Prospection B2B par e-mail et RGPD : ce qui est réellement permis

Toute équipe B2B se pose la même question avant sa première campagne : avons-nous le droit d'écrire à des entreprises qui ne nous ont rien demandé ? Dans la plus grande partie de l'Europe, la réponse est oui, sous conditions. Ces conditions occupent tout cet article.

La confusion vient presque toujours du mélange de deux textes. Le RGPD décide si vous pouvez détenir et utiliser les données. Les règles de prospection issues de la directive ePrivacy, transposées dans une loi nationale propre à chaque pays, décident si vous pouvez envoyer le message. Il faut satisfaire aux deux, et c'est sur le second point que les pays divergent.

Cet article est une information générale, pas un conseil juridique. Pour votre situation, consultez un avocat dans votre pays.

Une adresse d'entreprise et une personne nommée, ce n'est pas la même chose

Le RGPD protège les données personnelles : les informations relatives à une personne physique vivante, identifiée ou identifiable. Une entreprise n'est pas une personne. L'adresse du siège d'une boulangerie, son standard téléphonique et une boîte générique comme [email protected] appartiennent à une personne morale, et le règlement a donc beaucoup moins à en dire.

La frontière bouge dès qu'un être humain apparaît dans la fiche. Une adresse construite à partir d'un prénom et d'un nom est une donnée personnelle, tout comme une fiche indiquant « propriétaire : Maria Santos ». L'entrepreneur individuel est le cas le plus délicat : dans une entreprise d'une seule personne, l'adresse de la société est souvent celle de la personne, si bien qu'une même ligne de votre fichier est à la fois donnée d'entreprise et donnée personnelle.

Une règle utilisable par un non-juriste : traitez comme donnée personnelle toute fiche qui nomme un être humain, et privilégiez le canal que l'entreprise publie elle-même quand vous avez le choix.

L'intérêt légitime, la base habituelle de la prospection B2B

Le RGPD prévoit six bases légales. Pour la prospection à froid, deux seulement sont réalistes : le consentement, que par définition vous n'avez pas encore, et l'intérêt légitime.

Le considérant 47 indique que le traitement de données personnelles à des fins de prospection peut être considéré comme relevant d'un intérêt légitime. Notez le mot « peut ». Les autorités européennes ont été explicites : la prospection n'est pas légitime automatiquement, et il vous revient de le démontrer, par un test en trois volets :

• Un intérêt réel. Quelque chose de précis, d'actuel et de licite. « Nous vendons un logiciel de prise de rendez-vous aux cabinets dentaires et voulons toucher ceux de Lyon qui n'en ont pas » est un intérêt. « Nous voulons plus de leads » n'en est pas un.
• La nécessité. Pourriez-vous obtenir le même résultat avec moins de données personnelles ? Si une boîte générique de l'entreprise suffit, vous n'avez pas besoin de l'adresse d'une personne nommée.
• La mise en balance. Les droits et les attentes raisonnables de la personne l'emportent-ils sur votre intérêt ? Quelqu'un contacté sur une adresse professionnelle, à propos d'un sujet réellement lié à son poste, s'attend bien plus au message qu'un particulier chez lui.

Ce qui fait pencher la balance de votre côté n'a rien de spectaculaire : l'offre correspond à l'activité de l'entreprise, vous collectez le minimum, vous vous identifiez honnêtement, et dire non est simple et gratuit. Ce qui la fait pencher contre vous : une liste achetée, un expéditeur masqué et un formulaire de désinscription à trois champs.

Écrivez cette analyse avant la campagne, pas après une plainte. Une page suffit. Si vous ne pouvez pas expliquer pourquoi un boulanger s'attendrait à un e-mail sur un logiciel de boulangerie, vous n'avez pas de dossier.

L'obligation d'information quand les données ne viennent pas de la personne

L'article 14 décrit exactement la situation de la prospection à froid : vous avez obtenu des données personnelles ailleurs qu'auprès de la personne concernée, par exemple dans une fiche publique ou sur le site d'une entreprise. Dans ce cas, vous lui devez une information.

La liste est fixe : qui vous êtes et comment vous joindre, les finalités et la base légale, les catégories de données que vous détenez, qui d'autre les reçoit, combien de temps vous les conservez, d'où elles viennent et si la source était publique, ainsi que ses droits : accès, rectification, effacement, limitation, opposition et réclamation auprès d'une autorité de contrôle. Si vous vous appuyez sur l'intérêt légitime, nommez cet intérêt.

