RGPD et prospection B2B : ce que dit vraiment la CNIL

1 Le grand malentendu : deux erreurs symétriques

Dans les équipes commerciales, le RGPD provoque deux réactions opposées et également coûteuses. La première : la paralysie. Des directions commerciales qui n'osent plus constituer un fichier, qui croient qu'un email de prospection à un professionnel exige son accord écrit, et qui regardent leurs concurrents prospecter en se demandant comment ils font. La seconde : le déni. On achète des fichiers sans poser de questions, on aspire des profils LinkedIn par milliers, on ignore les demandes de désinscription, et on se rassure en se disant que la CNIL a d'autres chats à fouetter.

Les deux positions reposent sur la même erreur de lecture : croire que le RGPD est une loi anti-prospection. Or le texte lui-même dit le contraire. Le considérant 47 du règlement (UE) 2016/679 pose que le traitement de données à caractère personnel à des fins de prospection peut être considéré comme étant réalisé pour répondre à un intérêt légitime. Ce n'est pas une tolérance arrachée à l'autorité : c'est écrit dans le règlement. Et la CNIL a publié des pages entières pour expliquer comment prospecter en règle, pas pour l'interdire.

C'est exactement l'histoire du code de la route. Quand il a été instauré, personne n'a interdit de rouler : on a défini un permis, des priorités, des limitations, pour que tout le monde puisse continuer à circuler sans que la route devienne invivable. Ce que le code sanctionne, ce n'est pas la conduite, c'est la conduite dangereuse. Ce que le RGPD sanctionne, ce n'est pas la prospection, c'est la prospection paresseuse : le fichier acheté à l'aveugle, le message envoyé à quelqu'un que votre offre ne concerne en rien, la désinscription ignorée. D'où notre maxime : le RGPD n'interdit pas de prospecter, il interdit de prospecter n'importe comment.

Ce cadre ne remplace évidemment pas la méthode : un message conforme mais creux reste un mauvais message. Le fond du métier, ciblage, préparation, relance, est traité dans notre guide complet de la prospection commerciale. Ici, on s'occupe de la route.

2 La règle CNIL en B2B : un intérêt légitime qui se mérite

Sur la route, avant de discuter vitesse ou priorité, il faut un permis. En matière de données, ce permis s'appelle la base légale : la justification juridique qui vous autorise à traiter les données de quelqu'un. Le RGPD en prévoit six (article 6), et pour la prospection B2B, celle qui s'applique presque toujours est l'intérêt légitime : votre intérêt d'entreprise à développer votre activité commerciale, reconnu comme légitime tant qu'il ne piétine pas les droits des personnes.

La CNIL est explicite sur ce point : la prospection à l'égard de professionnels peut être fondée sur l'intérêt légitime de l'organisme lorsque l'objet de la sollicitation est « en rapport avec la profession de la personne démarchée ». L'exemple qu'elle donne elle-même : un message présentant les mérites d'un logiciel adressé au directeur informatique d'une entreprise. Le directeur informatique reçoit un message qui concerne son métier : la sollicitation est proportionnée. Le même message envoyé au directeur des ressources humaines ne l'est plus.

Mais ce permis n'est pas un blanc-seing : il se mérite par trois conditions concrètes, cumulatives, que la CNIL détaille sur sa page consacrée à la prospection par courrier électronique.

• 1. Un message en rapport avec la profession. Vous ne contactez pas une personne : vous contactez une fonction. L'objet de votre sollicitation doit concerner le poste que la personne occupe, pas sa vie privée ni un sujet sans lien avec son métier. C'est la condition qui transforme le ciblage en obligation légale : mal cibler n'est plus seulement inefficace, c'est non conforme.
• 2. L'information de la personne. Au moment où vous collectez son adresse (formulaire, salon, carte de visite, fichier tiers), la personne doit savoir que cette adresse servira à de la prospection. Si les données viennent d'un tiers, c'est à vous de vérifier que cette information a bien été donnée à la source.
• 3. Une opposition simple et gratuite. La personne doit pouvoir refuser au moment de la collecte, puis à chaque message : chaque email de prospection doit obligatoirement proposer un moyen simple de s'opposer aux sollicitations suivantes, typiquement un lien de désinscription en pied de message, qui fonctionne, et qui est honoré.

