Prospecter pour trouver des clients

Tu souhaites faire de la prospection commerciale et tu te demandes dans quelle mesure le RGPD t'autorise à acquérir des leads et à démarcher clients et prospects ? Concrètement, tout est possible — mais tu dois respecter certaines règles, d'autant que la prospection est un axe prioritaire de contrôle de la CNIL. Côté business, souviens-toi que le client est roi : la prospection non sollicitée reste très agaçante et peut ternir ton image. Avant de scraper des données ou de faire appel à un data broker, voici les clés.

Quand demander le consentement ? L'essentiel est de savoir quand le consentement est requis. En principe, dès que tu collectes le contact d'un prospect, tu dois demander son consentement pour le contacter par e-mail, SMS ou automate d'appel. Le plus simple pour le recueillir : une case à cocher ou un lien à cliquer. Ce consentement doit être accompagné d'une information préalable suffisamment claire pour que la personne comprenne ce qu'elle accepte : mets à sa disposition une politique de confidentialité contenant toutes les informations imposées par le RGPD.

Les trois exceptions. Tu n'as pas à demander de consentement dans trois cas : en B2C, pour un client existant, si tu lui envoies des communications sur des produits ou services analogues (attention : une personne qui a juste créé un compte sans finaliser sa commande n'est pas cliente) ; en B2B, s'il s'agit d'une adresse e-mail professionnelle et que la communication est en rapport avec l'activité professionnelle de la personne (il faut néanmoins l'informer et lui donner un droit d'opposition) ; et par téléphone ou voie postale, où l'opt-in n'est pas nécessaire, que tu sois en B2B ou en B2C.

Les quatre méthodes d'acquisition de leads. 1) L'acquisition classique (inbound marketing) : tu crées du contenu pour récupérer les données de prospects intéressés (par ex. un guide « Comment choisir ton parquet flottant » contre une adresse e-mail). En B2C, tu devras recueillir leur consentement explicite pour prospecter ensuite ; en B2B, tu pourras te baser sur ton intérêt légitime (info claire + droit d'opposition). 2) L'achat de leads via un data broker : le courtier doit respecter les règles ; pour prospecter des particuliers par e-mail/SMS/automate, il doit avoir recueilli le consentement de la personne sur deux points — collecter ses données et les transférer à des partenaires commerciaux comme toi. Deux options : soit tu es cité par le partenaire (il recueille le consentement pour toi et te nomme dans sa liste de partenaires — tu n'as pas à le redemander), soit tu n'es pas cité (tu devras demander le consentement avant d'envoyer tes messages, par ex. via un premier e-mail ayant pour seul objet cette demande). En B2B, le consentement n'est pas nécessaire : vous pouvez tous deux vous baser sur l'intérêt légitime, en informant le prospect et en lui laissant la possibilité de s'opposer. 3) Le scraping (aspiration de données publiques, très populaire dans les startups) : au sens du RGPD, il faut respecter toutes les règles applicables, notamment le consentement lorsqu'il est nécessaire, et réaliser une analyse d'impact (AIPD) si le scraping présente un risque élevé (technologie particulière, données sensibles) ; hors RGPD, il pose surtout des questions de droit des bases de données — certains sites (LinkedIn, Instagram) interdisent formellement dans leurs CGU l'aspiration et la réutilisation commerciale des données, ce qui t'expose à un contentieux. 4) La réutilisation de données internes existantes (obtenues par opportunité, via des clients ou une autre filiale) : en principe, tu n'es pas censé les réutiliser pour prospecter ; une analyse au cas par cas est nécessaire, et si c'est possible, tu devras par exemple demander l'autorisation de l'entreprise qui te les a partagées ou le consentement de la personne.

La phase de prospection. Quand tu envoies des messages commerciaux, respecte deux obligations. Informer les personnes : sur un support écrit (site internet), renvoie vers ta politique de confidentialité ; par téléphone, propose d'écouter les mentions RGPD via les touches du téléphone, ou rappelle l'adresse de ton site. Permettre de s'opposer à tout moment : donne un moyen simple de refuser de nouveaux messages (lien de désinscription effectif) ; pour le téléphone, vérifie aussi que la personne n'est pas inscrite sur une liste d'opposition type Bloctel. La majorité des contrôles CNIL font suite à des plaintes de personnes démarchées malgré leur opposition.

Le recours à un sous-traitant. Si tu fais appel à un prestataire pour prospecter à ta place (centre d'appels pour du cold calling), sécurise tes contrats : ton sous-traitant doit agir uniquement sur tes instructions, et tu dois signer un accord de sous-traitance des données personnelles (DPA), car tu restes responsable en cas de non-respect du RGPD. Gère les plaintes : sois capable de dire comment tu as obtenu les données d'un prospect et dans quelles conditions il a été démarché ; s'il le demande, arrête de le démarcher et supprime ses données. Et si ton prestataire est hors UE, encadre strictement le transfert (clauses contractuelles types et mesures de sécurité supplémentaires).

Retiens deux règles d'or : le recueil du consentement en B2C (sauf exception pour les clients existants, ou la prospection par téléphone et voie postale) ; et l'information et le droit d'opposition systématiques dans tous les cas. Le RGPD ne t'interdit pas d'acheter des leads ou de prospecter, mais impose un cadre strict et transparent — pour protéger les consommateurs et ton image de marque.