RGPD et prospection B2B
ce qui est légal en 2026

RGPD (Règlement général sur la protection des données)
Règlement européen applicable depuis le 25 mai 2018, socle de la réglementation sur les données personnelles dans l'Union. En France, la CNIL est l'autorité de contrôle.

Intérêt légitime (article 6.1.f du RGPD)
Base légale qui permet de traiter des données personnelles sans consentement préalable, si l'intérêt poursuivi est légitime et ne porte pas atteinte aux droits et libertés des personnes. La CNIL l'admet pour la prospection B2B.

Opt-in
Consentement préalable : la personne accepte par une action explicite de recevoir des communications commerciales. Régime de principe en B2C.

Opt-out
Communication autorisée sans accord préalable, le destinataire pouvant s'y opposer à tout moment. Régime applicable à la prospection B2B par email, avec un moyen simple de se désinscrire dans chaque message.

Article 14 du RGPD : collecte indirecte
Obligation d'informer les personnes lorsque les données n'ont pas été collectées auprès d'elles (fichier acheté, base publique) : origine, finalité, base légale, durée de conservation et droits.

Registre des traitements
Document qui recense les traitements, leurs finalités, leurs bases légales et leurs durées de conservation. La CNIL peut le demander lors d'un contrôle.

Liste de suppression
Liste des contacts qui se sont opposés à la prospection. Elle doit être appliquée à chaque nouveau fichier importé, pour ne pas recontacter ces personnes.

Bloctel
Liste d'opposition au démarchage téléphonique des consommateurs. Elle ne concerne pas la prospection d'un numéro professionnel d'entreprise.

Donnée professionnelle ou personnelle
Une adresse générique (contact@entreprise.fr) n'identifie pas une personne : ce n'est pas une donnée personnelle. Une adresse nominative (prenom.nom@entreprise.fr) en est une, mais sa prospection reste possible en B2B sur la base de l'intérêt légitime.

Article L. 34-5 du CPCE
Texte français, transposition de la directive ePrivacy, qui encadre la prospection directe par courrier électronique et fixe le principe du consentement, avec une exception pour la prospection entre professionnels.

RGPD : règlement (UE) 2016/679
Le socle. Il définit les bases légales du traitement des données personnelles, dont l'intérêt légitime (art. 6.1.f) utilisé pour la prospection B2B.

Directive ePrivacy 2002/58/CE
Elle encadre les communications électroniques commerciales et complète le RGPD sur l'envoi d'emails et de SMS de prospection.

Article L. 34-5 du CPCE
Transposition française de la directive ePrivacy. C'est le texte que cite la CNIL dans ses recommandations sur la prospection par email.

Recommandations de la CNIL
Doctrine de référence en France : les entreprises et leurs conseils s'y reportent pour fixer leurs pratiques, par exemple la durée de conservation de 3 ans.

Cibler des professionnels en lien direct avec votre offre
Ne prospectez que des personnes dont la fonction est en rapport avec ce que vous vendez : des DRH ou DAF pour un logiciel RH, des restaurants (NAF 56.10A) pour du matériel de cuisine. Un mauvais ciblage est une cause fréquente de réclamation.

Informer dès le premier contact (article 14 du RGPD)
Mentionnez l'origine des données, la finalité (prospection commerciale), la base légale (intérêt légitime, art. 6.1.f), la durée de conservation et les droits d'accès, de rectification et d'opposition. L'information doit intervenir au plus tard au premier contact, et dans un délai d'un mois maximum après la collecte.

Proposer une désinscription simple et gratuite dans chaque email
Chaque message contient un lien de désinscription visible et fonctionnel, idéalement en un clic. Après une opposition, cessez tout contact et ajoutez la personne à votre liste de suppression permanente, y compris si un nouveau fichier la contient.

Limiter la durée de conservation
La CNIL recommande de supprimer ou d'anonymiser les données d'un prospect inactif au bout de 3 ans après le dernier contact. Pour un client, la durée de la relation commerciale s'y ajoute. Programmez une purge dans votre CRM.

Absence de lien de désinscription

L'infraction la plus fréquente et la plus simple à éviter. Chaque email contient un lien cliquable ; « répondez à ce message pour vous désinscrire » ne suffit pas. La CNIL peut adresser une mise en demeure dès un signalement.