Un dernier devoir accompagne le permis : la pondération. L'intérêt légitime suppose une mise en balance entre votre intérêt commercial et les droits des personnes, en intégrant leurs « attentes raisonnables » : un directeur commercial s'attend raisonnablement à être sollicité sur des outils de vente, pas à ce qu'on reconstitue son parcours personnel. La CNIL ajoute une exigence de transparence renforcée : l'intérêt légitime que vous poursuivez doit figurer dans l'information donnée aux personnes (votre politique de confidentialité, concrètement). Nous verrons plus bas que ce travail tient sur une page.

3 B2B ou B2C : la ligne blanche à ne pas franchir

Le régime décrit ci-dessus vaut pour les professionnels. Dès que votre destinataire est un particulier, la règle s'inverse complètement : c'est la ligne blanche du métier, celle qu'on ne franchit jamais, même pour doubler plus vite.

Deux subtilités méritent l'attention. D'abord, l'exception client en B2C est étroite : elle ne vaut que pour des produits ou services analogues à ceux déjà achetés, et proposés par votre entreprise elle-même, pas par des partenaires. Ensuite, et c'est le point que beaucoup d'équipes découvrent trop tard : un professionnel reste une personne. Son adresse email nominative, son numéro de mobile, son profil LinkedIn sont des données personnelles protégées par le RGPD. Le B2B n'est pas une zone de non-droit, c'est un régime différent : plus permissif sur le consentement, tout aussi exigeant sur l'information, l'opposition et la pertinence.

4 Fichiers achetés, scraping, enrichissement : les pièges du quotidien

La théorie est simple ; les ennuis commencent avec les pratiques courantes du métier. Trois d'entre elles concentrent l'essentiel du risque.

L'achat de fichiers : la voiture d'occasion sans contrôle technique

Acheter ou louer un fichier de prospects n'est pas interdit. Mais acheter un fichier sans vérifier sa provenance, c'est acheter une voiture d'occasion sans contrôle technique : le problème n'apparaît qu'une fois sur la route, et c'est vous qui conduisez. La CNIL est claire : lorsque les données sont acquises auprès d'un tiers, vous devez vous assurer que les personnes concernées ont été informées de l'utilisation possible de leur adresse à des fins de prospection et mises en mesure de s'y opposer. Le vendeur du fichier ne porte pas ce risque à votre place : une fois le fichier dans votre CRM, vous devenez responsable du traitement.

Le réflexe : avant tout achat, exiger par écrit du fournisseur la provenance des données, leur date de collecte, l'information donnée aux personnes et la manière dont les oppositions sont gérées. Pas de réponse écrite, pas d'achat. Cette trace vous servira de preuve de diligence.

Le scraping : l'affaire Kaspr, la sanction qui fait jurisprudence de terrain

Le moissonnage de profils LinkedIn (le scraping) est le sujet où le fantasme et la réalité sont les plus éloignés. La réalité, c'est une décision datée : le 5 décembre 2024, la CNIL a sanctionné la société Kaspr, éditrice d'une extension Chrome qui révèle les coordonnées professionnelles des profils LinkedIn visités, d'une amende de 240 000 euros. Parmi les griefs : la collecte des coordonnées d'utilisateurs qui avaient expressément restreint leur visibilité sur le réseau, une conservation de cinq ans à compter de chaque mise à jour, et une information des personnes défaillante. La base concernée : environ 160 millions de contacts. La CNIL a ensuite clos son injonction le 4 mars 2026, la société s'étant mise en conformité : preuve, au passage, que l'objectif de l'autorité est la mise en règle, pas la mise à mort.

Faut-il en conclure que toute donnée trouvée en ligne est intouchable ? Non plus. La CNIL a publié une fiche focus sur la collecte par moissonnage : l'intérêt légitime peut fonder ce type de collecte, à condition de prendre des garde-fous sérieux, comme exclure les sites qui s'opposent clairement à la réutilisation de leurs contenus et faciliter l'exercice des droits des personnes.

L'enrichissement : savoir où vivent les données

Enrichir un contact (retrouver son email vérifié, son poste, son entreprise) est devenu un geste standard de la prospection outillée. La question de conformité à poser à chaque outil est simple : où vivent les données, et qui en répond ? Voici ce que déclarent les éditeurs des quatre outils les plus fréquents dans les équipes que nous rencontrons. Précision de méthode : ces éléments sont des déclarations d'éditeurs, relevées sur leurs pages officielles (vérification du 9 juillet 2026), pas des audits indépendants ; le document qui fait foi est le DPA, l'accord de traitement des données, à faire signer avant tout usage sérieux.

