Prospection commerciale et CNIL
les règles qui s’appliquent vraiment
Le sujet se résume presque partout à une case à cocher. Il tient en réalité à ce qu’on annonce, à qui l’on écrit, ce qu’on fait d’un refus et ce qu’on garde.
La CNIL n’autorise aucune campagne : elle contrôle et sanctionne le respect des règles sur les données personnelles. Vers un particulier, la sollicitation électronique suppose un consentement préalable, sauf pour un client existant démarché sur des produits analogues. Vers un contact professionnel, l’envoi est possible sans recueil préalable si le message porte sur son activité, à condition qu’il ait été informé et puisse s’opposer. Dans tous les cas, l’information est due dès la collecte, un moyen de refus doit figurer dans chaque message, et un prospect ne se conserve pas indéfiniment.
- Particulier : consentement préalable, sauf exception clients existants.
- Professionnel : envoi possible si le message est en rapport avec sa fonction.
- À la collecte : qui traite, pour quoi, sur quelle base, combien de temps.
- Après un refus : liste d’opposition, jamais une simple suppression.
Ce que la CNIL encadre, et ce qu’elle ne fait pas
Premier malentendu à lever : la CNIL n’autorise pas les campagnes de prospection. Elle ne délivre aucun agrément, ne valide aucun fichier, ne vise aucun message avant envoi. Elle veille au respect des règles applicables aux données personnelles, publie une doctrine qui dit comment elle les interprète, instruit les plaintes, contrôle et sanctionne. Une entreprise ne demande donc pas l’autorisation : elle se met en conformité, et doit pouvoir le démontrer si on le lui demande.
Deuxième chose utile à saisir, parce qu’elle explique presque toutes les confusions du sujet : deux corps de règles se superposent. Le premier gouverne le fichier lui-même — comment les coordonnées ont été obtenues, pour quoi elles sont utilisées, combien de temps elles sont gardées, quels droits la personne conserve dessus. Le second gouverne l’acte d’envoi, et distingue selon le canal et selon le destinataire. On peut détenir un fichier régulièrement constitué et envoyer un message qui ne l’est pas ; l’inverse est vrai aussi.
Le contrôle peut déboucher sur une mise en demeure, puis sur une injonction de cesser le traitement et sur une sanction financière, dont le plafond est fixé en pourcentage du chiffre d’affaires mondial. La CNIL peut également rendre sa décision publique — conséquence souvent plus lourde, en pratique, que la sanction elle-même.
Particulier ou professionnel
la ligne qui change tout
C’est la distinction qui commande tout le reste, et elle est presque toujours mal posée. Pour une sollicitation commerciale électronique adressée à une personne physique — courriel, message texte, appel automatisé —, le principe est celui du consentement préalable : la personne doit avoir manifesté son accord, de façon libre, spécifique et non ambiguë. Une case déjà cochée ne vaut pas accord, pas plus qu’une inscription à une newsletter détournée en fichier de prospection.
Ce principe connaît une exception importante, souvent appelée exception clients existants. Lorsque les coordonnées ont été recueillies à l’occasion d’une vente ou d’une prestation, la personne peut être sollicitée pour des produits ou services analogues à ceux qu’elle a déjà obtenus, à condition qu’elle ait été informée et qu’un moyen de refus lui ait été offert dès la collecte, puis dans chaque message. Le mot qui compte est analogues : il ne couvre pas le catalogue entier.
Le cas professionnel obéit à une autre logique, et il faut en finir avec l’idée que le B2B serait une zone franche. Une adresse nominative en entreprise reste une donnée personnelle, et l’ensemble des obligations relatives au fichier s’y applique intégralement. Ce qui change tient à l’envoi, et à une condition précise : le message doit être en rapport avec la fonction exercée par la personne destinataire. Un logiciel de facturation proposé à un responsable comptable relève de ce régime ; une publicité pour un séjour de vacances envoyée à la même adresse professionnelle, non. Les obligations d’information et de refus simple, elles, ne disparaissent pas.
