Prospection RGPD : le guide pour prospecter en conformité
Prospection et RGPD : base légale, règles par canal, achat de fichiers, durée de conservation, choix des outils — le guide concret pour prospecter en règle.
Sommaire
Depuis 2018, beaucoup d'équipes commerciales vivent avec une peur diffuse : celle d'envoyer un email de prospection « interdit », de se faire épingler par la CNIL, de voir le juridique bloquer chaque campagne. Résultat : certaines équipes n'osent plus prospecter, d'autres prospectent en fermant les yeux. Les deux attitudes sont des erreurs — et ce guide de la prospection RGPD existe pour les corriger.
La réalité est plus simple et plus rassurante : le RGPD n'a pas interdit la prospection B2B. Il l'a encadrée. Une équipe qui connaît les règles — base légale, information, droit d'opposition, données à jour — peut prospecter activement, sereinement, et souvent mieux que ses concurrents, parce que la conformité pousse mécaniquement vers des données plus fraîches et un ciblage plus précis.
Ce guide couvre la base légale à utiliser, les règles par canal (email, téléphone, LinkedIn), la question épineuse de l'achat de fichiers, la constitution d'une base conforme avec un outil d'enrichissement CRM, et les questions à poser avant de choisir un outil de prospection.
La prospection est-elle légale sous le RGPD ?
Oui. Le RGPD n'interdit pas la prospection : il l'encadre. La prospection B2B est licite si elle repose sur une base légale — le plus souvent l'intérêt légitime —, si les personnes sont informées du traitement, si elles peuvent s'opposer facilement, et si les données utilisées sont pertinentes et à jour.
Le texte le dit lui-même : le considérant 47 du RGPD cite la prospection directe comme pouvant relever de l'intérêt légitime du responsable de traitement. Autrement dit, prospecter n'est pas une zone grise tolérée — c'est un usage explicitement envisagé par le règlement, à condition de respecter le cadre. C'est ce cadre que nous détaillons section par section.
Quelle base légale pour la prospection B2B ?
Tout traitement de données personnelles doit reposer sur l'une des six bases légales de l'article 6 du RGPD. Pour la prospection B2B, deux sont pertinentes en pratique :
L'intérêt légitime est la base la plus utilisée en B2B. Elle vous autorise à traiter des données professionnelles (nom, fonction, email professionnel, entreprise) sans consentement préalable, à trois conditions cumulatives :
- Votre intérêt est réel et licite — développer votre activité commerciale en fait partie.
- Le traitement est nécessaire et proportionné — vous ne collectez que les données utiles à la prospection, pas la vie privée du contact.
- Les droits des personnes ne sont pas disproportionnellement affectés — un décideur B2B peut raisonnablement s'attendre à être contacté professionnellement sur un sujet lié à sa fonction.
Documentez cet arbitrage (un « test de mise en balance » d'une page suffit dans la plupart des cas) et gardez-le dans votre registre des traitements : c'est la première pièce que demandera un DPO ou un contrôleur.
Le consentement reste obligatoire dans un cas principal : la prospection électronique vers des particuliers (B2C), ou vers des adresses qui ne sont pas rattachées à une fonction professionnelle. Si votre cible est un consommateur, l'opt-in préalable est la règle — pas d'exception.
Email, téléphone, LinkedIn : quelles règles par canal ?
La base légale ne suffit pas : chaque canal a ses règles propres, héritées notamment de la directive ePrivacy et de sa transposition française.
Email de prospection B2B
En France, l'email de prospection vers un professionnel est possible sans consentement préalable à deux conditions, constamment rappelées par la CNIL :
- le message concerne la fonction professionnelle du destinataire (vendre un logiciel de comptabilité à un DAF : oui ; lui vendre des voyages : non) ;
- chaque message offre un moyen simple de s'opposer (lien de désinscription fonctionnel, traité sans délai).
L'adresse email générique d'entreprise (contact@, info@) n'est pas une donnée personnelle : elle échappe à ces contraintes. L'adresse nominative (prenom.nom@) en est une : les règles ci-dessus s'appliquent pleinement.
Téléphone
L'appel B2B sur une ligne professionnelle relève du même régime d'opposition : il est possible sans consentement préalable, tant que la personne n'a pas exprimé son refus. Consignez systématiquement les oppositions dans le CRM — rappeler quelqu'un qui a dit non est à la fois une faute juridique et une faute commerciale.
Un profil LinkedIn public ne constitue pas un consentement à être prospecté : les données restent personnelles et leur collecte est un traitement à part entière, qui doit respecter les mêmes règles (base légale, information, opposition, minimisation). L'export massif et automatisé de profils pose en outre des questions de conformité aux conditions d'utilisation de la plateforme. Pour la méthode complète et conforme, voyez notre guide de prospection LinkedIn.
Peut-on acheter une base de données de prospects ?
C'est légalement possible, mais c'est le terrain le plus risqué de la prospection RGPD — et il faut comprendre pourquoi pour évaluer les alternatives.
Quand vous achetez ou louez un fichier, vous devenez responsable de traitement sur des données que vous n'avez pas collectées. Trois obligations en découlent :
- Vérifier la licéité de la collecte initiale : le vendeur doit pouvoir démontrer sur quelle base légale les données ont été collectées et que la revente était prévue. « Le fournisseur m'a dit que c'était conforme » ne vous protège pas : la CNIL a déjà sanctionné des acheteurs de fichiers, pas seulement des vendeurs.
- Informer les personnes : l'article 14 du RGPD vous impose d'informer les contacts que vous détenez leurs données — au plus tard lors de la première communication.
- Assumer la qualité des données : un fichier statique vieillit dès sa constitution. Contacts partis, entreprises fermées, emails morts : vous portez la responsabilité (et les taux de bounce) de données périmées.
