Guide · Conformité
Prospecter en B2B en respectant le RGPD
En France, on peut écrire à un professionnel sans son consentement préalable, sous conditions. Voici lesquelles, d’après les textes et les recommandations de la CNIL.
Mis à jour le 2026-10-05
En bref
En France, la prospection par email vers des professionnels peut reposer sur l’intérêt légitime, sans consentement préalable, si le message est en rapport avec la fonction de la personne, si elle a été informée de l’utilisation de ses données et si chaque message lui permet de s’opposer simplement et gratuitement. Les données de prospects se conservent en principe trois ans après le dernier contact.
Le principe : B2C et B2B ne suivent pas la même règle
Vers un particulier, la prospection par email exige en principe un consentement préalable. Vers un professionnel, la CNIL indique que la prospection peut reposer sur l’intérêt légitime de l’entreprise qui prospecte, lorsque l’objet de la sollicitation est en rapport avec la profession de la personne contactée. Son exemple : présenter un logiciel au directeur informatique d’une entreprise.
Concrètement, écrire au directeur financier pour lui parler de gestion de trésorerie entre dans ce cadre ; lui écrire pour une offre de voyage personnel n’y entre pas, même à son adresse professionnelle.
La CNIL précise aussi que les adresses génériques d’une personne morale (du type contact@ ou info@) ne relèvent pas de ces règles, car elles ne désignent pas une personne.
Les trois conditions à remplir à chaque message
- Le lien avec la fonction : le sujet du message concerne le métier ou les responsabilités de la personne.
- L’information : la personne doit savoir que ses données sont utilisées pour la prospection et d’où elles viennent. Quand les données n’ont pas été collectées auprès d’elle, l’article 14 du RGPD prévoit que l’information est donnée au plus tard lors de la première communication. En pratique : une mention courte dans le premier email (qui vous êtes, pourquoi vous écrivez, d’où vient l’adresse, comment exercer ses droits) et un lien vers votre politique de confidentialité.
- L’opposition simple et gratuite : selon la CNIL, chaque sollicitation doit indiquer l’identité de l’expéditeur et permettre de refuser les prochaines par un moyen simple. Un lien de désinscription, ou la possibilité de répondre « stop », traité sans délai.
Ce qu’il faut faire, ce qu’il faut éviter
| À faire | À éviter |
|---|---|
| Cibler des fonctions en rapport avec votre offre | Écrire à toute l’entreprise « au cas où » |
| Indiquer qui vous êtes et d’où vient l’adresse | Masquer l’expéditeur ou l’origine des données |
| Un lien ou une réponse pour s’opposer, dans chaque email | Un lien de désinscription qui exige un compte ou un mot de passe |
| Tenir une liste d’opposition et la consulter avant chaque campagne | Réimporter un contact qui s’est opposé |
| Ne collecter que les données utiles au message | Stocker des informations personnelles sans rapport (vie privée, opinions) |
| Supprimer ou archiver après la durée de conservation | Garder indéfiniment des prospects qui n’ont jamais répondu |
Minimisation et durée de conservation
Le RGPD impose de ne traiter que les données nécessaires. Pour prospecter, cela tient en peu de choses : nom, fonction, entreprise, adresse professionnelle, profil LinkedIn, et le contexte qui justifie le message (le signal). Le reste n’a rien à faire dans votre fichier.
Pour la durée, le référentiel de la CNIL sur la gestion des activités commerciales retient que les données d’un prospect non client peuvent être conservées trois ans à compter de leur collecte ou du dernier contact émanant du prospect. Au terme de ce délai, on peut lui demander s’il souhaite continuer à recevoir des sollicitations ; sans réponse positive, on supprime ou on archive.
La liste d’opposition
Une opposition doit être durable. La CNIL recommande une liste d’opposition, dite « liste repoussoir » : on y conserve le minimum (l’adresse email, éventuellement sous forme hachée) pour s’assurer qu’une personne qui a refusé ne sera pas recontactée, même si elle réapparaît dans un nouveau fichier. Consultez-la avant chaque import et chaque lancement.
Et LinkedIn ?
