« Pas de consentement » ne signifie pas « pas de base légale »
C’est la confusion la plus répandue dans les équipes marketing B2B. On leur a expliqué qu’en B2B l’opt-in n’était pas obligatoire, et beaucoup en ont déduit que la prospection professionnelle se déroulait dans une sorte de zone franche du RGPD. L’erreur est compréhensible. Elle reste coûteuse le jour d’un contrôle.
Le règlement pose une règle sans exception : tout traitement de données personnelles doit reposer sur l’une des six bases légales listées à son article 6. Une adresse professionnelle nominative, du type prenom.nom@entreprise.fr, identifie une personne physique. C’est donc une donnée à caractère personnel, et le RGPD s’applique pleinement.
| Base légale (art. 6.1 RGPD) | Application typique |
|---|---|
| Consentement | Newsletter grand public, prospection B2C par email |
| Exécution d’un contrat | Email transactionnel, confirmation de commande |
| Obligation légale | Conservation de factures, déclarations obligatoires |
| Sauvegarde des intérêts vitaux | Situations d’urgence, très rare en marketing |
| Mission d’intérêt public | Traitements des administrations |
| Intérêt légitime | Prospection commerciale B2B, prévention de la fraude |
Le consentement n’est que la première des six. En prospection B2B, c’est la dernière qui prend le relais. Vous ne vous dispensez donc pas d’une base légale, vous en changez. Et cette bascule s’accompagne d’obligations qui lui sont propres.
Ce que dit vraiment le droit français sur la prospection professionnelle
Une nuance mérite d’être posée d’emblée, parce qu’elle est presque toujours escamotée. L’article L.34-5 du Code des postes et des communications électroniques, celui que tout le monde cite, ne parle pas de B2B. Il interdit « la prospection directe au moyen d’un automate d’appel, d’un télécopieur ou d’un courrier électronique utilisant […] les coordonnées d’une personne physique qui n’a pas exprimé son consentement préalable à recevoir des prospections directes par ce moyen ».
Le texte vise les personnes physiques. La distinction entre prospection professionnelle et prospection de particuliers, elle, vient de la doctrine de la CNIL, qui admet l’intérêt légitime comme base légale dès lors que la sollicitation est en rapport avec la fonction du destinataire.
Deux situations coexistent donc, avec des régimes différents.
Adresse générique ou adresse nominative
Une adresse du type contact@entreprise.fr ou info@entreprise.fr est rattachée à une personne morale. Elle n’identifie personne en particulier. La CNIL considère qu’elle échappe au régime protecteur des personnes physiques.
Une adresse nominative, à l’inverse, identifie un individu. Le RGPD s’applique, avec toutes ses obligations d’information, de documentation et de respect du droit d’opposition. La difficulté pratique est que les bases de prospection B2B mélangent allègrement les deux. Segmenter selon ce critère au moment de l’import évite bien des approximations plus tard, et cela change concrètement la façon dont vous documentez la campagne.
Un cas particulier revient souvent : le dirigeant d’une TPE ou l’indépendant qui utilise une adresse personnelle chez un fournisseur grand public pour son activité. Le rattachement à une personne morale devient discutable. Prudence, le régime du consentement peut s’appliquer.
Les conditions posées par la CNIL
La CNIL est explicite sur la page qu’elle consacre à la prospection commerciale par courrier électronique : la prospection de professionnels est permise « lorsque l’objet de la sollicitation est en rapport avec la profession de la personne démarchée ».
Cette phrase porte tout. Elle signifie qu’un éditeur de logiciel comptable peut solliciter un directeur administratif et financier, mais qu’il n’a rien à faire dans la boîte mail de ce même DAF pour lui vendre un séjour au ski. Le critère n’est pas la nature de l’adresse, c’est la pertinence du message au regard de la fonction occupée.
S’ajoutent trois obligations qui ne souffrent aucune approximation :
- L’information de la personne. Elle doit savoir que ses données sont utilisées à des fins de prospection. Quand les données proviennent d’un tiers, la CNIL demande de s’assurer que la personne a bien été informée de cet usage possible, et l’article 14 du RGPD impose d’informer au plus tard lors du premier contact.
- Le droit d’opposition. L’article 21 du RGPD est sans détour : « Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à ces fins. » Pas de motif à fournir, pas de délai de réflexion. Le lien de désinscription doit être simple et gratuit.
- L’identification de l’émetteur. Chaque message doit permettre de savoir immédiatement qui écrit et pour le compte de qui.
