RGPD et prospection B2B : le guide pratique de ce qui est autorisé
Ce que vous pouvez faire, sur quel fondement, et où passe la frontière entre un fichier exploitable et un fichier indéfendable, avec les textes applicables et les critères à vérifier avant d'acheter.
Par l'équipe Data de FichierEmail Mis à jour le 15 min de lecture
L'essentiel en 30 secondes
- En France, prospecter un professionnel sur ses coordonnées professionnelles ne suppose pas son accord préalable, mais son information et la possibilité de s'y opposer.
- Prospecter un particulier suppose au contraire son consentement, recueilli avant l'envoi.
- Ce qui décide du régime n'est ni le canal ni le support : c'est de savoir si la donnée permet d'identifier une personne physique.
- Acheter un fichier n'est pas interdit. Ce qui engage l'acheteur, c'est ce qu'il peut démontrer sur l'origine des données.
Sommaire
La prospection B2B est-elle légale en France ?
Oui. Adresser un message commercial à un professionnel, sur ses coordonnées professionnelles et pour une offre en rapport avec son activité, est autorisé sans accord préalable, à condition qu'il en soit informé et puisse s'y opposer facilement.
Cette réponse repose sur deux textes, qui ne font pas la même chose. L'article 6.1.f du RGPD fournit la base légale du traitement : il autorise le traitement de données personnelles lorsqu'il est nécessaire aux intérêts légitimes du responsable de traitement, sous réserve d'un équilibre avec les droits des personnes concernées. C'est ce qui rend possible la constitution et l'usage d'un fichier de prospection professionnelle sans avoir recueilli l'accord de chacun. L'article L34-5 du Code des postes et des communications électroniques régit, lui, l'envoi lui-même : c'est ce texte qui pose le consentement préalable comme règle pour la prospection électronique adressée à une personne physique, et qui aménage le cas de la sollicitation professionnelle.
Retenir la distinction évite la confusion la plus courante sur ce sujet : disposer d'une base légale ne dispense pas des règles propres au canal d'envoi, et respecter les règles du canal ne suffit pas si le traitement lui-même n'a pas de fondement.
💡 À retenir
Deux textes, deux fonctions : l'article 6.1.f du RGPD fonde le traitement des données, l'article L34-5 du CPCE encadre l'envoi du message. Une campagne conforme satisfait les deux.
Deux régimes : professionnels et particuliers
Le droit français ne traite pas de la même façon la sollicitation d'un particulier et celle d'un professionnel. Six critères suffisent à situer une campagne dans l'un ou l'autre régime.
Comparaison des deux régimes
| Critère | Vers un particulier | Vers un professionnel |
|---|---|---|
| Accord préalable | Requis avant l'envoi | Non requis |
| Base légale | Consentement | Intérêt légitime (art. 6.1.f RGPD) |
| Avant le premier message | Consentement recueilli et conservé | Information de la personne |
| Objet du message | Libre | Doit être en rapport avec l'activité professionnelle |
| Opposition | À respecter immédiatement | À respecter immédiatement |
| Texte de référence | art. L34-5 CPCE | art. L34-5 CPCE |
La frontière ne passe pas là où on l'attend. Elle ne sépare pas « les entreprises » des « particuliers » au sens courant, mais les coordonnées professionnelles d'une personne agissant dans le cadre de son activité des coordonnées d'un particulier agissant à titre privé. La conséquence est concrète : un dirigeant sollicité sur son adresse professionnelle pour une offre liée à son métier relève du premier cas ; le même dirigeant, à la même adresse, sollicité pour une offre de consommation courante sans rapport avec son activité, n'en relève pas. Le support n'a pas changé : le régime, si.
C'est pourquoi le ciblage n'est pas seulement une question d'efficacité commerciale. Adresser une offre hors du champ d'activité du destinataire ne produit pas seulement un mauvais taux de réponse : cela fait sortir la campagne du régime professionnel.