Outil	Éditeur	Où vivent les données (déclaration éditeur)	Le réflexe avant usage
Dropcontact	Français	Serveurs annoncés dans l'Union européenne ; l'éditeur revendique de calculer et vérifier les emails à la volée plutôt que de puiser dans une base revendue	Vérifier ces revendications dans la charte des données personnelles ; s'en tenir aux données professionnelles strictes
Apollo	Américain	Données hébergées aux États-Unis ; transferts depuis l'UE encadrés par les clauses contractuelles types et la certification Data Privacy Framework	Faire signer le DPA (disponible sur le site de l'éditeur) ; ne jamais y verser un fichier client entier sans base légale claire
La Growth Machine	Français	Localisation exacte des données (UE ou sous-traitants hors UE) à vérifier dans la politique de confidentialité et le DPA	Lire le DPA avant d'importer un fichier ; ne pas présumer d'un hébergement européen sans preuve écrite
lemlist	Français (Lempire)	Données annoncées comme hébergées dans l'Espace économique européen, en France chez OVH d'après les pages de l'éditeur ; DPA disponible	Vérifier et signer le DPA ; documenter la base légale de chaque campagne : l'expéditeur reste responsable

Le point commun de ces quatre lignes : aucun outil ne vous rend conforme ou non conforme à lui seul. La conformité est dans l'usage : ce que vous y versez (jamais de donnée sensible, jamais de note personnelle sur un prospect), la base légale que vous documentez, et le respect des oppositions dans vos séquences.

5 Les durées de conservation : un stationnement à durée limitée

Un fichier de prospection n'est pas un parking gratuit et illimité : c'est une zone bleue. On peut s'y garer, mais pas éternellement, et il faut afficher son disque. Le référentiel de la CNIL relatif à la gestion des activités commerciales fixe le repère : les données d'un prospect se conservent 3 ans à compter du dernier contact émanant du prospect. Pour un client, les données utilisées à des fins de prospection se conservent pendant la relation commerciale puis 3 ans après sa fin.

La subtilité qui change tout : le contact qui remet le compteur à zéro est celui qui vient du prospect (une demande de documentation, une réponse, un appel entrant), pas vos propres relances. Envoyer un email par trimestre à un contact muet depuis quatre ans ne rafraîchit pas votre droit à le conserver : cela documente surtout que vous sollicitez quelqu'un qui ne vous a jamais rien demandé. Au terme des 3 ans, la CNIL prévoit une sortie élégante : reprendre contact une fois pour demander si la personne souhaite continuer à recevoir vos sollicitations. Réponse positive : le compteur repart. Silence : suppression.

6 Prompt, assistant, agent : l'IA au service de la conformité

On présente souvent l'IA comme un risque RGPD de plus. C'est vrai quand on l'utilise n'importe comment, et faux quand on la met au service des règles. Comme toujours chez Oversales, la montée se fait en trois paliers : le prompt, l'assistant, l'agent. Appliquée à la conformité, cette pyramide a une particularité rare : plus on monte, plus elle protège.

Palier 1 : le prompt, votre contrôleur avant de prendre la route

Lundi matin, votre séquence de prospection est prête à partir vers 80 directeurs des achats. Avant de cliquer, vous ouvrez votre IA générative, vous collez votre brouillon d'email et trois lignes décrivant la cible, et vous lui demandez de jouer l'examinateur : le message est-il en rapport avec la fonction visée ? Le moyen de s'opposer est-il présent et clair ? Le texte mentionne-t-il des informations sur la personne qui dépassent le strict nécessaire professionnel ? Ce que vous obtenez : un avis structuré, point par point, en trente secondes, sur un contrôle que personne ne fait jamais à la main un lundi matin. L'IA ne remplace pas un juriste ; elle attrape les oublis évidents avant l'envoi, ce qui est exactement là où naissent les plaintes.

La méthode pas à pas, avec ses garde-fous et ses questions de relecture, est dans la Check-list de mise en conformité IA (RGPD et AI Act) de l'Espace Agent

Palier 2 : l'assistant, le gabarit conforme figé pour toute l'équipe

Le prompt protège celui qui pense à l'utiliser. L'assistant protège tout le monde : c'est un espace de travail IA configuré une fois, avec les instructions maison gravées dedans. Dans son périmètre : le ton de l'entreprise, la structure d'email validée, et les garde-fous non négociables (le lien de désinscription toujours présent, l'interdiction d'insérer des données sensibles ou des informations privées sur le prospect, l'obligation de relier l'accroche à la fonction de la personne). Chaque commercial rédige ses emails dans cet assistant plutôt que dans une page blanche : la conformité cesse de dépendre de la vigilance individuelle du vendeur pressé. C'est le même principe qu'un véhicule de société bien entretenu : on ne demande pas à chaque conducteur de régler ses freins.

