E-mail à froid B2B en Espagne : ce que disent la LSSI et le RGPD

Avertissement : cet article porte sur la réglementation espagnole et européenne applicable aux e-mails commerciaux envoyés à des entreprises. Si vous prospectez en France ou dans un autre pays, les règles nationales diffèrent : vérifiez celles du pays concerné. Cet article ne constitue pas un conseil juridique. Si vous prospectez par e-mail, demandez à un avocat comment votre situation particulière s’inscrit dans ce cadre.

Si vous vendez à d’autres entreprises, vous finirez tôt ou tard par vous poser la question : puis-je écrire à une entreprise qui ne me connaît pas pour lui proposer ce que je vends ? En Espagne, la réponse courte est inconfortable, et mieux vaut la connaître avant de lancer votre première campagne : en règle générale, la loi interdit d’envoyer des e-mails commerciaux qui n’ont été ni demandés ni autorisés, y compris à des entreprises.

Dans cet article, nous passons en revue ce que disent exactement les deux textes applicables — la LSSI et le RGPD —, pourquoi écrire à info@ n’est pas la même chose qu’écrire à maria@, quelles amendes prévoit la loi et quelles pratiques réduisent le risque si vous décidez de prospecter par e-mail.

Deux textes distincts qui s’appliquent en même temps

Le premier malentendu consiste à croire qu’il n’y a qu’une seule loi. En réalité, lorsque vous envoyez un e-mail commercial à une entreprise, deux textes aux objets différents s’appliquent :

Respecter l’un ne vous dispense pas de l’autre. Vous pouvez disposer d’une base légale irréprochable pour conserver l’adresse e-mail d’une personne (RGPD) et, malgré tout, enfreindre la LSSI si vous lui envoyez de la publicité qu’elle n’a pas demandée.

Ce que dit l’article 21 de la LSSI

L’article 21.1 de la LSSI est au cœur du sujet. Il dispose, en substance (traduction libre), qu’est interdit l’envoi de communications publicitaires ou promotionnelles par courrier électronique ou par tout autre moyen de communication électronique équivalent qui n’auraient pas été préalablement sollicitées ou expressément autorisées par leurs destinataires.

Trois points importants :

• Il ne distingue pas les particuliers des entreprises. L’article parle de « destinataires », sans exclure les personnes morales. Un e-mail commercial envoyé à une entreprise est soumis à la même règle qu’un e-mail envoyé à un particulier.
• L’autorisation doit être préalable et expresse. Il ne suffit pas que l’adresse soit publique ou qu’elle figure sur le site de l’entreprise : publier une adresse de contact ne revient pas à autoriser l’envoi de publicité.
• La « communication commerciale » est une notion large. La loi la définit comme toute forme de communication destinée à promouvoir, directement ou indirectement, l’image ou les biens ou services d’une entreprise. Un e-mail qui présente vos services dans le but de vendre entre pleinement dans ce cadre.

L’exception : la relation contractuelle préalable

L’article 21.2 prévoit la principale exception : l’interdiction ne s’applique pas lorsqu’il existe une relation contractuelle préalable, à condition que vous ayez obtenu les coordonnées du destinataire de manière licite et que vous lui adressiez des communications portant sur des produits ou services de votre entreprise similaires à ceux qu’il a achetés. Même dans ce cas, vous devez lui offrir la possibilité de s’y opposer dans chaque communication.

Autrement dit : l’exception vaut pour vos clients, pas pour des prospects qui ne le sont pas encore.

Ce qu’exige tout e-mail commercial

Au-delà de l’interdiction, la LSSI impose deux obligations à toute communication commerciale que vous envoyez :

• L’identification (article 20). L’e-mail doit être clairement identifiable comme commercial, et l’identité de l’expéditeur doit être évidente.
• Une désinscription simple et gratuite (article 22). Le destinataire peut retirer son consentement à tout moment par une procédure simple et gratuite, et vous devez lui fournir une adresse ou un moyen pour le faire.

Info@ ou maria@ : ce qui change

Voici la deuxième confusion fréquente. Beaucoup pensent qu’écrire à une adresse générique d’entreprise (info@, hola@, contacto@) est autorisé et qu’écrire à une personne ne l’est pas. La réalité est plus nuancée :

Pour la LSSI, rien ne change. L’article 21 protège le destinataire de la communication, qu’il s’agisse d’une personne ou d’une entreprise. Un e-mail publicitaire non sollicité envoyé à info@clinica.es est soumis à la même interdiction qu’un e-mail envoyé à maria@clinica.es.

Pour le RGPD, en revanche, cela change. Une adresse générique d’entreprise n’est normalement pas une donnée personnelle, car elle n’identifie pas une personne physique. Une adresse nominative (maria.roig@clinica.es) en est une, et s’ajoutent alors les obligations de protection des données que nous détaillons ci-dessous.

En résumé : écrire à info@ vous épargne des obligations en matière de protection des données, mais ne vous exonère pas de la LSSI.

Ce qu’exige le RGPD si le destinataire est une personne

Lorsque l’adresse que vous utilisez identifie une personne, le RGPD vous impose au minimum trois choses.

