Une adresse professionnelle reste une donnée personnelle
Premier malentendu à lever : le fait qu'une adresse soit professionnelle ne la sort pas du RGPD. Une adresse de la forme prenom.nom@societe.fr désigne une personne physique identifiable, donc c'est une donnée personnelle, et l'ensemble des obligations s'y applique. La distinction utile n'est pas professionnel/personnel, elle est nominatif/générique. Une adresse générique — contact@, info@, commercial@ — ne désigne personne en particulier et relève de la personne morale : elle n'emporte pas les mêmes obligations. C'est d'ailleurs l'un des rares arguments en faveur des boîtes génériques, même si écrire là-bas revient le plus souvent à n'être lu par personne. Retenez donc la règle inverse de l'intuition commune : plus votre prospection est efficace — c'est-à-dire nominative — plus elle est encadrée. Ce n'est pas un obstacle, c'est simplement la contrepartie du fait que vous vous adressez à quelqu'un.
- prenom.nom@societe.fr identifie une personne : c'est une donnée personnelle
- contact@societe.fr ne désigne personne : le régime n'est pas le même
- La prospection nominative est la plus efficace, donc la plus encadrée
Pas de consentement préalable, mais trois conditions
Pour un envoi à un professionnel, le consentement préalable n'est pas exigé si trois conditions sont réunies simultanément. La personne doit être démarchée en sa qualité de professionnelle, sur une adresse professionnelle. Le message doit être en rapport avec ses fonctions : proposer un logiciel de gestion à une directrice administrative entre dans ce cadre, lui proposer une offre de loisirs n'y entre pas, même sur son adresse de travail. Et elle doit avoir été informée de l'utilisation de ses données, avec la possibilité de s'y opposer simplement, dès le premier message et à chaque envoi. Ces trois conditions ne sont pas alternatives : il faut les trois. Notez que la troisième est celle qu'on oublie le plus souvent, alors qu'elle est la moins coûteuse — deux phrases suffisent. À l'inverse, dès que vous visez des particuliers, ou une adresse personnelle, ou un sujet sans lien avec la fonction de la personne, vous basculez dans le régime du consentement préalable, qui est autrement plus exigeant.
- Démarchage en qualité de professionnel, sur une adresse professionnelle
- Message en rapport avec les fonctions exercées par la personne
- Information et possibilité de s'opposer, dès le premier message
L'information due quand la donnée ne vient pas de la personne
C'est le point le plus négligé de toute la démarche, et c'est aussi celui qui pose le moins de difficulté une fois compris. Quand vous collectez des coordonnées ailleurs qu'auprès de la personne concernée — dans un registre public, sur un site d'entreprise, dans un annuaire — celle-ci n'a par définition aucune idée que vous détenez ses données. Le RGPD prévoit donc que vous l'en informiez, et le premier message que vous lui adressez est le moment naturel pour le faire. Cette information doit dire qui vous êtes, pourquoi vous la contactez, d'où viennent ses coordonnées, combien de temps vous les conservez et comment exercer ses droits. En pratique, cela tient en un paragraphe court en bas de message, avec un lien vers votre politique de confidentialité. Le réflexe opérationnel qui rend tout cela tenable est de noter l'origine de chaque coordonnée au moment où vous l'enregistrez — registre public, site de l'entreprise, salon, recommandation. Reconstituer cette information six mois après est impossible ; l'inscrire au moment de la saisie coûte trois secondes.