Palier 3 : l'agent, le cas rare où l'automatisation protège

Le palier agent inquiète toujours en matière de RGPD, et souvent à raison : automatiser l'envoi, c'est industrialiser ses erreurs. Mais il existe un cas où l'agent est plus sûr que l'humain : la gestion des oppositions et le nettoyage de base. Concrètement, un agent qui lit les réponses entrantes, détecte les demandes du type « ne me recontactez plus », inscrit immédiatement la personne sur la liste repoussoir (cette liste d'exclusion que la CNIL recommande précisément pour respecter l'opposition sans risquer de réimporter le contact au prochain fichier), et prépare chaque trimestre la liste des contacts sans interaction depuis 3 ans, pour validation avant purge. Une opposition traitée à la main peut dormir trois semaines dans une boîte email surchargée ; l'agent la traite le jour même. La règle Oversales reste entière : l'agent prépare et exécute, un humain valide la purge et garde la main. C'est un régulateur de vitesse, pas un pilote automatique.

Reste à savoir par quel palier commencer selon la maturité de votre équipe : notre diagnostic de maturité IA situe votre équipe en quelques minutes et vous indique le premier geste. Et si vos outils intègrent déjà de l'IA générative, gardez en tête que le RGPD n'est plus seul sur ce terrain : notre comparatif RGPD et AI Act montre comment les deux règlements s'articulent, et notre guide de l'AI Act pour les entreprises françaises détaille les obligations propres aux systèmes d'IA, dont la formation de vos équipes.

7 Administrer : le registre, l'opposition, la trace écrite

La conformité qui tient dans le temps n'est pas un sprint de mise en règle, c'est un entretien courant. Trois pièces d'administration suffisent à une PME, et aucune ne demande un juriste à demeure.

Le registre des traitements, version PME sans jargon

Le registre est la carte grise de vos données : le document qui prouve que vous savez ce que vous conduisez. Débarrassé du jargon, c'est un tableau qui répond à cinq questions pour chaque usage de données : quelles données ? pour quoi faire ? qui y accède ? combien de temps ? comment sont-elles protégées ? La CNIL fournit un modèle de registre simplifié gratuit (un simple tableur), pensé pour les TPE et PME. Une précision qui surprend : la dérogation prévue pour les entreprises de moins de 250 salariés ne couvre que les traitements occasionnels ; un fichier de prospection alimenté chaque semaine n'a rien d'occasionnel, votre registre doit donc le mentionner. Comptez une demi-journée pour la première version : trois lignes suffisent souvent (prospection, gestion clients, recrutement).

L'opposition : qui répond, et en combien de temps

Une demande d'opposition à la prospection n'appelle ni débat ni justification : le droit est absolu, la personne n'a pas à motiver sa demande. Votre organisation doit répondre à trois questions à l'avance : qui reçoit ces demandes (une adresse dédiée ou le commercial en première ligne, mais quelqu'un de nommé) ; que fait-il (inscription en liste repoussoir, jamais une simple suppression) ; en combien de temps (le RGPD impose une réponse au plus tard sous un mois, article 12 ; en pratique, une désinscription email se traite le jour même). Un prospect qui se désinscrit proprement aujourd'hui est un prospect qui pourra revenir en client dans deux ans ; un prospect resollicité après opposition est une plainte CNIL en puissance.

La trace écrite : votre ceinture de sécurité

En cas de contrôle ou de plainte, la question ne sera pas « étiez-vous parfait ? » mais « pouvez-vous montrer ce que vous faites ? ». Trois traces à constituer au fil de l'eau : la provenance datée de chaque source de contacts (formulaire, salon, fournisseur avec sa réponse écrite) ; une page qui documente votre mise en balance de l'intérêt légitime (notre intérêt, les attentes raisonnables des personnes ciblées, les garanties offertes : ciblage par fonction, désinscription immédiate, durées limitées) ; et l'historique de vos purges et des oppositions traitées. Une page par sujet suffit pour commencer : la CNIL sanctionne l'absence de démarche, pas l'imperfection d'une démarche documentée.

8 La conformité, votre prochain argument de vente

Tout ce qui précède coûte quelques heures d'administration. Voici ce que cela rapporte, et c'est le renversement final de cet article : la conformité n'est pas seulement une protection, c'est un signal commercial.

