Constituer un fichier de prospection B2B conforme au RGPD

Un fichier de prospection B2B conforme au RGPD, c'est un fichier que tu peux montrer sans transpirer : pour chaque contact, tu sais d'où il vient, pourquoi tu as le droit de le démarcher, et à quelle date tu vas le supprimer. La bonne nouvelle, c'est qu'en B2B les règles sont plus souples qu'en B2C. La CNIL n'exige pas le consentement préalable de chaque professionnel avant de lui écrire : elle autorise la prospection sur la base de l'intérêt légitime, à condition que ton message soit en rapport avec son métier et qu'il puisse se désinscrire facilement.

Le reste tient en trois questions très concrètes : où récupérer des adresses proprement, quoi noter à côté de chaque contact, et combien de temps tu peux le garder. On répond à tout ci-dessous, textes de la CNIL à l'appui, pour que ton fichier tienne debout même le jour d'un contrôle.

Un fichier de prospection conforme, c'est quoi au juste

Un fichier conforme, ce n'est pas un fichier qui contient peu de contacts. C'est un fichier dont tu maîtrises chaque colonne. Pour chaque ligne, tu dois pouvoir répondre à quatre questions sans hésiter : d'où vient ce contact, sur quelle base légale je le sollicite, dans quel but, et jusqu'à quand je le conserve. Si tu sais répondre, tu es en règle. Si une seule case reste vide, tu as un problème potentiel.

À l'inverse, le fichier qui pose problème est facile à reconnaître : une liste achetée dont personne ne connaît la provenance, aucune trace de la source, aucun moyen de se désinscrire, et des contacts gardés depuis des années parce que "on ne sait jamais". C'est exactement ce que la CNIL sanctionne.

Un point important dès le départ : toutes les adresses ne se valent pas au regard du RGPD. Une adresse nominative comme prenom.nom@entreprise.fr désigne une personne physique identifiable, donc c'est une donnée personnelle soumise aux règles. Une adresse générique, en revanche, échappe à ces principes. La CNIL est explicite : les adresses de type info@nomsociete.fr ou contact@nomsociete.fr "ne sont pas soumises aux principes rappelés ci-dessus", car elles s'adressent à une organisation et non à une personne identifiée.

Où collecter des contacts B2B légalement

Tu as le droit de constituer ton fichier à partir de sources publiques et professionnelles. Le site de l'entreprise et ses mentions légales, les profils LinkedIn publics, les annuaires professionnels, les bases officielles comme le répertoire Sirene de l'INSEE, les cartes de visite récupérées sur un salon : tout cela est parfaitement légitime tant que l'information est accessible et que tu l'utilises dans un cadre professionnel.

Les outils d'enrichissement et les bases de données commerciales sont utiles pour gagner du temps, à une condition : savoir d'où viennent les données. Un bon fournisseur documente sa source et te permet de tracer chaque contact. C'est ce qui te protège le jour où un prospect demande "d'où tenez-vous mon adresse ?".

Ce qu'il faut éviter est tout aussi clair. N'achète pas un fichier "de particuliers" ou dont personne ne peut expliquer l'origine. Ne mélange pas des adresses personnelles récupérées hors contexte professionnel. Et ne scrape pas massivement des données sans réfléchir à leur nature. Si tu passes par LinkedIn, il y a quelques règles spécifiques à connaître, qu'on détaille dans prospection LinkedIn et RGPD. Pour l'email, le cadre précis est résumé dans la prospection email B2B et la loi en France.

L'intérêt légitime : ta base légale en B2B

En B2B, ta base légale s'appelle l'intérêt légitime. C'est ce qui te dispense de demander l'accord préalable de chaque prospect avant de lui écrire, contrairement au B2C où le consentement, l'opt-in, est la règle. La CNIL distingue nettement les deux : pour les particuliers, il faut un consentement préalable ; pour les professionnels, la prospection est possible sur le fondement de l'intérêt légitime de l'organisme.

Cette liberté a une contrepartie précise. La CNIL pose une condition simple à retenir : l'objet de la sollicitation doit être "en rapport avec la profession de la personne démarchée". L'exemple qu'elle donne est parlant : présenter les mérites d'un logiciel à un directeur informatique. Tu écris à quelqu'un parce que ce que tu vends peut servir à son travail. Si tu proposes une offre de bien-être personnel à ce même directeur informatique sur son adresse pro, tu sors du cadre.

Concrètement, l'intérêt légitime se vérifie par un équilibre : ton intérêt à prospecter d'un côté, l'impact sur la personne de l'autre. Un message ciblé, pertinent pour le métier du destinataire, envoyé en volume raisonnable, penche du bon côté. Un envoi de masse hors sujet, agressif et répété, penche du mauvais. Cette logique de ciblage est aussi ce qui fait la différence sur les résultats, on l'aborde côté performance dans le taux de réponse en cold email B2B.

L'information et le droit d'opposition des prospects

Deux obligations vont de pair avec l'intérêt légitime : informer et permettre de s'opposer. Le prospect doit savoir qui tu es et pouvoir refuser d'être recontacté, simplement, à chaque sollicitation.

L'information, c'est le fait d'être identifiable et transparent. Ton email doit dire clairement qui écrit et pourquoi. Si tu as récupéré le contact via un tiers, tu dois pouvoir indiquer la provenance des données. Le prospect a le droit de savoir d'où tu tiens son adresse, et de te demander d'arrêter.