C'est le calendrier que l'on comprend mal. Le principe est un délai raisonnable et au plus tard un mois après l'obtention des données. Mais si vous utilisez les données pour communiquer avec la personne, l'échéance avance jusqu'à la première communication. En prospection par e-mail, c'est le premier e-mail lui-même, pas le deuxième.

En pratique, un court paragraphe en bas du message suffit : qui vous êtes, où vous avez trouvé l'entreprise, pourquoi vous écrivez, et un lien vers une page de confidentialité qui porte la liste complète. L'article 14 prévoit des exceptions, dont l'effort disproportionné, mais n'appuyez pas votre prospection dessus. Écrire le paragraphe coûte moins cher que discuter de l'exception.

La couche ePrivacy, et pourquoi le pays décide

Même avec un intérêt légitime solide, l'envoi lui-même relève des règles de prospection électronique. Elles sont arrivées sous forme de directive européenne et non de règlement : chaque pays a donc écrit sa propre version, et ces versions diffèrent réellement. Trois aperçus, à grands traits.

Les Pays-Bas. Les règles anti-spam figurent dans la loi sur les télécommunications et sont appliquées par l'ACM, l'autorité de la consommation et des marchés. Une idée reçue tenace veut que l'interdiction néerlandaise ne protège que les consommateurs. C'est faux : elle couvre aussi les entreprises, donc le point de départ pour écrire à une société est le consentement, avec des exceptions étroites comme une relation client existante. Dans tous les cas, l'expéditeur doit être clairement identifiable et chaque message doit offrir une désinscription rapide et gratuite.

L'Allemagne. Le plus strict des trois. La publicité par e-mail y exige en principe un consentement préalable exprès au titre du droit de la concurrence déloyale, les tribunaux n'ont pas créé d'exception générale pour les destinataires professionnels ni pour les boîtes génériques, et la charge de la preuve du consentement pèse sur l'expéditeur. Traitez l'Allemagne comme un marché où le consentement passe d'abord.

La France. Le plus praticable des trois en B2B. La CNIL admet que la prospection d'un professionnel sur une adresse professionnelle peut reposer sur l'intérêt légitime, dès lors que le message est en rapport avec la fonction de la personne, que l'expéditeur est identifiable et que chaque message offre un moyen simple et gratuit de s'opposer. Les adresses génériques comme contact@ ou info@ relèvent de l'entreprise et non d'un individu.

Une distinction compte partout : plusieurs pays traitent l'entrepreneur individuel comme un consommateur, parce qu'une entreprise d'une seule personne est juridiquement une personne physique. Si votre fichier ne distingue pas une société d'un entrepreneur individuel, appliquez la règle la plus stricte à cette ligne.

Segmentez donc par pays avant l'envoi, pas après. Là où le consentement est de fait exigé, passez d'abord par un autre canal et gardez la prospection par e-mail pour les pays à régime d'opposition.

Registre, demandes de suppression et liste repoussoir

Registre des traitements. L'article 30 demande au responsable de traitement de tenir un registre écrit : finalités, catégories de données et de personnes, destinataires, durées de conservation, transferts et description générale de vos mesures de sécurité. Une exception existe pour les organismes de moins de 250 salariés, mais elle tombe dès que le traitement est régulier plutôt qu'occasionnel. Un programme de prospection continu est régulier par définition : tenez le registre.

Demandes de suppression. Quand quelqu'un répond « retirez-moi de votre liste », c'est une opposition. En prospection, l'opposition est absolue : pas de mise en balance, vous arrêtez. Agissez vite, ne demandez pas de motif et n'exigez pas de pièce d'identité quand la demande vient de l'adresse concernée.

La liste repoussoir. C'est le piège. Si vous honorez « supprimez-moi » en effaçant toute la fiche, vous retrouverez la même entreprise dans votre recherche du trimestre suivant et vous lui écrirez de nouveau. Conservez le strict minimum permettant de reconnaître l'adresse, dans une liste distincte qui ne sert qu'à bloquer l'envoi, et contrôlez chaque campagne contre elle. Ce champ unique n'est pas une violation de la demande d'effacement, c'est ce qui vous permet de tenir la promesse.

Ce que la règle exige, et comment Leadralia le traite

Comment Leadralia intègre tout cela

Ce sont des comportements du produit, pas des promesses sur une page de politique.

Uniquement des données publiques d'entreprise. Chaque fiche vient de ce que l'entreprise publie sur elle-même : sa fiche publique et son propre site. Aucune base achetée, aucun courtier en données, et c'est pourquoi la ligne « source » de votre mention article 14 est courte et vraie.