Projetez-vous en soutenance. Face à vous, un DSI ou un DPO, c'est-à-dire les personnes qui, dans les PME et ETI françaises, ont désormais leur mot à dire sur tout achat qui touche aux données. L'une de leurs questions viendra tôt ou tard : « D'où viennent les données que vous utilisez pour nous contacter, et comment gérez-vous les nôtres ? ». Le fournisseur qui bafouille à cette question perd plus qu'un point : il révèle sa façon de travailler. Celui qui répond en deux phrases calmes, parce que son registre existe et que ses sources sont documentées, vient de prouver son sérieux sur un terrain où ses concurrents improvisent. Le conducteur au dossier vierge inspire confiance à ses passagers : vos prospects jugent votre façon de conduire leurs données avant de vous confier les leurs.

Un exemple vécu de ce sérieux au quotidien : un prospect m'a répondu de le retirer de ma liste. Je n'ai pas eu à y penser : l'IA de mon outil de prospection a analysé sa réponse et l'a mis en liste noire automatiquement (le terme officiel de la CNIL est la liste repoussoir, l'idée est la même). Son opposition a été respectée sans dépendre de ma mémoire ni de ma charge de travail. C'est exactement le rôle que je donne à l'automatisation en la matière : elle protège le prospect, et elle me protège.

C'est aussi pour cela que la maxime de cet article n'est pas un slogan de juriste mais un principe de vendeur : le RGPD n'interdit pas de prospecter, il interdit de prospecter n'importe comment. Or prospecter n'importe comment n'a jamais rempli un carnet de commandes. Les trois conditions de la CNIL (la pertinence, l'information, le respect du refus) décrivent exactement ce qu'un bon commercial fait déjà : cibler juste, se présenter honnêtement, ne pas insister quand c'est non. La conformité ne bride pas la bonne prospection : elle disqualifie la mauvaise, et c'est une excellente nouvelle pour ceux qui travaillent bien.

Questions fréquentes sur le RGPD et la prospection B2B

Peut-on prospecter par email en B2B sans le consentement de la personne ?

Oui. La CNIL admet que la prospection par email vers des professionnels repose sur l'intérêt légitime de l'entreprise, sans consentement préalable, à trois conditions : la personne a été informée que son adresse servirait à la prospection au moment de la collecte, elle peut s'y opposer de manière simple et gratuite (au moment de la collecte et dans chaque message), et l'objet de la sollicitation est en rapport avec la profession de la personne démarchée.

Quelle est la différence entre prospection B2B et B2C au regard du RGPD ?

Vers les particuliers (B2C), le consentement préalable est obligatoire (article L. 34-5 du code des postes et des communications électroniques) : la personne doit avoir accepté de recevoir vos messages, par un acte positif comme une case à cocher non précochée. Une exception existe pour vos clients, sur des produits ou services analogues à ceux déjà achetés. Vers les professionnels (B2B), pas de consentement préalable exigé, mais information, droit d'opposition et message en rapport avec la profession. Attention : une adresse professionnelle nominative reste une donnée personnelle.

Le scraping de profils LinkedIn est-il légal pour la prospection ?

C'est une zone très encadrée. Le 5 décembre 2024, la CNIL a sanctionné la société Kaspr de 240 000 euros d'amende, notamment pour avoir collecté les coordonnées d'utilisateurs LinkedIn qui en avaient restreint la visibilité. La CNIL admet que le moissonnage de données publiquement accessibles peut reposer sur l'intérêt légitime, mais avec des garde-fous : exclure les sites qui s'y opposent, informer les personnes et faciliter leurs droits. Publiquement accessible ne signifie pas librement réutilisable.

Combien de temps peut-on conserver les données d'un prospect ?

Le référentiel de la CNIL sur la gestion des activités commerciales recommande de conserver les données d'un prospect pendant 3 ans à compter du dernier contact émanant du prospect lui-même (une demande de documentation, un clic, un appel entrant). Vos propres relances ne remettent pas le compteur à zéro. Au terme des 3 ans, vous pouvez reprendre contact une fois pour demander si la personne souhaite continuer à recevoir vos sollicitations ; sans réponse positive, les données doivent être supprimées.

Que faire quand un prospect demande à ne plus être contacté ?

Le droit d'opposition à la prospection est absolu : la personne n'a aucune justification à fournir. L'organisme doit prendre en compte la demande et répondre au plus tard dans un délai d'un mois (article 12 du RGPD). Concrètement : cesser toute sollicitation, et inscrire la personne sur une liste repoussoir (une liste d'exclusion qui conserve le minimum de données nécessaire pour ne jamais la resolliciter), plutôt que de simplement l'effacer et risquer de la réimporter au prochain fichier.