Une information visible sur un profil public reste une donnée personnelle : le RGPD s’applique à la façon dont vous la collectez, la stockez et l’utilisez. Les mêmes principes valent donc : rapport avec la fonction, information, minimisation, opposition respectée.
LinkedIn a par ailleurs ses propres règles : ses conditions d’utilisation encadrent l’extraction de données et l’usage d’outils automatisés. Respecter le RGPD ne dispense pas de les respecter, et inversement.
Checklist de conformité
- Registre des traitements à jour, avec une ligne « prospection commerciale » et sa base légale.
- Analyse d’intérêt légitime écrite : pourquoi la prospection est nécessaire, et pourquoi elle ne porte pas une atteinte excessive aux personnes.
- Mention d’information dans le premier message et politique de confidentialité accessible.
- Désinscription dans chaque email, traitée sans délai, et liste d’opposition consultée.
- Durée de conservation paramétrée et purge effective.
- Contrat avec chaque sous-traitant (outil d’envoi, d’enrichissement, CRM) conforme à l’article 28 du RGPD.
- Procédure pour répondre aux demandes d’accès et d’effacement dans le délai d’un mois.
Exemple de mention d’information
Placée en bas du premier email, une mention de deux ou trois lignes suffit en général, avec un lien vers la politique de confidentialité qui détaille le reste. Exemple à adapter : « Je vous écris car [votre fonction] est directement concernée par [sujet]. Vos coordonnées professionnelles proviennent de [source : site de l’entreprise, profil professionnel public, base de données B2B]. [Votre entreprise] les utilise pour vous présenter ses services, sur la base de son intérêt légitime. Pour ne plus recevoir de messages, répondez « stop » ou [lien de désinscription]. En savoir plus : [lien vers la politique de confidentialité]. »
Les relances suivantes doivent toujours permettre de s’opposer, mais n’ont pas besoin de répéter toute la mention : une ligne avec le lien de désinscription suffit.
Prospecter hors de France
Le RGPD est commun à l’Union européenne, mais les règles sur la prospection électronique viennent de la directive « vie privée et communications électroniques », transposée différemment dans chaque pays. Certains États exigent un consentement même vers des professionnels, ou distinguent les adresses nominatives des adresses génériques autrement que la France. Avant une campagne dans un autre pays, vérifiez les recommandations de l’autorité de protection des données locale, et faites-vous conseiller si le volume ou le secteur le justifie.
Hors de l’Union, d’autres textes s’appliquent : au Royaume-Uni, des règles proches mais distinctes ; aux États-Unis, la loi CAN-SPAM, qui impose notamment une adresse postale et un mécanisme de désinscription.
Ce que fait The Sales Engine
Sur la plateforme, chaque prospect est validé par vous avant le premier message, ce qui permet de vérifier le rapport entre l’offre et la fonction. Les emails partent avec un lien de désinscription, les adresses désinscrites sont bloquées pour les campagnes suivantes, et une réponse arrête la séquence. Vous restez responsable de traitement de votre prospection ; nous agissons comme sous-traitant, dans le cadre décrit dans notre politique de confidentialité.
Questions fréquentes
Faut-il le consentement d’un professionnel pour lui écrire ?
Pas nécessairement en France : la CNIL admet l’intérêt légitime si le message est en rapport avec sa fonction, s’il a été informé et s’il peut s’opposer à chaque message. Les règles diffèrent dans d’autres pays européens, à vérifier avant de prospecter hors de France.
Combien de temps garder un prospect qui ne répond pas ?
Selon le référentiel de la CNIL, trois ans à compter de la collecte ou du dernier contact émanant du prospect. Au-delà, demandez-lui s’il souhaite rester en contact ; sans réponse positive, supprimez ou archivez.
Un auto-entrepreneur est-il un professionnel ?
Son adresse est souvent aussi son adresse personnelle, ce qui rend la frontière floue. Par prudence, limitez-vous à des messages strictement liés à son activité et soignez particulièrement l’information et l’opposition.
À lire aussi
Prospecter proprement
Nous vous montrons comment la validation des prospects, la désinscription et la liste d’opposition fonctionnent sur la plateforme.