Le droit d'opposition, c'est le fameux mécanisme de désinscription. Chaque message doit offrir un moyen simple de dire "ne me recontactez plus". Un lien de désinscription, une phrase claire en fin de mail, une réponse "stop" prise en compte : peu importe la forme, l'essentiel est que ce soit facile et respecté immédiatement. Un désabonnement ignoré est la faute la plus visible en cas de plainte. Ces obligations font partie du socle légal complet qu'on déroule dans le point légal sur la prospection et la CNIL.

Combien de temps garder un prospect inactif

C'est la question qui revient le plus souvent, et la CNIL y répond par un chiffre net. Les données d'un prospect peuvent être conservées, selon sa recommandation, "pendant un délai de trois ans à compter de leur collecte ou du dernier contact venant du prospect". Passé ce délai sans le moindre signe de sa part, tu dois les supprimer ou les anonymiser.

Le point de départ mérite qu'on s'y arrête, car il change tout. Le délai court à partir du dernier contact venant du prospect, pas du tien. Un simple clic sur un lien dans un de tes emails compte comme un contact et fait repartir le compteur de trois ans. Autrement dit, tant qu'un prospect interagit, même faiblement, tu peux légitimement le garder. C'est le silence total prolongé qui déclenche la suppression.

En pratique, la bonne habitude est de programmer une purge dans ton outil dès l'import des contacts, plutôt que de faire le ménage à la main une fois par an. Tu poses la date de collecte, tu mets à jour la date à chaque interaction, et ton fichier se nettoie tout seul. Avant de supprimer un contact inactif depuis longtemps, tu peux tenter une dernière relance pour vérifier son intérêt. Sur le nombre de relances raisonnable, on donne des repères dans combien de fois relancer un prospect.

Le registre et le document à sortir en cas de contrôle

Même une TPE qui prospecte doit tenir un registre des traitements. C'est le document qui recense tes activités touchant à des données personnelles, dont ta prospection commerciale. Ce n'est pas une déclaration à envoyer à la CNIL, la déclaration préalable n'existe plus depuis le RGPD, mais un document interne que tu dois pouvoir présenter si on te le demande.

Pour la prospection, ton registre décrit en quelques lignes l'essentiel : la finalité (trouver des clients par email et LinkedIn), les catégories de personnes concernées (des professionnels, dirigeants et décideurs), les données traitées (nom, fonction, email professionnel, entreprise), les sources, la base légale (l'intérêt légitime) et la durée de conservation (trois ans après le dernier contact). Rien d'insurmontable, une page suffit souvent.

À côté du registre, garde de quoi prouver ta bonne foi au quotidien : la trace de la provenance de tes contacts, un exemple du message envoyé avec son lien de désinscription, et l'historique des demandes d'opposition traitées. Ce sont ces preuves concrètes, plus que les grands discours, qui font qu'un contrôle se passe bien. Si tu veux industrialiser tout ça proprement, voir comment automatiser sa prospection commerciale en PME.

Questions frequentes

Faut-il le consentement du prospect pour un cold email en B2B ?

Non. En B2B, la CNIL autorise la prospection sur la base de l'intérêt légitime, sans consentement préalable, à condition que l'objet du message soit en rapport avec la profession de la personne et qu'elle puisse se désinscrire. Le consentement préalable reste la règle pour les particuliers.

Ai-je le droit d'acheter un fichier de prospection ?

Oui, à condition de savoir d'où viennent les données et que les personnes aient été informées d'un usage possible pour de la prospection. Un fichier sans provenance traçable ni preuve d'information est un risque, pas un raccourci.

Une adresse contact@ ou info@ est-elle soumise au RGPD ?

Non pour l'essentiel. La CNIL considère que les adresses génériques ne sont pas soumises aux mêmes principes que les adresses nominatives, car elles s'adressent à une organisation et non à une personne identifiée. Une adresse prenom.nom@entreprise.fr, elle, reste une donnée personnelle.

Combien de temps puis-je garder un prospect qui ne répond jamais ?

Trois ans à compter de sa collecte ou de son dernier contact, selon la recommandation de la CNIL. Un clic sur un lien dans ton email compte comme un contact et fait repartir ce délai. Sans aucun signe pendant trois ans, tu dois supprimer ou anonymiser.

Dois-je déclarer mon fichier de prospection à la CNIL ?

Non. La déclaration préalable a disparu avec le RGPD. En revanche, tu dois tenir un registre des traitements en interne et être capable de le présenter en cas de contrôle.

Que dois-je mettre dans chaque email pour être en règle ?

Une identification claire de qui écrit, un objet pertinent pour le métier du destinataire, et un moyen simple de se désinscrire. Si le contact vient d'un tiers, sois prêt à indiquer la provenance des données.

Quelle est la différence entre prospection B2B et B2C ?

En B2C, il faut le consentement préalable de la personne avant tout email commercial. En B2B, l'intérêt légitime suffit, avec un droit d'opposition et un objet en lien avec la profession. La frontière tient à la nature du destinataire, particulier ou professionnel.

Faut-il un DPO pour prospecter ?

Pas forcément. La désignation d'un délégué à la protection des données n'est obligatoire que dans certains cas. Une petite structure qui prospecte de façon classique peut s'en passer, à condition de tenir son registre et de respecter les droits des prospects.

Un fichier propre, une base légale claire, une durée de conservation maîtrisée : c'est la fondation. Le vrai sujet ensuite, c'est de le faire vivre sans y passer tes journées, trouver des clients réguliers sans embaucher un commercial de plus. C'est exactement ce que fait EasySales à ta place, en respectant ce cadre. Regarde la démo pour voir à quoi ressemble une prospection qui tourne toute seule, proprement.