains scénarios de recommandation.

La disposition sur le consentement implicite est la clé d'un cold email B2B légal sous CASL. Si une personne a publié son adresse e-mail sur un site web, un profil LinkedIn ou un annuaire professionnel, et que vous la contactez au sujet de questions pertinentes pour son rôle professionnel, le consentement implicite s'applique. C'est l'exception qui rend la prospection possible. L'adresse e-mail doit être pertinente pour son rôle, et non une adresse personnelle. Et votre offre doit être pertinente pour sa fonction professionnelle.

CASL exige les mêmes obligations d'identification de l'expéditeur et de désabonnement que CAN-SPAM — votre nom ou celui de votre entreprise, une adresse physique et un désabonnement traité sous 10 jours ouvrables. Là où CASL diffère : les amendes sont au niveau de l'organisation, jusqu'à 10 millions de dollars CAD par violation, et les dirigeants ou administrateurs individuels peuvent être personnellement responsables s'ils ont ordonné la violation. Le Canada a appliqué sa première grande sanction CASL en 2019 contre Compu-Finder : 1,1 million de dollars CAD.

Règles propres à certains pays à connaître

Juridictions supplémentaires avec des réglementations significatives sur le cold email

Au-delà du RGPD, de CAN-SPAM et de CASL, plusieurs autres juridictions ont des règles spécifiques qui affectent le cold email B2B. Le PECR du Royaume-Uni (Privacy and Electronic Communications Regulations) s'applique depuis le Brexit et reflète les standards du RGPD. Le Spam Act 2003 de l'Australie exige un consentement (exprès ou déduit) et traite les désabonnements sous 5 jours ouvrables — plus strict que CAN-SPAM sur le plan des délais. La LGPD du Brésil, en vigueur depuis 2020, reflète étroitement le cadre de l'intérêt légitime du RGPD.

• Royaume-Uni : le PECR et le RGPD britannique s'appliquent. La base d'intérêt légitime fonctionne pour le B2B. Incluez un désabonnement et l'identification de l'expéditeur.
• Australie : le Spam Act 2003 exige un consentement déduit ou exprès. Le consentement déduit s'applique aux adresses professionnelles publiées. Traitement du désabonnement sous 5 jours requis.
• Brésil : la LGPD reflète le RGPD. Base d'intérêt légitime disponible. Notice de confidentialité requise.
• Allemagne : plus stricte que le socle du RGPD — les tribunaux ont historiquement interprété les exigences de consentement de façon restrictive pour l'e-mail commercial. Documentez soigneusement la LIA pour les prospects allemands.
• Inde : aucune loi anti-spam fédérale en 2026. Le cadre du PDPB (Personal Data Protection Bill) est en attente — le cold email B2B est actuellement largement non réglementé.

