Prospection B2B, RGPD et données publiques

Prospecter des entreprises à partir du BODACC est permis, mais le fait qu’une information soit publique ne règle pas toutes les questions de protection des données. Ce guide résume le cadre général ; il n’est pas un avis juridique, et vous devez vérifier votre situation précise auprès de la CNIL ou d’un avocat.

Public ne veut pas dire libre

Le RGPD protège les données des personnes physiques, même lorsqu’elles sont publiées. Un dirigeant dont le nom figure au BODACC, un entrepreneur individuel dont l’adresse est publique, un salarié dont l’e-mail professionnel est nominatif restent des personnes concernées. Les sanctions récentes de la CNIL visent la collecte de coordonnées et le démarchage sans base légale suffisante, pas la réutilisation de données de sociétés.

Les sanctions à connaître

• Kaspr, 240 000 euros, 2024 : collecte de coordonnées de professionnels (voir la décision de la CNIL (s’ouvre dans un nouvel onglet)).
• Solocal Marketing Services, 900 000 euros, 2025 ; Caloga, 80 000 euros, 2025 ; Tagadamedia, 75 000 euros, 2023 : sanctions liées à la collecte de coordonnées ou au démarchage sans base légale.

Ces montants sont cités d’après l’étude de marché de Signaux Entreprises ; consultez les décisions sur le site de la CNIL pour leur contenu exact. Aucune sanction visant un revendeur de données de personnes morales issues de sources publiques n’a été trouvée lors de cette étude, ce qui n’est pas une garantie.

Ce que permet la prospection B2B par e-mail

La CNIL indique qu’un e-mail de prospection vers une adresse professionnelle peut être envoyé sans consentement préalable si trois conditions sont réunies :

1. Le message concerne la fonction du destinataire (un directeur financier pour un logiciel de facturation, pas pour une offre sans rapport).
2. L’expéditeur est clairement identifié.
3. Chaque message permet de s’opposer simplement à de nouveaux envois, et l’opposition est respectée.

Une adresse générique (contact@, info@) est une donnée de société ; une adresse nominative (prenom.nom@) est une donnée personnelle, même professionnelle. Les règles pour le téléphone et le courrier postal diffèrent : vérifiez-les auprès de la CNIL (s’ouvre dans un nouvel onglet).

Notre choix : des personnes morales uniquement

Pour limiter le risque, Signaux Entreprises applique des règles strictes :

• Personnes morales seulement. Les entrepreneurs individuels, dont les micro-entrepreneurs, sont exclus. Cela réduit le volume mais écarte l’essentiel des données personnelles.
• Statut de diffusion Sirene respecté. Les unités à diffusion partielle sont exclues.
• Aucun nom de dirigeant livré, et aucun e-mail ni téléphone.
• Opposition par SIREN : une société peut demander son retrait via Signaler, et reste exclue ensuite.
• Source citée : chaque événement renvoie à l’annonce du BODACC, sous Licence Ouverte.

Votre part de responsabilité

Si vous enrichissez les entreprises avec un outil tiers (annuaire, extension de navigateur, service d’enrichissement), c’est votre traitement : vous en êtes responsable, avec les obligations d’information et d’opposition qui vont avec. Choisissez un outil dont la collecte est licite, tenez une liste de personnes opposées et conservez la trace de l’origine de chaque contact.

Ressources

Les pages de la CNIL sur la prospection commerciale et la décision Kaspr sont listées ci-dessous. Pour les cas d’usage concrets, voir les guides sur le transfert de siège et les cessions de fonds.

Créer un compte gratuit · Politique de confidentialité

Questions fréquentes