Achat fichier entreprises légal RGPD : peut-on acheter des données en France ?

1. Le cadre légal : RGPD et loi Informatique et Libertés

En France, le règlement général sur la protection des données, ou RGPD, s’articule avec la loi Informatique et Libertés. La CNIL est l’autorité de contrôle compétente. Ces textes encadrent les traitements de données concernant des personnes physiques identifiables, y compris dans leur activité professionnelle. Ils ne rendent pas illégal tout commerce de données, mais imposent de justifier et d’encadrer leur utilisation.

Il faut distinguer les informations sur une personne morale des données concernant ses salariés, dirigeants ou entrepreneurs individuels. Une dénomination sociale ne présente pas les mêmes enjeux qu’un nom associé à une adresse électronique. Le caractère public d’une information ne signifie pas qu’elle peut être réutilisée sans condition : la finalité, les attentes des personnes et leurs droits restent déterminants.

Avant l’achat, demandez des précisions sur l’origine des données, les conditions de collecte, leur actualisation et l’information des personnes. Une mention commerciale de conformité ne remplace pas ces vérifications. Lorsque vous choisissez les objectifs et les moyens de votre campagne, vous êtes responsable de ce traitement et devez pouvoir expliquer vos décisions.

2. L’intérêt légitime en B2B : une base à démontrer

L’article 6(1)(f) du RGPD permet de fonder certains traitements sur l’intérêt légitime. La prospection commerciale peut relever de cette base, mais pas automatiquement. Définissez l’intérêt poursuivi, vérifiez que le traitement est nécessaire et mettez cet intérêt en balance avec les droits et libertés des personnes. Consignez cette analyse plutôt que de vous limiter à une formule générale.

La pertinence professionnelle de l’offre, le contexte de collecte et le caractère raisonnablement attendu du contact comptent dans cette appréciation. Une proposition directement liée aux fonctions du destinataire est plus facile à justifier qu’une campagne indifférenciée. Limitez les informations conservées, prévoyez une durée adaptée et évitez de multiplier les sollicitations après une absence de réponse.

Lorsque les données n’ont pas été recueillies auprès de la personne, l’article 14 prévoit une obligation d’information. Présentez notamment votre identité, les finalités, la base légale, les catégories de données, leur source, les destinataires, la conservation et les droits. Respectez les délais applicables ; si vous contactez la personne, fournissez cette information au plus tard lors de la première communication, sous réserve des exceptions légales.

L’opposition à la prospection doit être simple et effectivement appliquée. Conservez les seules informations nécessaires pour éviter une nouvelle sollicitation. Une base d’entreprises pour le marketing constitue un outil de sélection, pas une preuve que chaque destinataire peut être contacté pour n’importe quelle offre.

3. Prospection par e-mail : les conditions françaises

Selon la CNIL, la prospection de professionnels à leur adresse professionnelle peut être réalisée sans consentement préalable lorsque le message est en rapport avec leur profession et qu’un droit d’opposition est prévu. Cette approche s’inscrit dans le cadre de l’article L34-5 du Code des postes et des communications électroniques. Elle ne dispense pas de respecter le RGPD lorsqu’une personne est identifiable.

Le lien entre l’offre et l’activité du destinataire doit être concret. Proposer un équipement professionnel adapté à son métier ne revient pas à lui adresser une offre de consommation privée. Si la fonction ou le contexte d’utilisation de l’adresse est incertain, qualifiez le contact avant l’envoi. Le seul domaine de messagerie d’une entreprise ne suffit pas à établir la pertinence du message.

Identifiez clairement l’annonceur et proposez dans chaque message un moyen simple et gratuit de refuser les sollicitations futures. Testez ce mécanisme et répercutez les refus dans les outils utilisés par votre équipe. Avant d’importer un fichier e-mail d’entreprises, écartez les contacts déjà opposés et préparez une information accessible sur le traitement des données.

4. Téléphone et démarchage : distinguer B2B et consommateurs

Bloctel concerne les consommateurs, et non la prospection B2B. Cette distinction dépend du contexte réel de l’appel : joindre un professionnel pour un besoin lié à son activité ne se confond pas avec lui vendre un produit à titre personnel. L’étiquette « entreprise » dans un fichier ne suffit donc pas à qualifier toute sollicitation de professionnelle.

Un numéro direct ou mobile peut être une donnée personnelle. Vérifiez sa pertinence, identifiez votre organisation dès le début de l’échange et expliquez l’objet professionnel de l’appel. Respectez les refus, sans imposer à la personne de répéter son opposition auprès de chaque commercial. Un prestataire chargé des appels doit recevoir les consignes nécessaires et les listes d’exclusion actualisées.

Si la campagne vise aussi des particuliers, réexaminez les règles applicables aux consommateurs au moment du lancement. Ne transposez pas l’exclusion du B2B du dispositif Bloctel à tous les usages téléphoniques : les appels automatisés et les autres canaux peuvent relever d’exigences différentes. En cas d’incertitude sur le destinataire, suspendez le contact le temps de le qualifier.

5. Données d’entreprise ou données personnelles ?

La qualification dépend de la possibilité d’identifier une personne physique, directement ou indirectement. Un même fichier peut contenir les deux catégories. Examinez les champs ensemble : une donnée apparemment générale peut devenir personnelle lorsqu’elle est reliée à un nom ou à l’activité d’un entrepreneur individuel.

6. Liste de contrôle : six étapes avant la prospection

Appliquez ces vérifications avant l’importation dans votre outil commercial. Attribuez chaque tâche à une personne identifiée et conservez les éléments utiles pour expliquer vos choix. La conformité doit se poursuivre après le lancement : un fichier correctement acquis peut être utilisé de manière inadaptée.

1. Définir la campagne. Précisez l’offre, les professions concernées et les canaux envisagés. Écartez les destinataires pour lesquels le lien professionnel n’est pas suffisamment établi.
2. Examiner le fichier. Vérifiez la provenance, les conditions de collecte, l’actualisation et les catégories de données. Demandez les explications manquantes avant d’utiliser les coordonnées.
3. Documenter la base légale. Si vous retenez l’intérêt légitime, consignez la finalité, la nécessité et la mise en balance. Contrôlez séparément les exigences du canal choisi.
4. Préparer l’information. Rédigez une notice compréhensible couvrant notamment la source des données et les droits. Rendez-la accessible au moment requis, sans dissimuler l’identité de l’annonceur.
5. Organiser les oppositions. Testez le désabonnement, centralisez les refus et excluez les personnes concernées des campagnes suivantes. Prévoyez aussi le traitement des demandes reçues par téléphone.
6. Sécuriser et réévaluer. Limitez les accès au fichier, encadrez les prestataires et fixez une conservation justifiée. Actualisez les données et supprimez celles qui ne sont plus nécessaires.

7. Un guide informatif, pas un avis juridique

Ce guide présente des repères généraux et ne constitue pas un conseil juridique ni une validation de votre campagne. Les règles et leur interprétation peuvent évoluer. Consultez les recommandations de la CNIL et faites examiner les situations particulières par votre délégué à la protection des données ou un professionnel du droit.

Questions fréquentes sur le RGPD et la prospection B2B

Bases et ressources pour préparer votre prospection

• Base de données d’entreprises françaises
• Base d’entreprises pour la vente
• Fichier de prospection
• Acheter un fichier de prospects
• Trouver des adresses e-mail d’entreprises
• Méthodologie des données