Checklist de conformité pratique pour les campagnes de cold email

La checklist en 12 points qui couvre les trois grands cadres

1. Identifiez clairement votre entité expéditrice : chaque cold email doit indiquer qui l'envoie — votre nom, le nom de votre entreprise et une adresse de réponse fonctionnelle qui atteint une vraie personne.
2. Incluez une adresse postale physique : exigée par CAN-SPAM. Ajoutez-la à votre signature d'e-mail. Une adresse professionnelle enregistrée ou une boîte postale convient.
3. Rédigez des lignes d'objet honnêtes : pas d'objets aguicheurs trompeurs. « Petite question sur [Entreprise] » convient. « Votre compte a été suspendu » ne convient pas.
4. Ajoutez un mécanisme de désabonnement en un clic : utilisez un lien de désabonnement ou une instruction de désabonnement en texte brut. Rendez-le réellement facile — un processus de désabonnement plein de friction vous vaudra des plaintes pour spam à la place.
5. Traitez les désabonnements sous 10 jours ouvrables (CAN-SPAM/CASL) ou immédiatement (RGPD) : constituez une liste de suppression. Ne réintégrez jamais les contacts désabonnés.
6. Documentez votre base légale pour les contacts de l'UE : pour chaque segment de pays de l'UE, consignez par écrit votre évaluation de l'intérêt légitime. Conservez-la dans votre documentation de conformité.
7. Vérifiez le consentement implicite pour les contacts canadiens : confirmez que l'adresse e-mail de chaque prospect canadien a été publiée publiquement et que votre offre est pertinente pour son rôle.
8. Évitez d'acheter des listes sans provenance : si vous ne pouvez pas vérifier comment un fournisseur de listes a obtenu les adresses e-mail, ne l'utilisez pas pour des prospects de l'UE ou du Canada.
9. Incluez une référence à une notice de confidentialité pour les contacts RGPD : une ligne en pied de page renvoyant vers votre politique de confidentialité satisfait cette exigence pour la plupart des régulateurs.
10. N'utilisez jamais de cases de consentement pré-cochées ou d'opt-in pré-cochés trompeurs : cela viole spécifiquement les standards de consentement du RGPD.
11. Formez votre équipe commerciale aux obligations de désabonnement : la personne qui gère les réponses doit savoir supprimer immédiatement quiconque demande à être retiré, quelle que soit la formulation employée.
12. Auditez votre dispositif de conformité chaque trimestre : les réglementations changent. Programmez un rappel dans votre agenda pour revoir vos mécanismes de désabonnement, vos listes de suppression et votre documentation tous les 90 jours.

FAQ : Conformité du cold email

Q : Est-il légal d'envoyer des cold emails à des adresses e-mail professionnelles de l'UE ?

R : Oui, à condition d'avoir une base légale valide. Pour la prospection B2B, l'intérêt légitime au titre de l'article 6(1)(f) du RGPD est la base la plus couramment utilisée. Documentez votre évaluation de l'intérêt légitime, incluez une référence à une notice de confidentialité et proposez un désabonnement clair. La pertinence entre votre offre et le rôle du destinataire renforce considérablement votre LIA.

Q : Quelle est la différence entre CAN-SPAM et le RGPD pour le cold email ?

R : CAN-SPAM n'exige aucun consentement préalable — vous pouvez envoyer un cold email à n'importe qui tant que vous êtes honnête et que vous fournissez un désabonnement. Le RGPD exige une base légale documentée (généralement l'intérêt légitime pour le B2B), une notice de confidentialité et un traitement immédiat du désabonnement. Le RGPD est nettement plus strict sur la documentation et les standards de consentement.

Q : Puis-je utiliser des listes de leads achetées pour le cold email ?

R : Aux États-Unis, les listes achetées sont légales sous CAN-SPAM. Pour les prospects de l'UE et du Canada, vous devez vérifier que le fournisseur de listes dispose d'un processus de collecte de données conforme et qu'un consentement implicite ou exprès s'applique. De nombreux fournisseurs de données réputés (ZoomInfo, Apollo, Lusha) disposent d'une documentation de conformité pour leurs sources de données. Exigez-la avant d'utiliser toute liste pour une prospection dans l'UE ou au Canada.

Q : Que se passe-t-il si quelqu'un se désabonne et que je lui écris à nouveau ?

R : Sous CAN-SPAM, réécrire à un contact désabonné est une violation passible d'amendes de 53 088 $ par e-mail. Sous le RGPD, cela constitue un traitement illicite et peut déclencher des plaintes auprès de l'autorité de protection des données compétente. Sous CASL, cela viole le retrait exprès du consentement et peut entraîner des amendes allant jusqu'à 1 million de dollars pour les individus ou 10 millions pour les organisations. Dans tous les cas, tenez à jour et vérifiez votre liste de suppression avant chaque envoi de campagne.

Q : Ai-je besoin d'un avocat pour mettre en place un programme de cold email conforme ?

R : Pour une conformité CAN-SPAM de base, la plupart des équipes commerciales peuvent se débrouiller seules avec la checklist ci-dessus. Pour le RGPD et CASL, en particulier si vous envoyez un volume important à des prospects de l'UE ou du Canada, une revue ponctuelle avec un avocat spécialisé en protection des données en vaut la peine. Les évaluations de l'intérêt légitime bénéficient d'une revue juridique, surtout pour les prospects allemands ou néerlandais, où l'historique d'application est plus strict.