Adresse générique ou nominative : la distinction qui décide de tout
Une idée circule largement, et elle est fausse : le caractère « professionnel » d'une adresse la ferait sortir du champ du RGPD. Ce n'est pas le critère. Le critère est posé par l'article 4.1 du RGPD, qui définit la donnée à caractère personnel comme toute information se rapportant à une personne physique identifiée ou identifiable. La question à poser devant une adresse email n'est donc pas « est-elle professionnelle ? » mais « permet-elle d'identifier une personne physique ? ».
L'adresse nominative
prenom.nom@entreprise.fr désigne une personne. C'est une donnée à caractère personnel, et l'ensemble du RGPD s'y applique : information de la personne, droit d'accès, droit d'opposition, durée de conservation limitée. Le fait que l'adresse soit hébergée sur le domaine d'une entreprise et utilisée dans un cadre professionnel n'y change rien — le RGPD ne connaît pas d'exception professionnelle sur ce point.
L'adresse générique
À l'inverse, contact@entreprise.fr, info@, service-commercial@ ne désignent aucune personne physique : elles identifient une organisation, et la boîte peut être relevée par plusieurs personnes ou par aucune en particulier. Or une personne morale n'est pas protégée par le RGPD, dont le champ est limité aux personnes physiques. Les obligations attachées aux données personnelles ne s'appliquent donc pas à ces adresses.
La limite de ce raisonnement, à ne pas ignorer
Ce raisonnement a une limite qu'il faut énoncer, car elle est régulièrement passée sous silence. Le critère est l'identifiabilité, pas le préfixe de l'adresse. Une adresse générique rattachée à une entreprise individuelle dont la dénomination est le nom du dirigeant peut, en pratique, permettre d'identifier une personne physique : le nom de domaine, le registre des entreprises et l'adresse se recoupent. Le raisonnement ne s'applique donc pas mécaniquement à toutes les adresses commençant par contact@.
Point discuté
L'appréciation du caractère identifiable d'une adresse générique dépend du contexte, et les lectures ne sont pas unanimes. Sur les structures unipersonnelles (entreprises individuelles, professions libérales, micro-entreprises), la prudence commande de traiter ces adresses comme du nominatif plutôt que d'invoquer l'absence de donnée personnelle.
Trois cas, trois régimes
| Type d'adresse | Exemple | Donnée personnelle ? | Obligations applicables | Conservation |
|---|---|---|---|---|
| Nominative | prenom.nom@ | Oui | Information, opposition, accès, limitation de durée | Durée limitée depuis le dernier contact |
| Générique | contact@ | Non, en principe | Opposition traitée par principe, information non requise | Non contrainte par le RGPD |
| Générique d'une structure unipersonnelle | contact@ | Discuté, à traiter comme oui | Mêmes obligations que le nominatif | Alignée sur le nominatif |
Cette distinction n'est pas une subtilité de juriste : elle détermine, ligne par ligne, quelles obligations s'attachent à un fichier. Un fichier qui ne la porte pas dans sa structure ne permet pas de savoir quelles lignes exigent une information et lesquelles non. C'est un point que nous détaillons dans notre guide base de données B2B, du point de vue de la structure des champs.
💡 À retenir
Le critère n'est ni le domaine, ni le préfixe, ni l'usage professionnel : c'est l'identifiabilité d'une personne physique, au sens de l'article 4.1 du RGPD. En cas de doute sur une structure unipersonnelle, traitez l'adresse comme nominative.
Les quatre conditions à respecter
Le régime professionnel n'est pas un régime sans obligations. Il en comporte quatre, et chacune se traduit par un geste vérifiable.
L'offre doit être en rapport avec l'activité professionnelle du destinataire
C'est la condition qui fait tenir tout l'édifice : elle justifie que le message soit adressé sans accord préalable.
Le geste : documenter le critère de ciblage retenu (activité, code d'activité, secteur) et pouvoir l'expliquer pour chaque campagne.La personne doit être informée
Identité de l'expéditeur, finalité de la sollicitation, origine des données et droit d'opposition, conformément à l'article 14 du RGPD.