1. Une base légale pour traiter ses données

Celle que l’on invoque habituellement en prospection B2B est l’intérêt légitime (article 6.1.f du RGPD). Le considérant 47 reconnaît que le traitement à des fins de prospection peut être considéré comme réalisé pour répondre à un intérêt légitime. En Espagne, l’article 19 de la LOPDGDD présume licite le traitement des coordonnées professionnelles des personnes qui travaillent dans une entreprise, à condition qu’elles ne servent qu’à les joindre dans un cadre professionnel et à entretenir des relations avec l’entreprise pour laquelle elles travaillent.

Mais insistons : l’intérêt légitime justifie le traitement des données ; il n’autorise pas l’envoi de communications commerciales électroniques que la LSSI interdit.

2. Informer la personne

Si vous n’avez pas obtenu les données directement auprès d’elle — par exemple, si vous les avez trouvées sur le site de son entreprise —, l’article 14 du RGPD vous oblige à lui indiquer qui vous êtes, à quelles fins vous utilisez ses données, d’où vous les tenez et de quels droits elle dispose. Lorsque vous comptez utiliser ces données pour communiquer avec elle, ces informations doivent lui être fournies au plus tard lors de la première communication.

3. Respecter son opposition

L’article 21 du RGPD reconnaît le droit de s’opposer à tout moment au traitement à des fins de prospection. Si la personne s’y oppose, vous devez cesser d’utiliser ses données à cette fin, sans excuse et sans délai.

Quelles amendes prévoit la loi

La LSSI classe les infractions dans son article 38 et fixe les sanctions dans son article 39 :

• Infraction grave : l’envoi massif de communications commerciales par e-mail à des destinataires qui ne les ont ni demandées ni autorisées, ou l’envoi de plus de trois communications commerciales non sollicitées à un même destinataire sur une période d’un an. Amende de 30 001 à 150 000 euros.
• Infraction légère : l’envoi de communications commerciales qui ne respectent pas les exigences de l’article 21, sans atteindre le niveau d’une infraction grave. Amende jusqu’à 30 000 euros.

C’est l’Agence espagnole de protection des données (AEPD) qui sanctionne le non-respect de ces règles relatives aux e-mails commerciaux. En cas de manquement supplémentaire au RGPD, les sanctions en matière de protection des données peuvent s’y ajouter.

Comment réduire le risque si vous prospectez par e-mail

Dans ce cadre légal, la seule façon d’éliminer tout risque est de n’écrire qu’aux personnes qui vous ont donné leur accord ou qui sont déjà clientes. Si vous décidez malgré tout de contacter des entreprises qui ne vous connaissent pas, ces pratiques réduisent le risque et, surtout, la gêne que vous pouvez causer à la personne qui reçoit l’e-mail :

1. Consultez un avocat avant de commencer. Votre situation particulière — à qui vous écrivez, depuis où, avec quel contenu — peut changer l’analyse.
2. Écrivez peu, et à très peu de personnes. La loi sanctionne tout particulièrement l’envoi massif et l’insistance. Un e-mail pertinent adressé à une entreprise précise n’a rien à voir avec une campagne envoyée à des milliers d’adresses.
3. N’insistez pas. La loi elle-même qualifie d’infraction grave l’envoi de plus de trois communications non sollicitées par an à un même destinataire. S’il ne répond pas, arrêtez-vous.
4. Identifiez-vous toujours. Votre nom, votre entreprise et le moyen de vous contacter, bien visibles.
5. Proposez une vraie désinscription dans chaque e-mail et appliquez-la immédiatement. Tenez une liste d’exclusion pour ne plus écrire à ceux qui ont dit non.
6. Si le destinataire est une personne, informez-la dès le premier e-mail de l’origine de ses données et de ses droits (article 14 du RGPD).
7. Gardez une trace de la provenance de chaque contact ainsi que des désinscriptions et oppositions que vous recevez.
8. Privilégiez le consentement. Formulaires, salons, contenus téléchargeables ou recommandations : tout canal par lequel l’entreprise vous demande des informations est bien plus sûr que l’e-mail non sollicité.

Et dans le reste de l’Europe

La LSSI est la transposition espagnole de la directive 2002/58/CE sur la vie privée et les communications électroniques, qui laisse à chaque État une certaine marge pour encadrer les e-mails commerciaux adressés aux entreprises. C’est pourquoi les règles varient d’un pays à l’autre : certains autorisent l’e-mail B2B non sollicité sous conditions, d’autres le restreignent autant que l’Espagne. Si vous écrivez à des entreprises d’autres pays, vérifiez la réglementation de chacun.

En résumé

• En Espagne, l’article 21 de la LSSI interdit les e-mails publicitaires ni sollicités ni autorisés, y compris à des entreprises.
• La principale exception est la relation contractuelle préalable, pour des produits ou services similaires.
• Écrire à info@ plutôt qu’à une personne ne vous exonère pas de la LSSI, même si cela vous épargne des obligations au titre du RGPD.
• L’intérêt légitime du RGPD permet de traiter des coordonnées professionnelles, mais n’autorise pas l’envoi que la LSSI interdit.
• Les amendes vont jusqu’à 30 000 euros (infractions légères) et de 30 001 à 150 000 euros (infractions graves, comme l’envoi massif).
• Si vous prospectez, faites-le avec l’appui d’un conseil, en faible volume, en vous identifiant, avec une vraie désinscription et sans insister.