Rien d’insurmontable. Mais ces trois points sont exactement ceux qui manquent dans les campagnes de prospection improvisées.
Intérêt légitime ou consentement : comment trancher
| Situation | Base légale | Ce qu’il faut faire |
|---|---|---|
| Adresse nominative professionnelle, message lié à la fonction | Intérêt légitime | Informer, permettre l’opposition, documenter |
| Adresse générique de l’entreprise | Hors champ des données personnelles | Bonnes pratiques d’usage, opposition possible |
| Adresse personnelle d’un indépendant | Consentement recommandé | Opt-in préalable |
| Client existant, produit ou service analogue | Exception « clients existants » de L.34-5 | Refus possible à chaque envoi |
| Prospection sans rapport avec la fonction | Aucune base solide | Ne pas envoyer |
Un doute persistant ? Le consentement reste toujours la base la plus sûre. Elle coûte en volume ce qu’elle rapporte en tranquillité. Le vrai arbitrage se joue là, et il est autant commercial que juridique.
Quant aux fichiers achetés ou loués, ils ne sont pas illicites par nature. Contrairement à une idée tenace, acheter un fichier n’invalide pas l’intérêt légitime. En revanche, vous devenez responsable de traitement à part entière. Exigez du fournisseur l’origine des données, la preuve que les personnes ont été informées de la cession à des fins de prospection, et la date de la collecte. Sans ces éléments, vous serez incapable de démontrer quoi que ce soit en cas de réclamation. Ce point rejoint directement les règles applicables au cold emailing B2B conforme.
Le test de mise en balance, étape par étape
L’intérêt légitime n’est pas déclaratif. Il se démontre. La CNIL décrit une méthode en trois temps :
- « Identification du caractère « légitime » de l’intérêt poursuivi par le responsable du traitement et vérification du caractère « nécessaire » du traitement »
- « Évaluation des atteintes aux intérêts et droits et libertés des personnes et prise en compte de leurs attentes raisonnables »
- « Mise en balance de ces éléments et, le cas échéant, prévision de mesures additionnelles »
La CNIL précise que l’intérêt poursuivi doit être manifestement licite, déterminé de façon suffisamment claire et précise, et réel et présent pour l’organisme, non fictif. Elle ajoute une formule qui résume l’esprit du test mieux que n’importe quel commentaire : le traitement ne doit pas surprendre les personnes dont les données sont traitées. Un DAF qui reçoit une offre de logiciel comptable n’est pas surpris. C’est très exactement le sens de la condition posée par la CNIL sur le rapport avec la profession.
Reste une question longtemps débattue : un intérêt purement commercial peut-il être « légitime » ? La Cour de justice de l’Union européenne y a répondu le 4 octobre 2024 dans l’affaire C-621/22, qui opposait la fédération néerlandaise de tennis à l’autorité de protection des données du pays. Réponse : oui. Un intérêt commercial peut fonder un traitement au titre de l’article 6.1.f. La Cour rappelle dans le même mouvement que la nécessité du traitement doit être examinée strictement, et qu’un moyen moins intrusif disponible fait tomber l’argument.
Le Comité européen de la protection des données a par ailleurs adopté en octobre 2024 des lignes directrices consacrées à cette base légale, soumises à consultation publique jusqu’au 20 novembre de la même année. Elles reprennent la même logique en trois étapes et citent explicitement le marketing direct parmi les cas d’usage typiques.
À quoi ressemble une analyse documentée
Tout le monde répète qu’il faut documenter le test de mise en balance. Presque personne ne montre à quoi cela ressemble. Voici une trame d’une page, suffisante pour une campagne de prospection B2B classique, à conserver auprès de votre registre des traitements.
| Rubrique | Ce que vous écrivez |
|---|---|
| Finalité poursuivie | Promouvoir une offre de [produit] auprès de professionnels dont la fonction correspond à l’usage de ce produit |
| Intérêt invoqué | Développement commercial de l’entreprise, intérêt réel et actuel |
| Données traitées | Nom, prénom, email professionnel, fonction, entreprise, secteur |
| Origine des données | Collecte directe (formulaire, salon) ou fournisseur identifié, avec date et garanties contractuelles |
| Nécessité | Pourquoi l’email est le moyen le moins intrusif d’atteindre cette cible, et pourquoi les données collectées sont limitées au strict nécessaire |
| Attentes raisonnables | En quoi un professionnel exerçant cette fonction s’attend à recevoir ce type de sollicitation |
| Atteintes potentielles | Sollicitation non désirée, pression commerciale |
| Mesures d’atténuation | Ciblage strict sur la fonction, plafonnement de la fréquence d’envoi, désinscription en un clic, purge des inactifs |
| Conclusion | Les intérêts et droits des personnes ne prévalent pas ; l’intérêt légitime est retenu |
| Date et auteur | Révision annuelle ou à chaque changement de ciblage |
Cette trame n’a rien de bureaucratique quand elle est remplie sérieusement. Elle force à formuler le ciblage, ce qui améliore souvent la campagne elle-même. Et le jour où une réclamation arrive, elle transforme une discussion défensive en démonstration.