Le geste : une mention courte en bas du message, renvoyant à une politique de confidentialité qui détaille l'origine des données.Un moyen de refus simple doit figurer dans chaque message
Simple, gratuit, et sans justification à fournir. Un refus qui suppose de créer un compte, de répondre à un questionnaire ou de motiver sa demande ne remplit pas la condition.
Le geste : un lien de désinscription dans chaque envoi, et une page d'opposition accessible sans authentification.Toute opposition doit être respectée immédiatement et définitivement
Immédiatement : dès réception, sans attendre la fin de la séquence en cours. Définitivement : y compris lors des imports de fichiers ultérieurs.
Le geste : une liste d'opposition consultée en filtre avant chaque campagne, décrite plus bas.Peut-on acheter un fichier de prospection ? La réponse précise
C'est la question la plus posée du sujet, et la plus mal traitée. La réponse habituelle (on peut acheter auprès d'un fournisseur sérieux, mais pas une « liste brute ») ne définit jamais la frontière entre les deux, ce qui la rend inutilisable pour décider.
Commençons par le principe : l'achat d'un fichier n'est pas interdit. Le RGPD n'encadre pas l'acte d'achat, il encadre les traitements de données. Ce n'est donc pas l'achat qui pose question, c'est ce que l'acheteur peut démontrer ensuite — car en utilisant le fichier pour ses propres campagnes, il devient responsable de ce traitement. La question n'est pas « ai-je le droit ? » mais « que puis-je établir sur ces données ? ».
Sept critères permettent de trancher avant l'achat. Ils sont vérifiables : chacun se pose sous forme de question à laquelle un fournisseur répond, ou ne répond pas.
Grille d'évaluation d'un fichier avant achat
| Critère | Ce qui rend le fichier exploitable | Ce qui le rend indéfendable |
|---|---|---|
| Origine des données | Une source nommable, documentée enregistrement par enregistrement | « Sources multiples », ou aucune réponse |
| Base légale du fournisseur | Identifiée et documentée | Non formulée |
| Nature des adresses | Générique et nominatif distingués, avec le régime propre à chacun | Tout mélangé dans un même champ |
| Information des personnes | Le fournisseur peut démontrer comment elle a été assurée | Aucune information n'a jamais été faite |
| Mécanisme d'opposition | Accessible côté fournisseur, et les oppositions remontent dans la base | Aucun dispositif |
| Fraîcheur | Date de vérification communiquée | Aucune date |
| Ce qui reste après le contrat | Écrit : ce que vous conservez, pour quelle durée, pour quels usages | Flou, ou renvoyé à l'usage |
Le dernier critère distingue deux opérations souvent confondues. Dans une cession, les données vous restent ; dans une location, l'usage est limité dans le temps et le fichier ne vous appartient pas, ce que nous détaillons dans notre guide sur la location de base de données. La différence n'est pas seulement commerciale : elle change ce que vous pouvez démontrer, et pendant combien de temps.
💡 À retenir
La question n'est pas de savoir si vous avez le droit d'acheter, mais si vous pourrez répondre à une personne qui vous demande d'où vient son adresse.
Informer les personnes quand les données ne viennent pas d'elles
C'est le point le plus souvent omis, y compris par les pages qui traitent du sujet. L'article 14 du RGPD couvre exactement la situation d'un fichier acquis : celle où les données n'ont pas été collectées auprès de la personne concernée. Il ne s'agit pas d'une obligation accessoire — c'est la contrepartie directe de l'absence de consentement.
Ce que le texte exige tient en quelques éléments : l'identité du responsable de traitement, les finalités poursuivies, les catégories de données concernées, la source dont elles proviennent, la durée de conservation et les droits de la personne, dont le droit d'opposition. Ce que le texte permet est tout aussi important, et rassure généralement ceux qui découvrent l'obligation : l'information n'a pas à prendre la forme d'un courrier dédié. Elle peut figurer dans le message de prospection lui-même, sous une forme concise, et renvoyer à une politique de confidentialité pour le détail.
