RGPD et prospection B2B :
ce qui est légal en 2026 guide complet

Règlement européen entré en vigueur le 25 mai 2018. Socle principal de la réglementation sur les données personnelles dans toute l'UE. En France, la CNIL est l'autorité de contrôle chargée de son application.

Base légale qui permet de traiter des données personnelles sans consentement préalable, si cela sert un intérêt commercial justifié et ne porte pas atteinte aux droits fondamentaux des personnes. C'est la base légale utilisée pour la prospection B2B en France.

Régime de consentement préalable : la personne doit cocher une case ou effectuer une action explicite pour accepter de recevoir des communications commerciales. Obligatoire en B2C, non requis en B2B pour les emails professionnels.

Régime où la communication est autorisée par défaut : le destinataire peut s'y opposer à tout moment en se désinscrivant. C'est le régime applicable à la prospection B2B en France. Chaque email doit proposer un moyen simple de se désinscrire.

Obligation d'information lorsque vous avez obtenu les données d'un tiers (achat de fichier, base publique). Lors du premier contact, vous devez informer le prospect de l'origine de ses données, de la finalité du traitement, de la base légale utilisée et de ses droits.

Document obligatoire pour toute entreprise traitant des données personnelles. Il recense toutes les activités de traitement de données, leurs finalités, les bases légales utilisées et les durées de conservation. La CNIL peut le demander lors d'un contrôle.

Base de données des contacts qui ont demandé à ne plus être contactés. Ces adresses doivent être exclues de toutes vos futures campagnes même si vous rachetez un nouveau fichier qui les contient. Obligation RGPD permanente.

Liste d'opposition au démarchage téléphonique pour les particuliers. Ne s'applique pas à la prospection téléphonique B2B sur numéro fixe professionnel. Obligatoire uniquement pour le démarchage téléphonique B2C et les numéros mobiles personnels.

Une adresse email professionnelle générique (contact@entreprise.fr) n'est pas une donnée personnelle au sens du RGPD. Une adresse nominative (prenom.nom@entreprise.fr) est une donnée personnelle mais sa prospection reste autorisée en B2B sur la base de l'intérêt légitime.

Directive européenne qui encadre spécifiquement les communications électroniques commerciales, en complément du RGPD. La transposition française (article L.34-5 du Code des Postes et des Communications Électroniques) précise les règles applicables aux emails de prospection en France.

Le socle principal. En vigueur depuis le 25 mai 2018 dans toute l'UE. Définit les bases légales de traitement des données personnelles, dont l'intérêt légitime (art. 6.1.f) utilisé pour la prospection B2B.

Encadre spécifiquement les communications électroniques commerciales. Complète le RGPD sur les règles d'envoi d'emails et SMS à des fins de prospection.

Disposition spécifiquement française qui transpose la directive ePrivacy. Précise les règles de prospection par email en France, c'est le texte que cite la CNIL dans ses recommandations opérationnelles.

Doctrine française de référence opérationnelle. Les lignes directrices de la CNIL sont le texte que consultent les entreprises françaises et les avocats spécialisés pour guider leurs pratiques quotidiennes de prospection.

Vous ne pouvez prospecter que des personnes dont la fonction est en rapport direct avec votre offre. Si vous vendez des logiciels RH, ciblez des DRH ou DAF pas n'importe quel contact de l'annuaire. Si vous vendez du matériel de cuisine, ciblez les restaurants (NAF 56.10A) pas les pharmaciens. Un mauvais ciblage est la première cause de plainte CNIL en prospection B2B.

Dans votre premier email, mentionnez en bas de message :

Chaque email doit contenir un lien de désinscription fonctionnel et visible. La CNIL recommande le "un clic" pour se désinscrire. Une fois qu'un prospect se désinscrit, vous devez cesser tout contact immédiatement et l'ajouter à votre liste de suppression permanente même si vous rachetez un nouveau fichier qui le contient.

Les données d'un prospect inactif doivent être supprimées ou anonymisées au bout de 3 ans selon les recommandations CNIL. Pour un client actif : durée de la relation commerciale plus 3 ans. Programmez une purge automatique dans votre CRM pour rester conforme sans y penser.

Légal en B2B sans consentement préalable sur la base de l'intérêt légitime, sous réserve des 4 obligations. C'est le canal le plus utilisé et le mieux encadré. Données personnelles au sens du RGPD : obligation d'information article 14 impérative.

Techniquement hors données personnelles au sens du RGPD (pas d'identification d'une personne physique). La prospection reste encadrée par l'article L.34-5 du CPCE mais est autorisée en B2B sans restriction particulière.

Légal en B2B sur la base de l'intérêt légitime. Aucune vérification Bloctel requise pour un numéro fixe d'entreprise, Bloctel ne concerne que les particuliers. Vérifiez que le numéro est bien un fixe d'entreprise et non un numéro mobile personnel.

Légal en B2B sur la base de l'intérêt légitime. Peu utilisé mais toujours efficace pour les démarches premium. Adresse postale des entreprises disponible dans les bases officielles (INSEE SIRENE) sans restriction.

Interdit sans consentement préalable explicite, même en B2B. Une adresse personnelle n'est pas une donnée professionnelle, elle bascule dans le cadre B2C (opt-in obligatoire). Ce cas concerne souvent les auto-entrepreneurs qui utilisent une adresse personnelle comme email professionnel.

C'est l'infraction la plus fréquente et la plus facile à éviter. Chaque email de prospection doit contenir un lien fonctionnel permettant au destinataire de se désinscrire en un clic. Un simple "Pour ne plus recevoir mes emails, répondez à ce message" ne suffit pas — il faut un lien cliquable. La CNIL peut infliger une mise en demeure dès le premier signalement.

Une fois qu'un contact s'est désinscrit, le recontacter par quelque canal que ce soit est une infraction grave au RGPD. L'erreur fréquente : racheter un nouveau fichier qui contient l'adresse d'un contact précédemment désinscrit et l'inclure dans la nouvelle campagne. La liste de suppression doit être appliquée en déduplication systématique à chaque nouveau fichier importé.

Ne pas mentionner l'origine des données, la finalité du traitement et la base légale dans le premier email viole l'article 14 du RGPD. La solution pratique : un court paragraphe en bas de votre template d'email de prospection "Vos coordonnées proviennent d'une base de données professionnelle. Traitement sur la base de l'intérêt légitime (art. 6.1.f RGPD). Droit d'accès et d'opposition : [email]."

Conserver les données d'un prospect inactif au-delà de 3 ans sans purge ni anonymisation est une infraction RGPD. Les entreprises qui n'ont jamais purgé leur CRM depuis 5 ou 10 ans conservent des données illégalement. La CNIL peut enjoindre à la suppression et sanctionner financièrement. Solution : une purge automatique programmée dans le CRM dès l'import des données.

Acheter un fichier à un fournisseur qui ne peut pas justifier l'origine de ses données vous expose personnellement en cas de contrôle CNIL, vous êtes responsable de traitement et de la licéité des données que vous utilisez. Exigez toujours que votre fournisseur cite ses sources (INSEE, Infogreffe) et sa politique RGPD avant achat.