- Qui vous êtes, pourquoi ce message, d'où viennent les données, combien de temps
- Le premier message est le bon moment pour informer
- Notez l'origine de chaque coordonnée à la saisie : c'est irrattrapable plus tard
L'opposition se traite tout de suite, et définitivement
Toute personne peut s'opposer à recevoir de la prospection, et en matière de démarchage commercial cette opposition ne se discute pas : il n'y a rien à mettre en balance, pas de motif à examiner, pas de délai à s'accorder. Concrètement, chaque message doit offrir un moyen simple de dire non — un lien de désinscription, ou à défaut une adresse de réponse clairement indiquée — et toute demande reçue doit être appliquée immédiatement et pour de bon. Trois erreurs se rencontrent souvent et sont toutes évitables. Supprimer purement et simplement la fiche : c'est le meilleur moyen de recontacter la personne dans six mois, puisque plus rien ne garde la trace de son refus ; il faut au contraire conserver la fiche et la marquer comme opposée. Traiter l'opposition sur une seule liste alors que la personne figure dans plusieurs : le refus vaut pour toute votre prospection, pas pour la campagne en cours. Et laisser passer une réponse manuscrite du type « merci de ne plus m'écrire » parce qu'elle n'est pas arrivée par le lien prévu : une opposition est valable quelle que soit sa forme.
- Un moyen simple de refuser dans chaque message, appliqué sans délai
- Marquer la fiche comme opposée — ne jamais la supprimer, sinon le refus s'oublie
- Le refus vaut pour toute votre prospection, pas pour une seule campagne
Ne pas conserver indéfiniment
Les données de prospection ne se gardent pas éternellement : le RGPD impose une durée de conservation limitée et proportionnée à la finalité. Pour un prospect qui n'a jamais donné suite, la CNIL retient comme repère une durée de trois ans à compter du dernier contact — un appel, un email ouvert, une réponse. Au-delà, la donnée doit être supprimée ou archivée. Ce repère est une recommandation qu'il faut adapter à votre activité : un cycle de vente long peut justifier une durée différente, à condition de pouvoir l'expliquer. Deux conséquences pratiques. D'abord, cette règle suppose que vous sachiez dater le dernier contact avec chaque prospect — ce qu'un tableur ne fait jamais correctement, et ce qui devient automatique dès lors que les échanges s'historisent sur la fiche. Ensuite, elle vous oblige à tenir un minimum de documentation sur ce que vous traitez et pourquoi : la CNIL met à disposition un modèle de registre simplifié adapté aux petites structures, largement suffisant pour une activité de prospection. Un outil de prospection comme ALKAE facilite ces deux points en gardant la date de dernier contact et l'origine de chaque fiche, mais aucun outil ne vous dispense de décider vos durées et de les écrire.
- Repère de la CNIL : trois ans à compter du dernier contact d'un prospect
- Cela suppose de savoir dater le dernier contact — un tableur ne le fait pas
- Un registre simplifié suffit pour une petite structure : la CNIL en publie un modèle
Ce que ça change dans votre façon de prospecter
Mises bout à bout, ces obligations dessinent une manière de travailler qui se trouve être aussi la plus efficace commercialement, ce qui est rarement le cas d'une contrainte réglementaire. Prospecter des cibles choisies plutôt que des volumes achetés vous permet de dire d'où vient chaque nom. Partir de sources publiques vous donne une réponse vérifiable à la question « où avez-vous eu mes coordonnées ». Historiser les échanges vous donne la date de dernier contact dont vous avez besoin, et vous évite de rappeler quelqu'un qui a déjà dit non. Marquer les oppositions plutôt que supprimer les fiches protège votre réputation autant que votre conformité. Autrement dit, le cadre pousse exactement dans la direction d'une prospection ciblée, tracée et suivie — celle qui obtient des réponses. C'est d'ailleurs l'argument à retenir si quelqu'un vous présente la conformité comme un frein : construire sa liste à partir de sources publiques coûte moins cher qu'un fichier acheté et vous met en règle par construction, alors qu'un fichier dont vous ignorez l'origine vous laisse porter une responsabilité que vous ne pouvez pas documenter.
- Cibler plutôt qu'acheter : vous savez d'où vient chaque nom
- Historiser : vous datez le dernier contact sans y penser
- Le cadre réglementaire et la prospection efficace vont dans le même sens