RGPD et prospection B2B : ce que dit la loi sur l'achat de fichiers de contacts

Le RGPD encadre le traitement de toute donnée permettant d'identifier une personne physique, y compris lorsque cette personne agit dans un cadre professionnel. Une adresse email du type [email protected] ou un numéro de ligne directe au sein d'une société entrent donc bien dans le champ d'application du règlement, même si la finalité poursuivie est commerciale et non personnelle. C'est ce point qui génère le plus d'incompréhension chez les dirigeants qui envisagent une campagne de prospection.

Une base légale sans consentement : l'intérêt légitime

Pour solliciter un contact professionnel, il n'est pas nécessaire d'avoir recueilli son accord au préalable. Le RGPD reconnaît la notion d'intérêt légitime comme base légale à part entière : une entreprise peut traiter les coordonnées professionnelles d'une personne dès lors que la sollicitation est en lien direct avec son activité et qu'elle reste raisonnable dans sa fréquence et son contenu. Un éditeur de logiciel de gestion qui contacte des directeurs financiers de PME pour leur présenter son offre correspond typiquement à ce cadre : la finalité est prévisible et proportionnée pour la personne concernée.

B2B et B2C : deux régimes différents

La distinction entre prospection B2B et B2C est essentielle. Pour les particuliers, la sollicitation par email nécessite en principe un consentement préalable, sauf exceptions encadrées par le Code des postes et des communications électroniques. Pour la prospection B2B, en revanche, le cadre est plus souple : l'intérêt légitime suffit, à condition que le message concerne l'activité professionnelle du destinataire et non sa vie privée. Un email envoyé à une adresse professionnelle générique (contact@, service-achat@) est encore plus simple à justifier, puisqu'il ne cible pas nommément un individu.

Ce que vérifie la CNIL

La CNIL a publié plusieurs recommandations précisant les conditions d'une prospection B2B conforme. Elle vérifie notamment que l'entreprise émettrice peut justifier de la source des données utilisées, que le contenu du message reste en lien avec l'activité professionnelle du destinataire, et qu'un moyen simple de désinscription est proposé dans chaque communication. Elle sanctionne en revanche les pratiques où des données professionnelles sont utilisées pour des finalités totalement étrangères à l'activité de l'entreprise contactée, ou lorsque la fréquence des sollicitations devient excessive.

En résumé, le RGPD ne bloque pas la prospection B2B : il impose un cadre de bon sens, fondé sur la pertinence de la sollicitation, la transparence sur l'origine des données et le respect du droit des personnes à ne plus être contactées. C'est ce triptyque qui structure l'ensemble des règles applicables à l'achat et à l'utilisation d'un fichier de contacts professionnels.

À lire aussi : nos campagnes email.

À lire aussi : Les types de prospection commerciale : guide 2026.

Contrairement à une croyance répandue, l'achat de fichier de contacts B2B n'est pas illégal au regard du RGPD. Ce qui est encadré, ce n'est pas l'acte d'achat en lui-même, mais la manière dont les données ont été collectées à l'origine et l'usage qui en est fait ensuite par l'entreprise acheteuse. Un fichier constitué à partir de données publiquement accessibles ou déclarées par les entreprises elles-mêmes peut tout à fait être vendu et utilisé pour de la prospection, dès lors que les principes du règlement sont respectés en aval.

Un achat encadré, pas interdit

Lorsqu'une entreprise achète un fichier, elle devient elle-même responsable du traitement des données qu'elle reçoit. Cela signifie qu'elle doit s'assurer que la source des données est légitime, que les informations n'ont pas été collectées de manière déloyale, et qu'elle applique elle-même les obligations d'information et d'opposition dès le premier contact avec chaque personne du fichier. L'achat ne dispense donc pas des obligations classiques du RGPD : il déplace simplement le point de départ de la relation avec les contacts.

La qualité et la traçabilité de la source

Un fichier de contacts B2B fiable rassemble généralement des coordonnées issues de sources professionnelles vérifiables : sites d'entreprises, annuaires légaux, registres publics. À titre d'illustration, une base de données professionnelles à jour peut compter 1 094 064 entreprises avec un email et 1 837 457 entreprises avec un téléphone, des volumes qui donnent une idée de l'ampleur des informations professionnelles légalement accessibles et exploitables lorsque la source est correctement documentée. Cette traçabilité est précisément ce que la CNIL demande de pouvoir justifier en cas de contrôle.

Les obligations qui pèsent sur l'acheteur

Une fois le fichier acquis, l'acheteur du fichier doit remplir plusieurs obligations avant tout envoi : informer chaque contact de l'origine de ses coordonnées lors du premier message, indiquer clairement la finalité du traitement, et proposer un moyen simple de s'opposer à toute future sollicitation. Il doit également veiller à ne pas conserver les données au-delà de la durée nécessaire et à ne pas les transmettre à des tiers sans base légale propre. Ces obligations, loin d'être des contraintes exceptionnelles, correspondent aux standards habituels de toute action de prospection B2B, qu'elle repose sur un fichier acheté ou constitué en interne.

