L'essentiel à retenir
- Principe La prospection électronique adressée aux particuliers repose en principe sur un consentement préalable conforme au RGPD.
- Exception Une prospection peut être réalisée sans nouveau consentement auprès des clients existants, sous certaines conditions strictes.
- Conformité Une démarche conforme suppose une collecte transparente, une gestion des oppositions et un encadrement des outils marketing.
- Sous-traitants Les plateformes CRM, emailing et marketing automation doivent être encadrées par un contrat conforme à l'article 28 du RGPD.
- Vigilance L'achat d'une base de données n'exonère jamais son acquéreur de vérifier la licéité de la collecte et de la réutilisation des données.
La prospection commerciale constitue un levier de développement stratégique pour les structures à impact. Elle permet de mobiliser des bénéficiaires, partenaires ou clients autour d'un projet.
Mais derrière cette apparente simplicité se cache un cadre juridique exigeant. Entre le règlement général sur la protection des données (RGPD) et les règles spécifiques aux communications électroniques, les risques de non-conformité sont fréquents et parfois sous-estimés.
L'enjeu dépasse la seule conformité. Une prospection mal maîtrisée peut fragiliser la confiance, exposer à des sanctions et nuire durablement à la réputation d'une organisation.
Ce guide propose une lecture structurée et opérationnelle pour aligner vos pratiques de prospection avec les exigences actuelles.
Prospection commerciale : de quoi parle-t-on réellement ?
La prospection commerciale désigne toute action visant à promouvoir, directement ou indirectement, des biens, services ou causes auprès d'une personne.
Elle recouvre une grande diversité de formats, notamment :
- les emails marketing ;
- les SMS ou MMS ;
- les appels téléphoniques automatisés ou humains ;
- les messages via les réseaux sociaux ;
- les campagnes ciblées.
Selon la CNIL, le critère déterminant n'est pas le canal utilisé mais l'intention promotionnelle.
Dans le contexte numérique, cette notion recoupe systématiquement un traitement de données à caractère personnel. À ce titre, elle entre pleinement dans le champ du RGPD et implique deux niveaux de contraintes :
- la licéité du traitement des données imposée par le RGPD ;
- la réglementation spécifique des communications électroniques organisée par le Code des postes et des communications électroniques.
Le cadre juridique de la prospection commerciale
Le principe
En droit français, la prospection électronique auprès des particuliers repose sur un principe central : le recueil préalable du consentement de la personne concernée. Cette exigence résulte à la fois du RGPD et de l'article L.34-5 du Code des postes et des communications électroniques.
Pour être valable, ce consentement doit satisfaire quatre conditions cumulatives :
- Un consentement libre : la personne doit pouvoir accepter ou refuser sans contrainte. L'accès à un service ne peut, sauf cas particulier justifié, être conditionné à l'acceptation de la prospection commerciale.
- Un consentement spécifique : le consentement doit porter sur une finalité déterminée. Le Conseil d'État rappelle que chaque finalité de traitement implique un consentement distinct (CE, 19 juin 2020, n° 434684).
- Un consentement éclairé : la personne doit disposer, préalablement, d'une information claire sur l'identité de l'émetteur, la finalité des messages et les modalités du traitement.
- Un consentement univoque : le consentement doit résulter d'un acte positif clair. Une absence d'action, une case précochée ou une formulation ambiguë ne permettent pas de caractériser un consentement valide.
À noter
La condition de « spécificité » s'apprécie au regard de la finalité poursuivie et non des canaux utilisés. Ainsi, lorsqu'une même finalité de prospection est poursuivie via plusieurs canaux (email, SMS, téléphone), un seul consentement peut suffire, à condition qu'il soit formulé de manière suffisamment claire et couvrante.
Les exceptions à connaître
Certaines situations permettent de prospecter sans consentement préalable.
La principale exception concerne la relation client existante.