C'est ici que le modèle de l'outil compte structurellement. Les grandes plateformes de prospection historiques sont des bases de données stockées : elles collectent et conservent des millions de profils en amont, avant toute demande client — c'est précisément le modèle qui concentre les questions de base légale de collecte, d'information des personnes et de durée de conservation. L'approche inverse, celle d'Enrich-CRM, est le lookup en temps réel : l'information est recherchée sur le web au moment où vous en avez besoin, pour le contact précis que vous avez qualifié. Moins de stock, moins de données dormantes, des informations à jour — trois propriétés qui vont dans le sens de la minimisation demandée par le RGPD.
Comment constituer un fichier de prospection conforme ?
Concrètement, voici la checklist qu'un DPO validera sans discussion :
| Exigence | Ce que ça veut dire en pratique |
|---|---|
| Base légale documentée | Test d'intérêt légitime rédigé, versé au registre des traitements |
| Minimisation | Uniquement les champs utiles : identité, fonction, coordonnées pro, contexte entreprise |
| Information | Mention du traitement à la première communication + politique de confidentialité accessible |
| Droit d'opposition | Lien de désinscription + champ « opt-out » dans le CRM, respecté par tous les outils connectés |
| Durée de conservation | La CNIL recommande 3 ans après le dernier contact du prospect ; purgez au-delà |
| Données à jour | Ré-enrichissement avant chaque campagne plutôt qu'un fichier figé |
| Sous-traitants | DPA signé avec chaque outil, localisation des serveurs vérifiée |
Deux points font la différence à l'usage.
La fraîcheur des données n'est pas qu'une exigence de conformité — c'est une exigence de performance. L'article 5 du RGPD impose des données exactes et tenues à jour ; votre taux de réponse l'impose aussi. Un enrichissement en temps réel avant chaque séquence — jusqu'à 250+ données entreprise et 50+ données contact, avec détection des changements de poste — sert les deux objectifs à la fois : vous écrivez à la bonne personne, au bon poste, avec le bon contexte.
L'opposition doit circuler dans toute la stack. Un désinscrit dans votre outil d'emailing qui reste « contactable » dans le CRM est une non-conformité en sursis. C'est un argument de poids pour des intégrations natives plutôt que des exports CSV manuels : Enrich-CRM se connecte directement à HubSpot, Clay, Zapier, Make et n8n, avec une API REST pour le reste — la donnée circule, les statuts aussi. Et pour savoir où concentrer vos efforts de mise en conformité, mesurez votre entonnoir de prospection : les étapes où la donnée est la plus manipulée sont celles à auditer en premier.
Quel outil de prospection RGPD choisir ?
Les questions qu'un DPO posera — et que vous devriez poser avant lui :
- Où sont hébergées et traitées les données ? Un traitement intégralement dans l'Union européenne évite toute la complexité juridique des transferts hors UE. Enrich-CRM héberge ses serveurs à Paris.
- Quel est le modèle de collecte ? Base stockée constituée en amont, ou recherche en temps réel à la demande ? Le second modèle minimise les données conservées.
- Un DPA est-il disponible ? L'accord de sous-traitance (article 28) est obligatoire, pas optionnel.
- Les signaux utilisés sont-ils des données d'entreprise ? Les signaux d'intention — recrutements, croissance, changements d'outils — portent sur l'entreprise, pas sur la personne : c'est le type de priorisation le plus sobre en données personnelles.
- Le prix est-il transparent ? Ce n'est pas une exigence RGPD, mais c'est un marqueur de culture : un outil qui affiche ses prix (Enrich-CRM démarre à 29 €/mois) vous dira aussi clairement où sont ses serveurs.
FAQ
La prospection B2B nécessite-t-elle le consentement des prospects ?
Non, pas en règle générale. En B2B, l'intérêt légitime permet de contacter un professionnel sans consentement préalable, à condition que le message concerne sa fonction, qu'il soit informé du traitement et qu'il puisse s'opposer simplement. Le consentement préalable reste obligatoire pour prospecter des particuliers (B2C).
Combien de temps peut-on conserver les données d'un prospect ?
La CNIL recommande trois ans à compter du dernier contact émanant du prospect (clic, réponse, rendez-vous). Au-delà, supprimez ou anonymisez — ou recollectez proprement si le compte redevient pertinent. Un prospect qui n'a jamais réagi en trois ans n'est de toute façon plus un prospect.
Que risque-t-on en cas de prospection non conforme ?
Les sanctions RGPD peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial pour les manquements les plus graves, et la CNIL a déjà prononcé des amendes visant spécifiquement des pratiques de prospection. Le risque le plus fréquent reste toutefois opérationnel : plaintes, mises en demeure, et dégradation de la délivrabilité email.
Peut-on faire de la prospection RGPD avec des outils américains ?
Ce n'est pas interdit en soi, mais tout transfert de données hors UE doit être encadré (décision d'adéquation, clauses contractuelles types) et documenté — une couche de complexité et de risque juridique en plus, qui repose sur des cadres régulièrement contestés devant les tribunaux. Un outil qui traite tout dans l'UE supprime la question au lieu de la gérer.
Le RGPD s'applique-t-il aux emails professionnels génériques ?
Non. Une adresse générique (contact@entreprise.fr) n'identifie personne : ce n'est pas une donnée personnelle. Une adresse nominative (marie.dupont@entreprise.fr) en est une, et toutes les règles de ce guide s'y appliquent.
Prochaine étape : passez votre fichier actuel au crible — coordonnées à jour, bons interlocuteurs, données minimisées. Le plan gratuit d'Enrich-CRM inclut 100 crédits par mois, sans carte bancaire, avec des données traitées en Europe : créez votre compte et enrichissez vos premiers prospects en quelques minutes.