Quant au moment, la logique du texte est celle du premier contact : l'information intervient au plus tard lors de la première communication adressée à la personne. Un premier email de prospection portant la mention nécessaire satisfait cette exigence.
Reste le périmètre, et il découle du chapitre précédent : l'obligation ne concerne que les données nominatives. Une adresse générique n'identifiant aucune personne physique, il n'y a pas de personne à informer. C'est la raison pratique pour laquelle la distinction entre les deux types d'adresses doit être portée par la structure du fichier, et non reconstituée à la main avant chaque envoi.
Le droit d'opposition et la liste d'opposition
L'article 21 du RGPD ouvre à toute personne le droit de s'opposer au traitement de ses données à des fins de prospection. La formulation du texte est particulièrement nette sur ce cas : l'opposition à la prospection n'a pas à être motivée, et il n'y a pas de mise en balance à opérer. Le traitement cesse.
Vient ensuite le point pratique, que presque personne n'explique. Une opposition ne se traite pas en supprimant la ligne. Supprimer efface la trace du refus : la base ne conserve plus aucune information indiquant que cette adresse ne doit pas être sollicitée. Au prochain fichier importé — le même métier, la même zone, six mois plus tard — le contact réapparaît et reçoit une seconde sollicitation. La personne constate alors que son refus n'a pas été respecté, et elle a raison de le penser.
La bonne pratique est inverse : conserver l'adresse dans une liste d'opposition dédiée, séparée de la base de prospection, et l'utiliser comme filtre systématique avant chaque campagne. Cette conservation minimale a une finalité propre (respecter le refus) et se limite aux données nécessaires à l'identification du contact. C'est un cas où conserver une donnée sert la personne plutôt que l'expéditeur.
De notre côté, toute personne peut demander le retrait de ses coordonnées depuis notre page d'opposition, sans justification et sans frais.
💡 À retenir
Une opposition se conserve, elle ne se supprime pas. Sans liste d'opposition, le refus disparaît au prochain import et la même personne est sollicitée deux fois : c'est le motif de réclamation le plus fréquent.
Combien de temps conserver les données d'un prospect ?
La CNIL retient, dans sa doctrine en matière de prospection commerciale, un ordre de grandeur de trois ans à compter du dernier contact pour un prospect qui n'a pas donné suite. Le point de départ mérite attention : c'est le dernier contact, entrant ou sortant, et non la date d'acquisition de la donnée. Un échange, même bref, fait repartir le décompte.
Il faut ajouter une nuance que les pages sur le sujet ne posent presque jamais. Cette durée concerne les données personnelles : une adresse nominative, une fonction, l'historique des échanges avec une personne identifiée. Les données d'identité d'une entreprise (dénomination, identifiant légal, activité, adresse de l'établissement) relèvent de registres publics et ne suivent pas la même logique : elles ne se rapportent pas à une personne physique identifiable et restent accessibles indépendamment de vous.
La conséquence est opérationnelle. Une purge qui ne distingue pas les deux natures de données détruit un patrimoine d'informations d'entreprise qui n'avait pas à l'être, tout en donnant le sentiment d'une mise en conformité. Le bon geste est plus fin : purger ou anonymiser les données personnelles au terme de la durée retenue, conserver l'identité de l'établissement, et documenter la règle appliquée. La structure du fichier détermine, là encore, si cette opération est faisable, sujet traité dans notre guide fichier de prospection.
Point discuté
Cette durée est un ordre de grandeur issu de la doctrine, non un délai fixé par le RGPD lui-même. Une durée différente peut se justifier au regard d'un cycle de vente long, à condition d'être définie, documentée et appliquée de façon constante.
Ce qui change depuis le 11 août 2026 pour le téléphone
Section actualisée au 8 octobre 2026.
