Tout ce que vous devez savoir sur la conformité RGPD avant d'acheter un fichier de prospects

L’achat de fichiers de prospects est une stratégie redoutable pour accélérer le développement de votre entreprise, mais elle ne peut se faire au détriment de la loi. En France et au sein de l'Union européenne, le traitement de données personnelles est strictement encadré par le RGPD et le Code des postes et des communications électroniques.

Pour éviter les sanctions de la CNIL (pouvant aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial), voici tout ce que vous devez impérativement savoir.

1. B2B vs B2C : La règle d'or

Le cadre juridique dépend du type de prospect que vous ciblez :

• Prospection B2B (Professionnelle) : La prospection par email est autorisée sans consentement préalable. Elle repose sur l'intérêt légitime (article 6.1.f du RGPD). Attention : cela ne concerne que les adresses professionnelles nominatives (ex: prenom.nom@entreprise.com). Les adresses génériques ou personnelles (ex: contact@, gmail.com, hotmail.fr) requièrent un consentement explicite (opt-in).

• Prospection B2C (Particuliers) : Le consentement explicite (opt-in) est obligatoire. Vous ne pouvez pas acheter un fichier de particuliers pour les démarcher par voie électronique sans qu'ils aient préalablement accepté de recevoir des offres de partenaires.

2. Les 4 obligations de l'acheteur (article 14 du RGPD)

Si vous achetez un fichier B2B, la loi vous impose de respecter ces quatre règles :

• La finalité : Votre prospection doit être en lien direct avec l'activité professionnelle du destinataire.

• Le droit d'opposition : Chaque message doit comporter un moyen simple, clair et gratuit de se désinscrire (lien de désabonnement).

• L'obligation d'information (Article 14) : Vous devez informer les personnes dont vous avez acheté les données de la provenance de celles-ci. Lors du premier contact, vous devez leur indiquer :

  • L'identité de votre entreprise ;

  • La source des données (le nom du site ou courtier qui a vendu le fichier, ex: fichierclient.com) ;

  • La finalité de votre démarche.

• La durée de conservation : Vous ne pouvez pas conserver les données d'un prospect inactif indéfiniment. La CNIL recommande de les supprimer au bout de 3 ans après le dernier contact.