Une organisation peut adresser des communications commerciales sans consentement préalable si :
- les coordonnées ont été collectées dans le cadre d'une vente ;
- la prospection concerne des produits ou services similaires ;
- la personne a été informée dès la collecte ;
- une possibilité d'opposition simple est offerte à chaque envoi.
Cette exception reste strictement interprétée. Elle ne couvre pas :
- les changements de finalité ;
- les offres de partenaires ;
- les bases de données achetées.
Mettre en place une prospection conforme : guide pratique
La conformité ne repose pas uniquement sur des mentions juridiques. Elle implique des choix organisationnels structurants qui doivent être intégrés dès la conception de vos campagnes.
Cartographier vos pratiques de prospection
La première étape consiste à identifier précisément :
- les canaux utilisés ;
- les bases de données exploitées ;
- les sources de collecte ;
- les finalités poursuivies ;
- les prestataires impliqués.
Cette cartographie permet d'identifier rapidement les risques de non-conformité et facilite la tenue du registre des traitements.
Elle rejoint la méthodologie présentée dans notre guide consacré au RGPD pour les structures de l'ESS.
Structurer la collecte du consentement
Le consentement ne se résume pas à une case à cocher. Il doit être précédé d'une information claire permettant à la personne de comprendre précisément l'utilisation de ses données.
Intégrer un bloc d'information préalable
Avant toute demande de consentement, la personne doit disposer d'une information facilement accessible comprenant notamment :
- l'identité du responsable de traitement ;
- la finalité de la prospection ;
- la base légale du traitement ;
- les destinataires des données ;
- la durée de conservation ;
- les droits des personnes concernées ;
- un lien vers la politique de confidentialité.
Cette information doit être présentée de manière claire, lisible et immédiatement accessible.
Concevoir des cases de consentement valides
Chaque case de consentement doit respecter plusieurs exigences cumulatives.
- Elle doit être décochée par défaut.
- Son libellé doit mentionner explicitement la prospection commerciale.
- La structure qui réalisera les envois doit être clairement identifiée.
- La possibilité de retirer son consentement à tout moment doit être rappelée.
Exemple pour l'email :
☐ Je consens à recevoir par email des offres commerciales de la part de [Nom de votre structure]. Je peux retirer mon consentement à tout moment via le lien de désinscription présent dans chaque email.
Exemple pour les SMS et les appels :
☐ Je consens à être contacté(e) par SMS et par téléphone par [Nom de votre structure] afin de recevoir des offres commerciales. Je peux retirer mon consentement à tout moment.
À noter
Lorsqu'un même consentement couvre plusieurs canaux de communication, sa rédaction doit être particulièrement claire afin que la personne comprenne précisément l'étendue de son accord.
Faciliter le retrait du consentement
Le consentement n'est jamais définitif. La personne concernée doit pouvoir le retirer à tout moment, gratuitement et aussi facilement qu'elle l'a donné.
En pratique, cela implique notamment :
- l'insertion d'un lien de désinscription dans chaque email ;
- la possibilité de répondre « STOP » pour les SMS ;
- la prise en compte immédiate des demandes d'opposition formulées par téléphone ;
- la mise à jour régulière des listes d'opposition.
Les personnes ayant retiré leur consentement ne doivent plus recevoir de nouvelles sollicitations commerciales, sauf si une autre base légale permet le traitement.
Encadrer les prestataires et outils marketing
Les campagnes de prospection reposent fréquemment sur des prestataires spécialisés : solutions CRM, plateformes d'emailing, outils de marketing automation ou encore services d'analyse.
Lorsqu'ils traitent des données personnelles pour votre compte, ces acteurs interviennent en qualité de sous-traitants au sens du RGPD.
Il convient donc notamment de :
- conclure un contrat conforme à l'article 28 du RGPD ;
- vérifier les éventuels transferts de données hors de l'Union européenne ;
- définir des mesures de sécurité adaptées ;
- encadrer les durées de conservation des données.