La source et la porte de sortie partent avec le message. Chaque message se termine par une phrase d'une ligne sur la source (les coordonnées de l'entreprise proviennent de sources publiques en ligne) et par une ligne qui dit : envoyez « non » à cette adresse et vous ne recevrez plus rien. Tout ce qui arrive à cette adresse est traité automatiquement, pour tous les expéditeurs de Leadralia, et les e-mails vers la Belgique portent en plus un lien de désinscription. Vous ne pouvez donc pas envoyer par inadvertance une campagne sans elles.

Vérification avant, trace après. Les adresses sont vérifiées avant que l'envoi soit possible, les rejets définitifs sont mémorisés, et chaque débit et chaque remboursement figurent dans l'historique de votre portefeuille.

Le retrait est en libre-service et immédiat. Une entreprise qui ne veut pas figurer dans le système le dit via un portail de droits sur le site, et cela prend effet aussitôt. Leadralia ne vend jamais de données et travaille sous le RGPD.

Pour le reste du produit en mots simples, lisez ce que fait Leadralia.

Checklist de prospection par e-mail

Reprenez-la et déroulez-la avant chaque campagne.

1. Rédigez l'analyse d'intérêt légitime : l'intérêt, pourquoi les données sont nécessaires, pourquoi le destinataire s'attendrait au message.
2. Vérifiez les règles de chaque pays du fichier et scindez la liste. Les marchés à consentement préalable ne reçoivent pas de prospection à froid.
3. Repérez les entrepreneurs individuels. Si vous ne distinguez pas une société d'une entreprise d'une seule personne, appliquez la règle la plus stricte.
4. Préférez le canal publié par l'entreprise à l'adresse d'une personne nommée.
5. Rendez l'offre pertinente pour ce type d'activité. Si le même message convient à tous les secteurs, la mise en balance ne le sauvera pas.
6. Mettez la mention article 14 dans le premier message, avec un lien vers l'information complète.
7. Donnez dans chaque message un moyen simple et gratuit de dire non et testez-le vous-même.
8. Identifiez-vous honnêtement : nom d'expéditeur réel, société réelle, adresse de réponse lue par un humain.
9. Vérifiez les adresses pour ne pas écrire à des boîtes mortes.
10. Passez la campagne au filtre de votre liste repoussoir et ajoutez chaque désinscription le jour même.

Questions fréquentes

Faut-il un consentement pour la prospection B2B par e-mail dans l'Union européenne ?

Au titre du RGPD, le plus souvent non : l'intérêt légitime est la base habituelle d'une prospection B2B pertinente, à condition de pouvoir démontrer le test en trois volets et d'offrir une désinscription facile. Au titre des règles nationales de prospection, cela dépend du pays. L'Allemagne exige de fait un consentement préalable, les Pays-Bas prennent le consentement comme point de départ y compris pour les destinataires professionnels, et la France admet l'opposition a posteriori sur les adresses professionnelles quand le message est lié à la fonction de la personne.

Que doit contenir exactement le premier e-mail ?

Qui vous êtes et comment vous joindre, pourquoi vous écrivez et sur quelle base légale, où vous avez obtenu les coordonnées et le fait que la source était publique, la durée de conservation, les droits du destinataire dont l'opposition et la réclamation, et un moyen simple et gratuit de dire non, qui fonctionne. Un court paragraphe et un lien vers une page de confidentialité suffisent.

Une personne demande la suppression. Faut-il effacer la fiche ou la garder ?

Arrêtez immédiatement tout envoi et supprimez la fiche de prospection, mais conservez le minimum permettant de reconnaître l'adresse dans une liste repoussoir. C'est le seul moyen d'être certain de ne plus la recontacter après que la prochaine recherche aura rafraîchi vos données. Notez la demande et sa date.

L'essentiel

La prospection B2B par e-mail est licite dans la plupart des pays européens et réellement utile, à condition de la traiter comme une activité encadrée et non comme un jeu de volumes. Ayez un intérêt réel, écrivez à des gens pour qui c'est pertinent, dites dès le premier message où vous les avez trouvés, rendez le refus immédiat, respectez les refus pour toujours, et vérifiez d'abord les règles nationales.

Leadralia a placé ces étapes dans le produit : uniquement des données publiques d'entreprise, une phrase sur la source et une désinscription par un simple « non » dans chaque message, la vérification avant l'envoi, un retrait immédiat en libre-service et aucune revente de données. Pour voir à quoi ressemble une liste propre de votre marché, lancez une recherche gratuitement. Sans carte bancaire.