Recontacter un prospect après son opposition

Contacter à nouveau une personne qui s'est opposée est un manquement grave. Cas typique : racheter un fichier qui contient l'adresse d'un désinscrit. Appliquez la liste de suppression à chaque nouveau fichier.

Défaut d'information au premier contact

Ne pas indiquer l'origine des données, la finalité et la base légale méconnaît l'article 14 du RGPD. Un court paragraphe en bas du modèle d'email suffit.

Conservation excessive des données

Garder des prospects inactifs bien au-delà de 3 ans, sans purge ni anonymisation, expose à une injonction de suppression et à une sanction financière. Programmez la purge dans le CRM dès l'import.

Utiliser un fichier d'origine inconnue

Vous êtes responsable de traitement et de la licéité des données que vous utilisez. Exigez de votre fournisseur qu'il cite ses sources (INSEE, Infogreffe) et sa politique RGPD avant l'achat.

1. Source des données vérifiée
Fournisseur qui cite ses sources officielles (INSEE, Infogreffe).

2. Ciblage pertinent
Contacts dont la fonction est en lien avec votre offre (code NAF, secteur).

3. Premier email conforme à l'article 14
Origine, finalité, base légale, durée et droits en bas du message.

4. Lien de désinscription visible
Dans chaque email de la séquence, en un clic.

5. Identité de l'expéditeur claire
Dénomination sociale et coordonnées en signature.

6. Registre des traitements à jour
Avec cette nouvelle campagne et l'analyse d'intérêt légitime.

7. Liste de suppression appliquée
Les désinscrits précédents sont exclus par déduplication.

8. Purge des inactifs programmée
À 3 ans dans le CRM, dès l'import.

9. Taux de NPAI contrôlé
Fichier vérifié et nettoyé, objectif inférieur à 1 %.

Oui en principe : elle est possible en France sans consentement préalable (opt-out), sur la base de l'intérêt légitime (article 6.1.f du RGPD), pour des adresses professionnelles et une offre en rapport avec l'activité du destinataire, selon la CNIL. Quatre obligations s'appliquent : ciblage pertinent, information dès le premier contact (article 14), désinscription simple dans chaque email et conservation limitée à 3 ans pour un prospect inactif. Les adresses personnelles relèvent en principe du consentement.

L'opt-in suppose un consentement préalable explicite ; c'est le régime de principe en B2C. L'opt-out autorise l'envoi sans accord préalable, le destinataire pouvant s'y opposer à tout moment : c'est le régime de la prospection B2B par email. En pratique, proposez un moyen simple de se désinscrire dans chaque email et respectez immédiatement toute opposition.

Il s'applique lorsque vous collectez des données auprès d'un tiers : fichier acheté ou base publique comme Sirene. Vous devez informer les personnes de l'origine des données, de la finalité (prospection commerciale), de la base légale (intérêt légitime), de la durée de conservation et de leurs droits, au plus tard au premier contact et dans un délai d'un mois. Quelques lignes en bas du premier email suffisent.

La CNIL recommande 3 ans maximum pour un prospect inactif, à compter du dernier contact. Pour un client, la durée de la relation commerciale s'y ajoute. Programmez une purge automatique dans le CRM, avec une alerte à 30 mois pour requalifier les inactifs avant la suppression.

Oui, à condition que le fournisseur puisse justifier l'origine de ses données (INSEE Sirene, Infogreffe). Vous restez responsable de traitement : informez les prospects dès le premier contact, proposez la désinscription et respectez les quatre obligations. Les fichiers de FichierEntreprise.fr sont constitués à partir de sources officielles françaises, avec un taux de NPAI inférieur à 1 % contrôlé par Mailnjoy.

Non pour un numéro professionnel fixe d'entreprise : Bloctel protège les consommateurs. Si vous disposez du numéro mobile personnel d'un dirigeant, traitez-le comme celui d'un particulier. Depuis le 11 août 2026, le démarchage téléphonique des consommateurs suppose un consentement préalable ; contrôlez les textes en vigueur avant une campagne.

Elles sont graduées. Pour les manquements courants (absence de désinscription, défaut d'information, contact après opposition), la CNIL procède souvent par mise en demeure, puis sanction en cas de persistance. Les manquements les plus graves peuvent aller jusqu'à 20 M€ ou 4 % du chiffre d'affaires annuel mondial. Cette réponse ne constitue pas un avis juridique.