RGPD et prospection B2B

Le RGPD, règlement général sur la protection des données, s'applique dès que tu traites des données sur des personnes physiques. Une adresse nominative comme prenom.nom@entreprise.fr, un numéro de portable professionnel ou un profil LinkedIn sont des données personnelles, même dans un contexte professionnel.

La prospection B2B n'est pas interdite pour autant. La CNIL distingue les particuliers, qui doivent en principe consentir avant de recevoir de la prospection par email, SMS ou automate d'appel, et les professionnels, qui doivent pouvoir s'y opposer. Pour ces derniers, elle indique que la prospection peut être fondée sur l'intérêt légitime de l'organisme.

Cette page résume les règles publiées par la CNIL sur ses pages consacrées à la prospection commerciale. Elle n'est pas un conseil juridique : pour un cas précis, consulte un avocat ou ton délégué à la protection des données.

La première condition porte sur le sujet. La CNIL précise que l'objet de la sollicitation doit être en rapport avec la profession de la personne démarchée, et donne un exemple : présenter les mérites d'un logiciel au directeur informatique d'une entreprise. Proposer une offre de vacances à ce même directeur, sur son adresse professionnelle, ne remplit pas cette condition.

La deuxième porte sur l'information. La personne doit avoir été informée que ses coordonnées pourraient servir à de la prospection. Quand les données viennent d'un tiers, par exemple un fichier acheté, la CNIL demande de s'assurer qu'elle en a bien été informée et qu'elle est en mesure de s'y opposer : vérifie-le auprès du fournisseur.

La troisième porte sur l'opposition. La personne doit pouvoir refuser, simplement et gratuitement, dès la collecte de ses données et dans chaque message. Chaque sollicitation doit aussi permettre d'identifier l'organisation qui l'envoie.

La CNIL rappelle que le droit d'opposition à la prospection est absolu : la personne n'a pas à se justifier. Un « ne me contactez plus » doit être appliqué tout de suite et durablement, sur tous tes canaux.

Pour ne pas recontacter par erreur quelqu'un qui s'est opposé, la CNIL décrit l'usage d'une liste repoussoir : un fichier des personnes à ne plus solliciter, qui ne doit servir qu'à gérer ces oppositions. Elle recommande de garder ces informations au moins trois ans et, si possible, sous une forme qui limite les données conservées, par exemple une empreinte chiffrée de l'adresse plutôt que l'adresse elle-même.

Pense aussi aux autres outils. Un prospect qui s'est opposé par email ne doit pas recevoir, la semaine suivante, un message LinkedIn envoyé par un autre outil de la même entreprise.

Dans son référentiel sur la gestion des activités commerciales, la CNIL indique que les données d'un prospect peuvent être conservées trois ans à compter de leur collecte ou du dernier contact venant du prospect, par exemple une réponse ou un clic sur un lien.

Au terme de ce délai, l'organisme peut reprendre contact pour savoir si la personne souhaite continuer à recevoir des sollicitations. Sans réponse positive et explicite, les données devraient être supprimées ou archivées selon les règles applicables.

La CNIL précise que ses référentiels ne sont pas contraignants : un organisme peut retenir d'autres durées s'il peut justifier son choix, dont il reste responsable.

Acheter un fichier sans connaître son origine. Si les personnes n'ont jamais été informées que leurs coordonnées pourraient servir à de la prospection, c'est toi qui porteras le problème.

Envoyer des offres sans rapport avec le métier du destinataire. Le lien avec la profession est précisément ce qui permet de se passer de consentement préalable.

Ignorer une demande d'opposition, ou ne la traiter que sur un seul canal. Et garder indéfiniment les données de prospects qui n'ont jamais répondu.

À noter : la CNIL indique que les adresses génériques d'entreprise, comme contact@ ou info@, concernent des personnes morales et ne sont pas soumises à ces principes. Ce n'est pas une porte grande ouverte : un message à une adresse générique reste une communication de ton entreprise, jugée comme telle.

Les pages de la CNIL consacrées à la prospection ne prévoient pas de règle propre aux messages LinkedIn, mais les principes restent les mêmes : écrire à un professionnel, sur un sujet lié à son métier, avec ton identité visible, et respecter son refus. LinkedIn ajoute ses propres conditions d'utilisation, que ta prospection doit aussi respecter.

Dans MimikFlow, un refus clair arrête la séquence pour ce prospect : plus de relance ni de message automatique, sur aucun canal. Les listes « ne jamais contacter » par entreprise, par nom ou par profil bloquent toute prise de contact automatique avec les personnes concernées, y compris en cours de conversation. Les messages s'appuient sur des informations professionnelles vérifiables et n'inventent jamais de coordonnées.