Prospection B2B européenne automatisée et conforme au RGPD, étape par étape

1. Sourcing : des sources que vous avez le droit d’utiliser

Liste des exposants d’un salon, registre d’entreprises, site de chaque société : les sources de départ sont souvent publiques. Cela ne suffit pas. La CNIL rappelle que des données personnelles publiquement accessibles « ne sont pas librement réutilisables » et ne peuvent être réexploitées à l’insu des personnes. Elle ajoute que certains logiciels d’extraction puisent dans des sites dont les conditions d’utilisation interdisent l’aspiration et la réutilisation commerciale des données : dans ce cas, la pratique n’est pas autorisée.

LinkedIn est dans ce cas. Ses conditions d’utilisation (section 8.2, en vigueur depuis le 3 novembre 2025) interdisent les logiciels, scripts ou robots qui copient les profils et autres données du service, et les méthodes automatisées non autorisées pour y accéder, ajouter des contacts ou envoyer des messages. Son aide précise qu’un compte qui utilise de tels outils peut être restreint ou supprimé. Au cadrage, chaque accès à LinkedIn se décide donc outil par outil, au regard de ces conditions.

2. Qualification : mesurer la cible avant d’écrire

Qualifier, c’est vérifier qu’une société correspond à votre cible et qu’un décideur pertinent y travaille. Des règles suffisent souvent : activité réelle lue sur le site, effectif, code d’activité. C’est aussi le moment de réduire : un décideur par société, et rien qui ne serve pas la prospection. L’article 5 du RGPD le demande : des données « limitées à ce qui est nécessaire ».

En B2B, c’est sur l’intérêt légitime que la CNIL fonde la prospection sans consentement. Le RGPD admet (considérant 47) que la prospection peut en relever, mais l’EDPB précise, dans ses lignes directrices de 2024, que ce n’est pas automatique : trois conditions cumulatives sont à évaluer et à documenter avant tout traitement.

3. Angle d’approche : l’IA écrit, un juge contrôle, un humain relit

C’est l’étape où un modèle d’IA apporte le plus : lire le parcours public d’un décideur et en tirer une phrase d’accroche fondée sur un fait précis. Dans le sourcing livré en septembre 2026, un premier modèle rédige l’angle ; un second, le juge, vérifie que le fait existe et que la phrase n’est pas générique. Sinon, l’angle est réécrit, ou le prospect est marqué « à qualifier par appel ». Les angles des prospects les mieux notés sont relus avant tout envoi.

Deux règles encadrent cette étape. Le droit d’opposition à la prospection couvre aussi « le profilage dans la mesure où il est lié à une telle prospection » (article 21 du RGPD), et l’EDPB note qu’un profilage intrusif passe difficilement la mise en balance de l’intérêt légitime. Le modèle ne reçoit donc que les faits professionnels utiles à l’angle. Son hébergeur traite ces données pour votre compte : il doit être lié à vous par un contrat (article 28).

4. Enrichissement : seulement les prospects retenus

Retrouver l’e-mail et la ligne directe d’un décideur passe par un service d’enrichissement. Deux choix limitent le risque et le coût : n’enrichir que les prospects les mieux notés, et ne payer qu’au résultat.

Quand les coordonnées viennent d’un tiers, la CNIL demande de s’assurer que la personne a été informée de leur possible utilisation pour de la prospection, et qu’elle peut s’y opposer. Vérifiez donc, avant de signer, comment le service collecte ses données et ce qu’il en dit aux personnes. Pour la conservation, le référentiel de gestion commerciale de la CNIL retient trois ans à compter de la collecte ou du dernier contact venu du prospect ; la simple ouverture d’un e-mail ne devrait pas compter comme un contact, précise-t-elle.

5. Premier contact : ce que chaque message doit porter

En France, la CNIL admet la prospection d’un professionnel par e-mail sans consentement préalable, sur le fondement de l’intérêt légitime, quand l’objet du message est en rapport avec sa profession ; son exemple est un logiciel présenté au directeur informatique d’une entreprise. La personne doit en avoir été informée et pouvoir s’y opposer. Les adresses génériques d’une personne morale (contact@, info@) ne sont pas soumises à ces principes.

Le message lui-même porte trois obligations. Il fait connaître l’organisation qui l’émet et offre un moyen simple de refuser les sollicitations suivantes ; l’article L34-5 du code des postes et des communications électroniques interdit de dissimuler l’identité de l’émetteur et impose des coordonnées valables pour demander l’arrêt des envois. Il donne, au plus tard à ce premier contact, les informations prévues par l’article 14 du RGPD, dont la source des données ; le même article fixe aussi un délai d’un mois après l’obtention des données, à rapprocher de la date du premier envoi. Et il présente le droit de s’opposer à la prospection « clairement et séparément de toute autre information » (article 21).

Au téléphone, la règle B2B est la même en France : information, et opposition simple et gratuite. Depuis le 11 août 2026, appeler un consommateur demande en revanche son consentement préalable, hors contrat en cours (article L. 223-1 du code de la consommation). Ne gardez dans la chaîne que des lignes professionnelles.

France, Belgique, Luxembourg : ce qui change

En Belgique, toute publicité par e-mail doit aussi informer du droit de s’opposer à en recevoir et offrir un moyen électronique de l’exercer (article XII.13 du Code de droit économique) ; l’Autorité de protection des données rappelle que ce droit s’ajoute à celui de l’article 21 du RGPD. Au Luxembourg, la CNPD résumait en 2018 : sans lien préalable entre l’entreprise et la personne, le consentement doit être demandé avant l’envoi de courriers électroniques. Le même article 11 soumet aussi au consentement préalable, dans les mêmes limites, les communications non sollicitées envoyées par d’autres moyens (paragraphe 3).

Pour une campagne qui vise plusieurs pays, la chaîne porte une règle par pays : la colonne « pays » de chaque prospect décide du canal autorisé. La loi applicable à une campagne envoyée depuis la France vers ces pays, et les cas limites, se font confirmer par un conseil du pays concerné.

6. Opposition : un refus qui tient dans la durée

Le droit de s’opposer à la prospection est absolu : la personne n’a pas à se justifier, et l’EDPB précise qu’aucune mise en balance n’est possible. La CNIL en donne un exemple, un lien de désabonnement au bas de chaque e-mail, et recommande une liste repoussoir pour que le refus tienne dans le temps, quelle que soit la source des listes suivantes. Les demandes d’exercice des droits reçoivent une réponse sous un mois, sauf exceptions.

Ce garde-fou a joué dans la campagne vers des bureaux d’études préparée en août 2026 : faute de lien de désinscription conforme, l’envoi a été bloqué avant le lancement.

Vos données, dans une prospection automatisée

Une chaîne de prospection traite des données personnelles de bout en bout : noms, fonctions, coordonnées professionnelles. Avant de la construire, écrivez où passe chacune.

Les prospects notés ont vocation à entrer dans votre CRM : un CRM open source que vous hébergez garde ces fiches hors des serveurs d’un éditeur. Les autres décisions à prendre avant de confier des données personnelles à l’IA sont dans IA et protection des données, et la méthode générale dans automatisation des processus avec l’IA. Pour cadrer votre chaîne, le cadrage de 30 minutes est offert : prenez rendez-vous.

Sources

Questions fréquentes

À lire aussi