Sur la durée de conservation, un repère circule largement en pratique : trois ans après le dernier contact. À notre connaissance, aucun texte ne l’impose comme telle pour la prospection B2B, mais c’est une bonne pratique installée, et une base de prospection qui n’est jamais purgée pose de toute façon un problème de délivrabilité avant de poser un problème juridique. Un point que nous détaillons dans notre guide sur la protection des données en emailing.
L’intérêt légitime couvre l’envoi, pas la mesure
Voilà le point que presque aucun contenu sur le sujet ne traite, et il crée pourtant de vraies mauvaises surprises.
L’intérêt légitime vous autorise à envoyer le message. Il ne vous autorise pas à suivre individuellement les ouvertures. Le pixel de suivi déposé dans un email relève du régime des traceurs, celui des cookies, et il suppose un consentement préalable. La CNIL l’a rappelé dans sa recommandation sur les pixels de suivi, avec une échéance de mise en conformité fixée à juillet 2026.
Deux traitements, deux régimes distincts. Vous pouvez parfaitement prospecter un DAF au titre de l’intérêt légitime tout en n’ayant pas le droit de mesurer l’ouverture de son message sans son accord. Le sujet est technique et mérite d’être traité pour lui-même : nous lui avons consacré un article dédié sur le consentement au pixel de suivi.
Cette question de la base légale rejoint plus largement celle de l’hébergement et du traitement des données de vos contacts. Chez Ediware, les données sont hébergées en France, ce qui simplifie sensiblement la démonstration de conformité RGPD attendue en cas de contrôle.
Questions fréquentes
Peut-on prospecter par email en B2B sans consentement préalable ?
Oui, à condition de s’appuyer sur l’intérêt légitime et de respecter ses conditions. L’objet du message doit être en rapport avec la profession du destinataire, la personne doit être informée de l’usage de ses données et pouvoir s’opposer simplement et gratuitement à tout moment.
L’intérêt légitime dispense-t-il de toute obligation RGPD ?
Non. C’est une base légale au même titre que le consentement, pas une exemption. Elle impose d’informer les personnes, de documenter le test de mise en balance, d’inscrire le traitement au registre et de traiter les oppositions sans délai.
Une adresse contact@entreprise.fr est-elle une donnée personnelle ?
Non, une adresse générique rattachée à une personne morale n’identifie aucune personne physique en particulier. La CNIL considère qu’elle échappe au régime protecteur des personnes physiques. Une adresse nominative de type prenom.nom@entreprise.fr reste en revanche une donnée personnelle.
Peut-on utiliser un fichier de prospection acheté ?
Oui, l’achat ne rend pas le traitement illicite en soi. Vous devez toutefois pouvoir démontrer l’origine des données, prouver que les personnes ont été informées de leur cession à des fins de prospection, et assurer vous-même l’information et le droit d’opposition.
Que faut-il documenter exactement ?
La finalité poursuivie, l’intérêt invoqué, les données traitées et leur origine, la nécessité du traitement, les attentes raisonnables des personnes, les atteintes potentielles et les mesures qui les limitent. Une page suffit, à réviser à chaque changement de ciblage.
Un intérêt commercial est-il un intérêt légitime valable ?
Oui. La Cour de justice de l’Union européenne l’a confirmé le 4 octobre 2024 dans l’affaire C-621/22. Un intérêt purement commercial peut fonder un traitement, sous réserve que celui-ci soit réellement nécessaire et que les droits des personnes ne prévalent pas.
Le tracking d’ouverture est-il couvert par l’intérêt légitime ?
Non. L’envoi du message et la mesure de son ouverture sont deux traitements distincts. Le pixel de suivi relève du régime des traceurs et suppose un consentement préalable, indépendamment de la base légale retenue pour la prospection elle-même.