Un dernier cas mérite d’être posé, parce qu’il concerne beaucoup d’entreprises et qu’il tourne mal régulièrement : les fichiers acquis auprès de tiers. Acheter ou louer un fichier ne transfère pas la responsabilité avec les données. Celui qui exploite le fichier doit pouvoir établir d’où viennent les coordonnées, quelle information a été délivrée aux personnes au moment de la collecte, et si la finalité annoncée alors couvrait bien une transmission à des tiers. À défaut, l’exploitation se fait sur une base fragile, quelles que soient les assurances données par le vendeur.
| Canal | Vers un particulier | Vers un contact professionnel |
|---|---|---|
| Courriel et message texte | Consentement préalable, sauf exception clients existants sur des produits analogues | Possible sans recueil préalable si le message est en rapport avec la fonction exercée |
| Appel téléphonique par un opérateur | Sans recueil préalable, mais interrogation obligatoire de la liste d’opposition et respect du cadre réglementaire des appels | Régime plus souple, l’objet de l’appel devant rester lié à l’activité professionnelle |
| Appel automatisé et courrier postal | Consentement préalable pour l’automate ; information et droit d’opposition pour le courrier | Information et droit d’opposition, l’automate restant soumis au recueil préalable |
Dans tous les cas de figure du tableau, les obligations relatives au fichier — information, base légale, durée de conservation, droits des personnes — s’appliquent sans exception. Ce sont les modalités d’envoi qui varient, jamais le régime des données.
Ce qu’il faut annoncer au moment de la collecte
C’est l’obligation la plus systématiquement négligée, parce qu’elle intervient à un moment où l’on pense encore à autre chose. L’information est due quand les coordonnées sont recueillies — sur le formulaire, au salon, au téléphone —, et non au premier message envoyé trois mois plus tard.
L’identité et la finalité
Qui traite les données, et pour quel usage précis. « Améliorer nos services » ne constitue pas une finalité : la prospection commerciale doit être annoncée comme telle.
La base légale et la durée
La base légale est la justification juridique du traitement — le plus souvent le consentement de la personne ou l’intérêt légitime de l’entreprise. Elle se choisit avant la collecte, pas après. La durée de conservation s’annonce en même temps.
Les droits et leur exercice
Accès, rectification, effacement, opposition : la personne conserve ces droits, et doit savoir à qui s’adresser pour les exercer. Le moyen indiqué doit fonctionner.
Trois précisions valent d’être ajoutées. Cette information doit être accessible au moment de l’acte : un lien vers une politique de confidentialité complète est admis, à condition qu’il soit visible et que l’essentiel figure à l’écran. Le recueil, quand il est requis, doit être distinct de l’acceptation des conditions générales — un accord global ne vaut pas accord spécifique. Enfin, il faut être en mesure de prouver que la personne a bien consenti, ce qui suppose de conserver une trace de la date, du support et du libellé exact affiché.
Le droit d’opposition et le désabonnement
Une personne peut demander à ne plus être contactée, à tout moment, sans avoir à se justifier. La demande est gratuite, et le moyen de l’exercer doit figurer dans chaque message, sous une forme réellement fonctionnelle : un lien qui renvoie vers un formulaire de connexion, ou une adresse qui n’est pas relevée, ne remplit pas l’obligation.
Pour les demandes d’exercice de droits en général — accès aux données, rectification, effacement, opposition —, le principe est une réponse dans un délai d’un mois. Ce délai peut être prolongé lorsque la demande est complexe ou les demandes nombreuses, à condition d’en informer la personne.
Reste l’erreur la plus fréquente, et elle est contre-intuitive. Face à une demande de désabonnement, le réflexe consiste à supprimer le contact du fichier. C’est précisément ce qu’il ne faut pas faire seul : effacé, le contact reviendra au prochain import de fichier ou à la prochaine collecte, et la personne sera sollicitée de nouveau. La bonne pratique consiste à tenir une liste d’opposition, conservée pour l’unique finalité de ne plus contacter ces personnes, et confrontée à chaque campagne. C’est le seul cas où l’on garde une donnée dans le but exprès de ne pas s’en servir.
Combien de temps garder un fichier de prospects
Une donnée ne se conserve pas indéfiniment au motif qu’elle pourrait resservir. Une durée doit être définie à l’avance, en fonction de la finalité, et documentée — pas constatée après coup lors d’un contrôle.