Démarchage téléphonique : état du droit
| Point | État |
|---|---|
| Texte | Loi du 30 juin 2025 contre toutes les fraudes aux aides publiques |
| Entrée en vigueur sur ce point | 11 août 2026 |
| Ce qui change | Appeler un particulier à des fins commerciales suppose désormais son consentement préalable |
| Ce qui ne change pas | Pour un professionnel, le régime reste celui de l'information et de l'opposition simple et gratuite |
Concrètement, la prospection téléphonique grand public se resserre nettement, tandis que la prospection professionnelle conserve son cadre. Pour une équipe qui combine les deux, la conséquence est une séparation plus stricte des fichiers et des scripts d'appel selon la nature du destinataire.
Les sanctions
Le RGPD prévoit deux niveaux de plafonds, selon la nature du manquement : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour certains manquements, jusqu'à 20 millions d'euros ou 4 % pour les plus graves, le montant le plus élevé des deux étant retenu. Ce sont des maxima, non des montants types : la sanction effectivement prononcée tient compte de la gravité du manquement, du nombre de personnes concernées, du caractère intentionnel ou non, et de la coopération de l'organisme.
Pour autant, ce n'est pas de ce côté que la difficulté se présente le plus souvent. Dans la vie d'une équipe commerciale, l'incident typique n'est pas un contrôle : c'est un message d'une personne qui demande où vous avez trouvé son adresse, parfois avec agacement, parfois en annonçant une réclamation. Ce qui décide de la suite est votre capacité à répondre : nommer la source, indiquer la base légale, montrer que le refus a été enregistré.
C'est ce qui donne à la traçabilité sa vraie valeur : elle est d'abord une capacité de réponse, et seulement ensuite une obligation. Une équipe qui sait répondre en trois lignes clôt l'incident ; une équipe qui ne sait pas d'où vient la donnée le laisse s'installer.
Nos pratiques, en transparence
Ce que nous faisons, formulé comme un état des lieux et non comme un argument.
Nos pratiques
| Point | Ce que nous faisons |
|---|---|
| Origine des données | Des sources publiques françaises, la provenance étant conservée pour chaque enregistrement. |
| Nature des adresses | Une distinction entre adresses génériques et nominatives inscrite dans la structure même de la base, avec un traitement différent pour chacune. |
| Opposition | Une page d'opposition accessible à toute personne, sans justification et sans frais. |
| Vérification | Une vérification technique au moment de la constitution de chaque fichier, avec un taux de rejet définitif inférieur à 1 % à la livraison. |
Notre méthode de constitution est décrite sur notre page à propos, et la demande de retrait se fait depuis la page d'opposition. Sur la qualité des adresses et ce qu'une vérification établit réellement, voir notre guide NPAI.
Nos fichiers, par métier et par zone
Notre base couvre 10 729 293 entreprises françaises actives, réparties sur 737 métiers construits sur la nomenclature officielle d'activité, 101 départements et 18 régions. Les adresses, elles, ne sont pas stockées d'avance : chaque fichier est constitué et vérifié au moment de la commande, ce qui garantit que la date de vérification est la date de livraison.
Entreprises actives par secteur
| Secteur | Entreprises |
|---|---|
| Commerce | 1 403 655 |
| Bâtiment | 1 159 682 |
| Services aux entreprises | 1 068 530 |
| Agriculture | 877 431 |
| Santé & médical | 797 817 |
| Tourisme & loisirs | 755 317 |
| Auto & transport | 680 223 |
| Associations | 608 400 |
| Industrie | 599 016 |
| Restauration | 551 191 |
| Juridique & conseil | 531 692 |
| Éducation & formation | 398 549 |
| Finance & assurance | 276 489 |
| Immobilier | 254 180 |
| Tech & digital | 228 435 |
| Beauté | 210 643 |
| Médias & communication | 175 078 |
| Administrations | 111 024 |
| Artisanat | 68 654 |
Les fichiers se consultent par métier. Pour un croisement de critères absent des pages dédiées, le configurateur sur-mesure calcule le volume disponible avant commande. Sur l'usage du fichier une fois livré, voir notre guide emailing.
Questions fréquentes
La prospection B2B est-elle légale sans consentement ?
