Prospection B2B et RGPD : ce qui est autorisé en France

Le malentendu de départ

Beaucoup d'entreprises pensent que le RGPD a mis fin à la prospection par e-mail. C'est faux. Le règlement encadre le traitement des données personnelles, il ne l'interdit pas. En B2B, la prospection par e-mail reste légale en France sans consentement préalable, à trois conditions précises. Cet article les détaille. Il ne remplace pas l'avis d'un juriste, mais il vous donne le cadre réel.

Ce que dit la CNIL pour le B2B

La position de la CNIL distingue le B2C du B2B. Pour une personne contactée dans un cadre professionnel, le consentement préalable n'est pas exigé si :

1. Le message est en rapport avec la profession de la personne. Proposer un logiciel de facturation à un comptable, oui. Proposer une offre de voyage personnelle à la même adresse professionnelle, non.
2. La personne est informée, au moment de la collecte ou au plus tard lors du premier contact, de l'utilisation de ses données et de ses droits.
3. La personne peut s'opposer simplement et gratuitement, à tout moment, à recevoir de nouveaux messages.

La base légale invoquée est l'intérêt légitime, pas le consentement. C'est un point important : l'intérêt légitime doit être documenté et mis en balance avec les droits des personnes.

Adresses génériques et adresses nominatives

Une adresse de type contact@entreprise.fr n'identifie pas une personne physique : ce n'est pas, en principe, une donnée personnelle. Une adresse de type prenom.nom@entreprise.fr en est une, même dans un contexte professionnel. Traitez donc les deux différemment : la seconde impose l'information, le registre et le droit d'opposition.

Ce qui est clairement interdit

Aspirer des profils de réseaux sociaux à grande échelle pour constituer un fichier commercial. Acheter un fichier sans pouvoir démontrer l'origine licite des données. Contacter des particuliers par e-mail sans consentement. Ignorer une demande de désinscription ou de suppression. Masquer l'identité de l'expéditeur. Conserver des données sans limite de durée.

Les obligations pratiques à mettre en place

Le registre des traitements. Un simple tableau suffit pour une petite structure : finalité, catégories de données, source, base légale, durée de conservation, destinataires.

L'information des personnes. Une mention claire dans vos e-mails de prospection, renvoyant vers une page de politique de confidentialité accessible, indiquant l'origine des données (registres publics, par exemple) et les droits applicables.

Le droit d'opposition. Un lien de désinscription fonctionnel dans chaque message, et une page dédiée permettant à toute personne de demander le retrait de ses données, même sans avoir été contactée. Le traitement de la demande doit être effectif, pas seulement enregistré.

La durée de conservation. Trois ans sans contact est la durée généralement retenue pour des données de prospection B2B. Au-delà, supprimez ou anonymisez.

La sécurité. Accès restreints, mots de passe robustes, hébergement identifié, sous-traitants encadrés par contrat.

Le cas particulier des données publiques

Utiliser SIRENE, le BODACC ou le RNE est licite : ces bases sont diffusées en open data et réutilisables. Attention toutefois : le caractère public d'une donnée ne supprime aucune de vos obligations. Le nom d'un dirigeant publié au BODACC reste une donnée personnelle. Vous devez donc l'informer, respecter son opposition et limiter la durée de conservation comme pour n'importe quelle autre source.

La CNIL a par ailleurs rappelé que la réutilisation de données publiques à des fins de prospection doit rester proportionnée et cohérente avec la finalité initiale de publication.

Prospection téléphonique

Le téléphone relève d'un régime différent. Vérifiez l'inscription sur Bloctel pour les numéros susceptibles d'appartenir à des particuliers ou à des professionnels en nom propre, identifiez-vous dès le début de l'appel, indiquez l'objet, et respectez les plages horaires autorisées.

En résumé opérationnel

Ciblez des professionnels, sur un sujet lié à leur métier, avec une source de données licite, un message identifiable, un lien d'opposition qui fonctionne, un registre tenu à jour et une durée de conservation définie. Dans ce cadre, votre prospection est conforme — et elle est aussi, tout simplement, plus efficace, parce qu'un ciblage précis rend le message pertinent.