Prospection automatisée B2B : ce que le RGPD vous interdit vraiment
Le mythe du "B2B donc pas de RGPD" a la vie dure. En réalité, le growth hacker manipule des données personnelles à chaque étape. Voici les règles qui s'appliquent vraiment.
- Une adresse email professionnelle nominative (prenom.nom@entreprise.fr) est une donnée personnelle : le RGPD s'applique, même en B2B.
- Le scraping de profils et l'enrichissement de bases imposent une information des personnes et une base légale, le plus souvent l'intérêt légitime.
- Le cold emailing B2B échappe au consentement préalable mais reste soumis à l'obligation d'information, de finalité en lien avec la fonction, et de droit d'opposition.
- Un traitement non conforme exposé via votre prestation peut engager votre responsabilité et déclencher une garantie cyber et RC Pro.
Le mythe à déconstruire : "en B2B, le RGPD ne s'applique pas"
C'est l'idée reçue la plus tenace du growth hacking. Elle est fausse. Le Règlement général sur la protection des données s'applique dès qu'un traitement porte sur des données à caractère personnel, c'est-à-dire toute information se rapportant à une personne physique identifiée ou identifiable.
Or, en prospection B2B, vous manipulez en permanence ce type de données : le nom et le prénom d'un décideur, son adresse email nominative (prenom.nom@entreprise.fr), son numéro de ligne directe, son intitulé de poste. Toutes ces informations identifient une personne physique. Le fait qu'elle soit contactée dans un cadre professionnel ne fait pas disparaître sa qualité de personne physique.
La seule donnée réellement hors champ est l'adresse générique non nominative : contact@entreprise.fr, info@entreprise.fr. Tout le reste de votre fichier de prospection est, juridiquement, du traitement de données personnelles.
Le scraping et l'enrichissement : collecte indirecte sous conditions
Le growth hacker collecte rarement les données directement auprès des personnes. Il les scrape sur des annuaires, des réseaux professionnels, des sites d'entreprise, ou les enrichit via des outils tiers qui recoupent des bases. C'est ce qu'on appelle une collecte indirecte, et le RGPD l'encadre spécifiquement.
Deux obligations majeures pèsent sur ce type de traitement :
- Une base légale : en prospection B2B, c'est presque toujours l'intérêt légitime (article 6.1.f). Encore faut-il que cet intérêt soit réel, que la prospection soit proportionnée et que les personnes puissent raisonnablement s'attendre à être contactées.
- L'information des personnes : en cas de collecte indirecte, l'article 14 impose d'informer la personne dans un délai raisonnable, et au plus tard lors du premier contact. C'est la fameuse mention d'information qui doit figurer dans votre premier email.
Un point souvent négligé : l'enrichissement de données (récupérer un email à partir d'un nom et d'une entreprise via un outil tiers) crée une nouvelle donnée. La personne doit pouvoir en être informée et exercer ses droits.
Cold emailing B2B : la règle de l'objet en lien avec la fonction
Bonne nouvelle pour le growth hacker : contrairement au B2C, la prospection par email en B2B n'exige pas le consentement préalable de la personne. La CNIL admet le cold emailing professionnel sans opt-in, mais à des conditions précises :
- L'objet de la sollicitation doit être en rapport avec la fonction de la personne démarchée. Vous pouvez contacter un directeur marketing pour un outil marketing, mais pas pour lui vendre une assurance vie personnelle.
- La personne doit être informée, dès le premier message, de l'utilisation de son email et de ses droits (opposition, accès, suppression).
- Un mécanisme de désinscription simple doit être proposé à chaque envoi.
Le seuil entre prospection légitime et démarchage non conforme tient souvent à un détail : la cohérence entre votre offre et la fonction de la personne contactée.
Pour les SMS et les appels téléphoniques automatisés, les règles sont plus strictes et relèvent de la directive e-privacy. Avant d'industrialiser une séquence multicanale, vérifiez le régime applicable à chaque canal.
Votre responsabilité : sous-traitant ou responsable de traitement ?
Le statut RGPD du growth hacker n'est pas anodin, car il détermine l'étendue de vos obligations. Deux cas de figure :
- Vous agissez pour le compte du client, selon ses instructions : vous êtes sous-traitant au sens de l'article 28. Un contrat de sous-traitance (DPA) doit alors encadrer la relation, et vous êtes tenu à des obligations de sécurité et de confidentialité.
- Vous déterminez vous-même les finalités et les moyens (vous choisissez les outils, les cibles, les méthodes) : vous pouvez être co-responsable de traitement, avec une responsabilité directe en cas de manquement.
Dans les deux cas, un traitement non conforme déployé par votre prestation peut se retourner contre vous. Si votre client est sanctionné par la CNIL ou poursuivi par une personne dont les données ont été mal traitées, il pourra rechercher votre responsabilité contractuelle. C'est là qu'interviennent votre RC Professionnelle et votre garantie cyber.
Pourquoi une garantie cyber est centrale pour ce métier
Le growth hacker est, par nature, un manipulateur de données. Fichiers de prospection, bases enrichies, exports de CRM, identifiants de plateformes : vous concentrez des données personnelles qui ne vous appartiennent pas. Cette exposition justifie une garantie cyber-risques et données clients en complément de la RC Pro.
Concrètement, cette garantie intervient sur des scénarios que la seule RC Pro ne couvre pas toujours :
- La fuite ou la perte d'un fichier de prospection contenant des milliers de contacts personnels.
- Les frais de notification aux personnes concernées et à la CNIL en cas de violation de données (obligation des articles 33 et 34 du RGPD).
- La prise en charge d'une réclamation consécutive à un traitement non conforme exposant le client.
- L'assistance juridique et technique pour gérer la crise.
Pour un freelance qui jongle entre intérêt légitime, mentions d'information et DPA, cette double couverture RC Pro plus cyber constitue le socle assurantiel adapté. Notre article sur les failles de tracking en tunnel de conversion illustre un autre versant de ce risque cyber.
Questions fréquentes
Oui, dès lors que vous traitez des données nominatives : nom, prénom, email professionnel personnel, téléphone direct. Seules les adresses génériques non nominatives (contact@, info@) échappent au régime. En pratique, la quasi-totalité d'un fichier de prospection B2B contient des données personnelles.
Non. La CNIL admet la prospection B2B par email sans consentement préalable, à condition que l'objet de la sollicitation soit en lien avec la fonction de la personne, qu'elle soit informée dès le premier message et qu'un moyen de désinscription simple soit proposé.
Cela dépend de votre autonomie. Si vous exécutez les instructions du client, vous êtes sous-traitant et un contrat DPA doit encadrer la relation. Si vous choisissez vous-même les outils, les cibles et les méthodes, vous pouvez être co-responsable, avec une responsabilité directe accrue.
Pour un growth hacker, les deux sont complémentaires. La RC Pro couvre les fautes de prestation, mais la garantie cyber prend en charge les fuites de données, les frais de notification CNIL et les réclamations liées à un traitement non conforme. Compte tenu du volume de données manipulées, la cyber est fortement recommandée.
Votre client pourra rechercher votre responsabilité contractuelle s'il démontre que le manquement provient de votre prestation. Votre RC Pro intervient sur la défense et l'indemnisation du préjudice financier, tandis que la garantie cyber prend en charge la gestion de l'incident de données.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Growth hacker — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Growth hacker →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.