Oui, sous conditions. Adresser un message commercial à un professionnel, sur ses coordonnées professionnelles et pour une offre en rapport avec son activité, ne suppose pas d'accord préalable : la base légale mobilisée est l'intérêt légitime prévu à l'article 6.1.f du RGPD. En contrepartie, trois obligations s'imposent : informer la personne, lui offrir dans chaque message un moyen de refus simple et gratuit, et respecter immédiatement toute opposition. L'absence de consentement ne signifie donc pas absence d'obligations : elle déplace celles-ci vers l'information et l'opposition.
Quelle différence entre prospection B2B et B2C au regard du RGPD ?
Le régime du particulier repose sur le consentement : il doit être recueilli avant le premier envoi et pouvoir être démontré ensuite. Le régime du professionnel repose sur l'information et l'opposition : le message peut partir sans accord préalable, à condition de porter sur une offre en rapport avec l'activité du destinataire. L'article L34-5 du Code des postes et des communications électroniques porte les deux régimes. Le critère de bascule n'est pas la nature de l'entité sollicitée, mais celle des coordonnées utilisées et le contexte de la sollicitation.
Est-il légal d'acheter un fichier d'emails professionnels ?
L'achat n'est pas interdit : le RGPD n'encadre pas l'acte d'achat, il encadre les traitements. La question utile est donc différente : que pourrez-vous démontrer sur l'origine des données une fois le fichier en main ? En l'utilisant pour vos campagnes, vous devenez responsable de ce traitement. Un fichier exploitable est un fichier dont la source est nommable, la base légale du fournisseur formulée, la nature des adresses distinguée et la date de vérification connue. À défaut de ces quatre éléments, la position est difficilement défendable.
Une adresse contact@ est-elle une donnée personnelle ?
En principe non, mais le critère n'est pas le préfixe de l'adresse. L'article 4.1 du RGPD retient l'identifiabilité d'une personne physique : une adresse contact@ ou info@ désigne une organisation, et une personne morale n'est pas protégée par le RGPD. La conclusion ne se transpose cependant pas mécaniquement. Rattachée à une entreprise individuelle dont la dénomination reprend le nom du dirigeant, une adresse générique peut en pratique permettre d'identifier une personne physique : la prudence commande alors de la traiter comme une adresse nominative.
Faut-il informer les personnes dont on a acheté les coordonnées ?
Oui pour les données nominatives : l'article 14 du RGPD s'applique précisément lorsque les données n'ont pas été collectées auprès de la personne elle-même. L'information porte notamment sur votre identité, la finalité poursuivie, l'origine des données et le droit d'opposition. Elle peut figurer dans le premier message adressé et renvoyer à une politique de confidentialité pour le détail. Le premier contact est le moment naturel pour la délivrer. Les adresses purement génériques, qui n'identifient aucune personne physique, ne sont pas concernées par cette obligation.
Que doit contenir un email de prospection B2B ?
Quatre éléments. L'identité réelle de l'expéditeur, avec une entreprise identifiable et une adresse de réponse valide. Un objet de sollicitation en rapport avec l'activité professionnelle du destinataire. Une indication d'origine des données, avec un lien vers la politique de confidentialité pour le détail. Enfin un moyen de refus simple, gratuit et sans justification à fournir. Le reste (accroche, longueur, nombre de relances) relève de l'efficacité du message et non de sa conformité : ce sont deux sujets distincts, qu'il vaut mieux ne pas confondre.
Combien de temps peut-on conserver les données d'un prospect ?
La CNIL retient un ordre de grandeur de trois ans à compter du dernier contact pour un prospect qui n'a pas donné suite. Ce délai concerne les données personnelles : adresse nominative, fonction, historique des échanges. Les données d'identité de l'entreprise (dénomination, identifiant légal, activité, adresse de l'établissement) proviennent de registres publics et ne suivent pas la même logique. Distinguer les deux évite deux erreurs symétriques : conserver indéfiniment des données personnelles, ou purger un patrimoine de données d'entreprise qui n'avait pas à l'être.
Que faire quand une personne demande à ne plus être contactée ?
