⚠️ Attention : Un email générique type contact@entreprise.com ou info@entreprise.com n’est PAS une donnée personnelle. Seuls les emails nominatifs (identifiant une personne) sont concernés par le RGPD.

1. Le RGPD (Règlement 2016/679)

Règlement européen applicable depuis le 25 mai 2018. Il fixe les principes généraux :

• Licéité, loyauté et transparence du traitement
• Limitation des finalités et minimisation des données
• Exactitude et durée de conservation limitée
• Intégrité, confidentialité et accountability

2. La loi Informatique et Libertés (modifiée en 2018-2019)

Loi française qui transpose et complète le RGPD. Elle précise notamment les modalités d’exercice des droits des personnes et les pouvoirs de la CNIL (Commission Nationale de l’Informatique et des Libertés).

3. La directive ePrivacy (transposée en France)

Régit spécifiquement la prospection électronique (email, SMS, automates d’appel). Article L. 34-5 du CPCE (Code des Postes et Communications Électroniques) :

• B2B : prospection autorisée sans consentement préalable si produits/services analogues
• B2C : consentement préalable obligatoire (opt-in)

Délibération n°2020-093 (septembre 2020) :

• L’intérêt légitime est une base légale valable pour la prospection B2B
• Les coordonnées doivent être collectées de manière licite et transparente
• La personne doit pouvoir s’opposer facilement et gratuitement
• L’opposition doit être prise en compte sous 1 mois maximum

Règle n°1 : Informer les prospects de manière transparente

Obligation : chaque prospect doit être informé de l’utilisation de ses données, conformément à l’article 13 du RGPD.

Concrètement :

• Mentionner l’identité du responsable de traitement dans vos emails
• Préciser la finalité : « prospection commerciale »
• Indiquer la base légale : « intérêt légitime »
• Expliquer les droits (accès, rectification, opposition, effacement)
• Mentionner la durée de conservation (généralement 3 ans sans interaction)
• Fournir les coordonnées du DPO si applicable

Règle n°2 : Offrir un droit d’opposition simple et gratuit

Obligation : permettre à chaque prospect de refuser la prospection facilement, sans justification.

Concrètement :

• Lien de désinscription visible dans chaque email (footer)
• Processus en un clic (pas de login requis)
• Prise en compte immédiate (délai maximum : 1 mois)
• Confirmation de désinscription envoyée
• Mention dans les appels téléphoniques : « Vous pouvez vous opposer à tout moment »

Règle n°3 : Collecter les données de manière licite

Obligation : obtenir les coordonnées via des sources légales et traçables.

Sources licites :

• ✅ Données publiques : sites web d’entreprises, annuaires professionnels
• ✅ LinkedIn (profils publics, dans le respect des CGU)
• ✅ Salons professionnels (avec consentement explicite pour la réutilisation)
• ✅ Fournisseurs de données B2B certifiés RGPD
• ❌ Scraping massif sans droit
• ❌ Achat de bases de données opaques
• ❌ Extraction non autorisée via API

Règle n°4 : Limiter la durée de conservation

Obligation : ne pas conserver les données indéfiniment. La CNIL recommande :

• Prospects actifs : 3 ans maximum sans interaction positive (ouverture, clic, réponse)
• Prospects inactifs : suppression ou archivage avec accès restreint
• Opposition : suppression immédiate (sauf obligation légale de conservation)
• Clients : 10 ans après la fin de la relation contractuelle (obligations comptables)

Action pratique : mettre en place un processus automatisé de purge des bases tous les trimestres.

Règle n°5 : Sécuriser les données personnelles

Obligation : protéger les données contre les accès non autorisés, pertes ou fuites.

Mesures obligatoires :

• Chiffrement des données sensibles (stockage et transit)
• Contrôle d’accès strict (qui peut voir quelles données ?)
• Authentification forte (2FA pour les CRM et outils de prospection)
• Sauvegardes régulières et chiffrées
• Journalisation des accès aux données personnelles
• Contrats de sous-traitance RGPD avec tous les fournisseurs (CRM, emailing, enrichissement)

Règle n°6 : Documenter la conformité (accountability)

Obligation : prouver sa conformité RGPD en cas de contrôle de la CNIL.

Documents à tenir à jour :

• Registre des activités de traitement (obligatoire si +250 salariés ou traitements sensibles)
• Analyse d’impact (PIA) si traitement à haut risque (scoring massif, profilage avancé)
• Politiques de sécurité : accès, sauvegarde, gestion des violations
• Contrats fournisseurs incluant les clauses RGPD (DPA