Pour approfondir ces obligations, consultez également notre guide consacré aux contrats de sous-traitance RGPD.
À noter
Une prospection conforme ne garantit pas l'absence de contrôle de la CNIL. En revanche, une documentation complète et une organisation rigoureuse permettent de démontrer votre conformité en cas de contrôle.
Étendre sa prospection commerciale : les règles spécifiques à l'achat de bases de données
L'achat d'une base de données peut constituer un levier de développement commercial. Il n'est pas interdit en lui-même mais son utilisation est soumise à un cadre juridique particulièrement exigeant.
La licéité de la source
Avant toute utilisation, il est indispensable d'identifier précisément l'origine des données ainsi que les conditions dans lesquelles elles ont été collectées.
Il convient notamment de vérifier que la collecte initiale repose sur une base légale valable au sens du RGPD et que les personnes concernées ont été correctement informées.
L'utilisation de données issues d'une collecte illicite ou d'un accès frauduleux peut engager la responsabilité de l'organisation qui les exploite.
La licéité de la réutilisation
La seconde étape consiste à vérifier que la réutilisation de la base de données est elle-même licite.
En effet, une base peut avoir été constituée de manière régulière sans pour autant pouvoir être librement utilisée à des fins de prospection commerciale par un tiers.
Il convient notamment de s'assurer que les personnes concernées ont été informées de la possibilité d'une transmission de leurs données à des partenaires ou à des tiers et que la nouvelle finalité demeure compatible avec celle annoncée lors de la collecte.
Dans la majorité des situations, une base légale spécifique devra être identifiée. Lorsque la prospection est réalisée par voie électronique auprès de particuliers, cette base légale reposera le plus souvent sur le consentement.
Une responsabilité autonome de l'acheteur
La doctrine de la CNIL rappelle que l'acquéreur d'une base de données agit en qualité de responsable de traitement.
À ce titre, il supporte une responsabilité autonome. Il ne peut pas se limiter aux déclarations de son fournisseur ni considérer que l'achat de la base garantit automatiquement sa conformité.
Il lui appartient de vérifier lui-même que les données ont été collectées et qu'elles sont réutilisées dans le respect des exigences du RGPD et des règles applicables à la prospection commerciale.
Point de vigilance
En pratique, de nombreuses bases de données commercialisées ne permettent pas d'établir avec certitude les conditions de collecte des données ou la réalité du consentement obtenu. Une vérification préalable est donc indispensable avant toute utilisation.
Pour terminer, vos questions fréquentes
Peut-on envoyer des emails commerciaux sans consentement ?
Oui, mais uniquement dans certains cas limités. L'exception dite du « client existant » permet de prospecter sans nouveau consentement lorsque les conditions prévues par le Code des postes et des communications électroniques sont réunies.
Le consentement est-il obligatoire en B2B ?
Le régime applicable est plus souple qu'en B2C. Toutefois, les principes du RGPD demeurent applicables et la prospection doit rester en lien avec l'activité professionnelle de la personne contactée.
Peut-on acheter une base de données de prospection ?
Oui, mais son utilisation suppose de vérifier la licéité de la collecte, la base légale applicable ainsi que les conditions dans lesquelles les données peuvent être réutilisées.
Combien de temps peut-on conserver des données de prospection ?
Les données ne peuvent être conservées que pendant une durée proportionnée à la finalité poursuivie. Les recommandations de la CNIL invitent à prévoir une durée limitée et à procéder régulièrement à leur mise à jour.
Quels sont les risques en cas de non-conformité ?
Une prospection irrégulière peut entraîner des sanctions administratives, des injonctions de mise en conformité, une atteinte à la réputation de l'organisation ainsi qu'une perte de confiance des personnes concernées.
RELEVE accompagne les structures de l'ESS dans la mise en conformité de leurs opérations de prospection : collecte du consentement, rédaction des mentions d'information, encadrement des outils marketing et sécurisation des campagnes de communication.