Cesser immédiatement, sans demander de justification ni de motif. Puis, ce qui est moins intuitif : ne pas supprimer la ligne. L'adresse doit être conservée dans une liste d'opposition dédiée, distincte de la base de prospection. Une suppression pure et simple efface la trace du refus ; au prochain fichier importé, le même contact réapparaît et se voit sollicité une seconde fois. C'est le scénario de réclamation le plus fréquent, et il est entièrement évitable si la liste d'opposition est consultée avant chaque campagne.
Peut-on encore prospecter une entreprise par téléphone depuis le 11 août 2026 ?
Oui, lorsqu'il s'agit d'un professionnel appelé sur sa ligne professionnelle. Les dispositions de la loi du 30 juin 2025 contre toutes les fraudes aux aides publiques relatives au démarchage téléphonique sont entrées en vigueur le 11 août 2026 : appeler un particulier à des fins commerciales suppose désormais son consentement préalable. Le régime applicable à la prospection d'un professionnel n'est pas modifié — il reste celui de l'information et de l'opposition simple et gratuite. La conséquence pratique est un net resserrement de la prospection téléphonique grand public.
Peut-on utiliser des données trouvées sur un site public ou un réseau professionnel ?
Le caractère public d'une donnée ne la fait pas sortir du RGPD. Une adresse nominative publiée sur un site reste une donnée personnelle, avec les mêmes obligations d'information et d'opposition. Deux points supplémentaires méritent attention : la finalité pour laquelle la donnée a été publiée, et les conditions d'utilisation de la plateforme, qui peuvent interdire l'extraction automatisée indépendamment du RGPD. Une donnée accessible n'est donc pas une donnée librement réutilisable. Sur l'étendue exacte de cette réutilisation, les lectures ne sont pas unanimes.
Quelles sanctions en cas de prospection non conforme ?
Le RGPD prévoit deux plafonds : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour certains manquements, jusqu'à 20 millions d'euros ou 4 % pour les plus graves, le montant le plus élevé des deux étant retenu. Ce sont des maxima, et non des montants types : la sanction effective tient compte de la gravité, du nombre de personnes concernées et de la coopération. En pratique, la difficulté se présente rarement sous la forme d'un contrôle, plus souvent sous celle d'une réclamation individuelle.
Qui est responsable en cas de réclamation : le vendeur du fichier ou l'acheteur ?
Chacun pour ce qui le concerne. Le fournisseur répond de la collecte des données et de la tenue de sa base : origine, base légale, information des personnes, traitement des oppositions reçues. L'acheteur répond de sa propre campagne : la pertinence de la sollicitation au regard de l'activité du destinataire, l'information délivrée dans le message, le respect des refus. Le contrat n'opère donc aucun transfert de responsabilité. C'est précisément pour cette raison que la traçabilité doit être exigible avant l'achat, et non après.
Méthodologie et sources
Textes cités :
- RGPD, art. 4.1 : définition de la donnée à caractère personnel.
- RGPD, art. 6.1.f : intérêt légitime comme base légale du traitement.
- RGPD, art. 14 : information des personnes quand les données ne sont pas collectées auprès d'elles.
- RGPD, art. 21 : droit d'opposition.
- Art. L34-5 CPCE : prospection directe par voie électronique.
- Loi du 30 juin 2025 contre toutes les fraudes aux aides publiques : dispositions sur le démarchage téléphonique entrées en vigueur le 11 août 2026.
- Doctrine de la CNIL en matière de prospection commerciale : durées de conservation et modalités d'information.
Volumes et taux : agrégats de notre propre base, construite à partir du répertoire SIRENE (INSEE), recalculés à chaque mise à jour. Les plafonds de sanction cités sont ceux prévus par le RGPD ; aucune décision individuelle n'est citée.
Limite assumée : ce guide expose un cadre général et ne remplace pas un avis juridique adapté à une situation particulière. Dernière mise à jour le 8 octobre 2026.
Une provenance conservée pour chaque ligne.
Nos fichiers sont constitués à partir de sources publiques françaises, avec une provenance conservée pour chaque enregistrement.