En pratique, l'achat d'un fichier reste donc un levier parfaitement légal pour développer une activité commerciale, à condition de traiter les données reçues avec la même rigueur que des données collectées directement. C'est cette rigueur, plus que l'origine du fichier, qui détermine la conformité de la démarche au regard du RGPD.

À lire aussi : Enrichir un fichier client B2B : le guide pratique.

Au-delà de la base légale, trois obligations concrètes structurent une prospection B2B conforme au RGPD : le droit d'opposition, l'information des personnes contactées, et la limitation de la durée de conservation des données. Ces trois piliers s'appliquent quelle que soit l'origine du fichier utilisé, qu'il ait été acheté ou constitué en interne.

Le droit d'opposition (opt-out)

Toute personne contactée dans le cadre d'une prospection B2B doit pouvoir s'opposer facilement et gratuitement à recevoir de nouvelles sollicitations. Ce droit d'opposition, souvent appelé opt-out, doit être proposé dès le premier message, via un lien de désinscription ou une adresse dédiée clairement identifiée. Une fois la demande formulée, l'entreprise doit cesser tout contact commercial avec la personne concernée dans un délai raisonnable, généralement quelques jours, et conserver une trace de cette opposition pour éviter tout nouvel envoi ultérieur, y compris depuis un autre fichier.

L'obligation d'information

Chaque personne dont les données sont traitées doit être informée, dès le premier contact, de l'identité de l'entreprise qui la sollicite, de la finalité du traitement, de l'origine des données lorsque celles-ci n'ont pas été recueillies directement auprès d'elle, et des moyens dont elle dispose pour exercer ses droits. Cette obligation d'information peut être remplie simplement, par une mention en bas d'email ou un renvoi vers une page dédiée sur le site de l'entreprise. Elle ne nécessite pas de formalisme lourd, mais elle doit être systématique et facilement accessible.

Durée de conservation des données

Le RGPD impose de ne pas conserver les données personnelles au-delà de ce qui est nécessaire à la finalité poursuivie. En matière de prospection B2B, la CNIL recommande une durée de conservation maximale de trois ans à compter du dernier contact actif avec la personne, qu'il s'agisse d'une réponse à un email, d'un appel ou d'un échange commercial. Passé ce délai sans interaction, les données doivent être supprimées ou, à défaut, archivées de manière sécurisée sans plus être utilisées à des fins commerciales. Cette règle s'applique aussi bien aux contacts issus d'un fichier acheté qu'à ceux générés par l'activité commerciale interne de l'entreprise.

Respecter ces trois obligations ne demande pas de moyens techniques complexes. Un processus simple — mention d'information systématique, lien de désinscription fonctionnel, purge régulière des fichiers anciens — suffit à couvrir l'essentiel des exigences du RGPD en matière de prospection B2B, tout en construisant une relation de confiance avec les prospects sollicités.

À lire aussi : Erreurs de segmentation email : 7 pièges à éviter.

Au-delà des obligations légales, certaines bonnes pratiques permettent de sécuriser une campagne de prospection tout en améliorant son efficacité commerciale. Elles s'articulent autour de trois moments clés : avant l'envoi, pendant la campagne, et après son déroulement.

Avant l'envoi

Avant de lancer une campagne de prospection, il est utile de vérifier l'origine du fichier utilisé et de s'assurer qu'il correspond bien à des données professionnelles publiques ou légalement collectées. Il est également recommandé de rédiger à l'avance la mention d'information qui figurera dans chaque message, ainsi qu'un lien ou une adresse de désinscription clairement visible. Enfin, un tri par secteur d'activité ou fonction permet de s'assurer que l'offre proposée reste pertinente pour chaque destinataire, ce qui renforce à la fois la conformité et le taux de réponse.

Pendant la campagne

Pendant l'envoi des messages, il convient de respecter une fréquence raisonnable de sollicitation et de traiter sans délai toute demande de désabonnement reçue. Il est conseillé de tenir un registre simple des personnes ayant exercé leur droit d'opposition, afin d'éviter qu'elles ne soient recontactées via un autre canal ou un futur fichier. Cette traçabilité des actions constitue une preuve précieuse en cas de contrôle et témoigne du sérieux de la démarche commerciale engagée par l'entreprise.

Après la campagne

Une fois la campagne terminée, il est recommandé d'analyser les résultats pour ne conserver que les contacts ayant manifesté un intérêt réel, et de programmer la suppression des données des personnes n'ayant montré aucune interaction après plusieurs relances. Cette hygiène régulière du fichier limite les risques liés à la durée de conservation et améliore mécaniquement la qualité des futures campagnes, en évitant de solliciter des contacts non pertinents ou déjà opposés à toute prospection.

En appliquant ces principes simples, une PME peut mener une prospection B2B conforme sans complexité excessive, tout en construisant une base de contacts qualifiée et respectueuse des droits des personnes. La conformité au RGPD, loin d'être un frein, devient alors un gage de sérieux qui peut être valorisé auprès des prospects eux-mêmes.

À lire aussi : Comment trouver les emails des entreprises (4 méthodes).