Pour les prospects, la CNIL retient comme durée de référence trois ans à compter du dernier contact émanant de la personne : un clic, une réponse, une demande de documentation. Une ouverture de message ou un envoi resté sans réaction ne fait pas repartir le compteur, ce qui est le point le plus souvent mal compris. Au terme, les coordonnées doivent être supprimées, ou anonymisées si l’on souhaite conserver des données statistiques — l’anonymisation devant être réelle, c’est-à-dire empêcher de remonter à la personne.
Les données de clients suivent une autre logique, liée notamment à la durée de la relation contractuelle et aux obligations légales de conservation qui pèsent sur certains documents. Confondre les deux régimes conduit à garder des prospects sous prétexte qu’on garde des factures. La doctrine de la CNIL évoluant, ces durées se vérifient sur le site de l’autorité au moment où l’on définit sa politique.
Le téléphone, un régime à part
L’appel commercial obéit à des règles supplémentaires, distinctes de celles du courriel. Un professionnel qui démarche par téléphone doit s’assurer que les numéros appelés ne figurent pas sur la liste d’opposition au démarchage téléphonique, sauf lorsqu’une relation contractuelle est en cours avec la personne. L’appelant doit par ailleurs se présenter et indiquer l’objet de son appel dès le début de la conversation.
S’ajoute un encadrement réglementaire des jours, des plages horaires et du nombre de tentatives admises sur une période donnée. Ces paramètres ont été resserrés à plusieurs reprises, et le cadre du démarchage téléphonique a connu des évolutions législatives récentes, y compris dans le sens d’une exigence de consentement préalable. C’est la raison pour laquelle aucun horaire ni aucune fréquence n’est cité ici : un chiffre figé dans un article aurait toutes les chances d’être faux au moment où vous le lisez. L’état du droit applicable se vérifie à la date de la campagne, auprès de l’autorité et du texte en vigueur.
Trois obligations complètent ce cadre, et ce ne sont pas des recommandations : conserver la trace des appels passés et des refus exprimés, ne jamais rappeler une personne qui s’est opposée, et traiter les demandes reçues par téléphone avec la même rigueur que celles reçues par écrit.
Ce texte décrit un cadre général et ne remplace pas un conseil adapté à une situation particulière. La doctrine de la CNIL comme les règles applicables au démarchage évoluent : leur état se vérifie auprès de l’autorité avant d’arrêter une politique de prospection.
Peut-on envoyer un e-mail de prospection sans consentement ?
À un particulier, non : le principe est le consentement préalable, sauf si les coordonnées ont été recueillies lors d’une vente et que le message porte sur des produits ou services analogues. À un contact professionnel, l’envoi est possible sans recueil préalable si le message concerne son activité, qu’il a été informé et qu’il peut s’opposer simplement.
Le B2B échappe-t-il aux règles sur les données personnelles ?
Non. Une adresse nominative en entreprise reste une donnée personnelle : information à la collecte, base légale, durée de conservation et droits de la personne s’appliquent intégralement. Ce qui diffère, c’est le régime de l’envoi, allégé lorsque la sollicitation est en rapport avec la fonction exercée.
Combien de temps peut-on conserver un prospect inactif ?
La CNIL retient comme durée de référence trois ans à compter du dernier contact venant de la personne — un clic, une réponse, une demande. Un envoi resté sans réaction ne relance pas ce délai. Au terme, les données doivent être supprimées ou réellement anonymisées, et la durée retenue doit être documentée à l’avance.
Que faire quand une personne demande à ne plus être contactée ?
Cesser les envois et l’inscrire sur une liste d’opposition, plutôt que de la supprimer purement du fichier : effacé, le contact reviendra au prochain import. Cette liste se conserve pour la seule finalité de ne plus solliciter ces personnes, et se confronte à chaque campagne.
Peut-on utiliser un fichier acheté à un tiers ?
Pas sans vérification : la responsabilité ne se transfère pas avec le fichier. Il faut pouvoir établir l’origine des coordonnées, l’information délivrée aux personnes lors de la collecte, et le fait que la finalité annoncée couvrait une transmission à des tiers. Les assurances du vendeur ne suffisent pas.
Rien de tout cela ne demande un dispositif lourd. Quatre gestes tenus — annoncer à la collecte, trier ses destinataires, honorer les refus, purger ce qui a dépassé sa durée — suffisent à faire la différence entre une prospection défendable et une prospection qui tient tant que personne ne regarde.