Avertissement préalable
Ce guide est informatif. Il ne remplace pas un conseil juridique adapté à votre situation. Les positions de la CNIL, l’interprétation de l’article 6.1.f et les textes européens peuvent évoluer. En cas de doute sur un cas concret (campagne d’envoi atypique, base de données héritée, fusion de fichiers, envoi hors de France), consultez votre DPO ou un avocat spécialisé en droit des données personnelles.
Le cadre RGPD pour la prospection B2B
La prospection commerciale B2B repose, en France, sur l’article 6.1.f du RGPD : la base légale dite de l’intérêt légitime du responsable de traitement. Pour cibler une fonction professionnelle (PDG, directeur marketing, directeur technique, fondateur, responsable croissance) chez une société commerciale identifiée, cet intérêt légitime est généralement reconnu. C’est la pratique majoritaire des entreprises B2B et la position constante de la CNIL.
L’intérêt légitime n’est pas un blanc-seing. Il s’accompagne de trois exigences :
- Mise en balance documentée, formalisée dans une analyse d’intérêt légitime. Cette analyse répond à trois questions : quel est l’intérêt poursuivi (développer le chiffre d’affaires en touchant des prospects qualifiés), le traitement est-il nécessaire pour cet intérêt (pas d’alternative moins intrusive disponible), et l’intérêt prime-t-il sur les droits et libertés de la personne concernée (oui, en général, si la personne est contactée dans son cadre professionnel sur des sujets liés à son rôle).
- Information claire des personnes, au plus tard lors du premier message : qui vous êtes, pourquoi vous les contactez, quelle source a fourni leur email, comment elles peuvent s’opposer (article 14 du RGPD).
- Respect des droits : opposition (désinscription), accès, rectification, effacement. Vous devez répondre à une demande dans le mois (article 12). Une opposition à la prospection s’applique sans discussion (article 21).
L’analyse d’intérêt légitime n’a pas besoin d’être un document de 40 pages. Une page claire et datée, revue régulièrement, permet déjà de montrer votre démarche en cas de contrôle.
L’articulation avec ePrivacy et le CPCE
Le RGPD couvre le traitement des données personnelles. L’envoi d’un email commercial relève en plus de la directive ePrivacy, transposée en France dans l’article L34-5 du Code des postes et des communications électroniques (CPCE).
L’article L34-5 pose une règle générale : pas de prospection par email sans l’accord préalable de la personne. La CNIL admet une exception pour les professionnels. En B2B, vous pouvez écrire à une personne dans son cadre professionnel sans son accord préalable, à condition que :
- l’objet du message soit en lien avec la profession de la personne,
- la personne ait été informée de l’usage de son adresse et puisse s’y opposer,
- chaque message comporte un moyen de désinscription gratuit et qui marche, pour s’opposer à de futurs envois,
- l’identité de l’expéditeur soit clairement identifiable.
Pour un particulier (B2C), l’accord préalable reste la règle. Et hors de France, la règle peut être plus stricte, même en B2B : voir la veille plus bas.
Email pro nominatif vs email pro générique
Cette distinction structure tout le régime applicable.
| Type d’adresse | Statut | Régime |
|---|---|---|
john.doe@brand.com (nominatif) |
Donnée personnelle | RGPD + ePrivacy : intérêt légitime, information de la personne, désinscription dans chaque message |
contact@brand.com ou info@brand.com (générique) |
Donnée d’entreprise | Le RGPD ne s’applique pas directement ; l’article L34-5 exige quand même un moyen de désinscription dans tout email de prospection |
commande@brand.com, support@brand.com |
Souvent considéré comme générique | Idem générique, mais prudence si l’adresse arrive en pratique dans la boîte d’une seule personne |
En pratique : traitez tous les emails comme s’ils relevaient du régime nominatif. Mettre partout une désinscription qui marche ne coûte rien et vous met à l’abri du litige.
Quelles données vous pouvez traiter
Données d’entreprise (RGPD ne s’applique pas directement)
- URL canonique d’une boutique (
https://brand.com) - Nom commercial ou raison sociale
- Extension de domaine (
.fr,.com,.de) - Stack technique publiquement détectable : Shopify, Shopify Plus, thème utilisé, applications tierces visibles dans le code source
- Métadonnées publiques : pays de livraison, devises acceptées, langues du site
- Email pro générique :
contact@,info@,hello@
Ces données sont des données d’entreprise, pas des données personnelles. Le RGPD ne s’applique pas directement à leur collecte ni à leur conservation. Vous pouvez les stocker et les croiser, dans les limites du droit commun et du contrat de votre fournisseur (les CGV d’ELDB interdisent par exemple de revendre ou de republier les données).
Données personnelles (RGPD s’applique pleinement)
- Email pro nominatif :
prenom.nom@brand.com - Nom et fonction d’un dirigeant, même issus d’un registre public
- Numéro direct d’un collaborateur identifié
- Profil LinkedIn d’une personne nommément désignée
- Photo d’un dirigeant publiée dans la presse ou sur le site corporate
- Toute information rattachable à une personne physique identifiée ou identifiable
Sur ces données, vous devez : déclarer la base légale (intérêt légitime), informer la personne, lui permettre de s’opposer, conserver pour une durée justifiée, et pouvoir produire l’analyse d’intérêt légitime en cas de contrôle de la CNIL.
Le cas particulier de l’exploration LinkedIn
Explorer massivement des profils LinkedIn nominatifs pour reconstituer une base de prospection est une pratique à risque. La CNIL a déjà sanctionné des acteurs qui collectaient les coordonnées de membres de LinkedIn.
En cas de doute, passez par un fournisseur qui explique d’où viennent ses données et sur quelle base légale il les fournit. Vérifiez-le vous-même : sa conformité ne remplace pas la vôtre.
Bonnes pratiques opérationnelles
Dans chaque email envoyé
- Identité claire de l’expéditeur (nom, raison sociale, adresse postale ou siège).
- Objet en lien avec la profession du destinataire.
- Phrase d’introduction expliquant pourquoi vous écrivez et où vous avez trouvé son contact.
- Lien de désinscription qui marche dans chaque message, y compris dans les relances.
- Lien vers votre politique de confidentialité détaillant base légale, durée de conservation, droits.
Côté CRM / outil d’envoi
- Liste de désinscription centralisée et propagée à toutes les séquences.
- Délai de prise en compte : arrêt des envois le plus vite possible, et réponse à la personne dans le mois au plus.
- Conservation des contacts : 3 ans au plus à compter de la collecte ou du dernier contact venu du prospect (recommandation de la CNIL).
Côté gouvernance
- Registre des activités de traitement à jour, mentionnant la prospection comme finalité.
- Analyse d’intérêt légitime documentée par campagne ou par fichier source significatif.
- Analyse d’impact : en général pas obligatoire pour une prospection B2B simple sur des données peu sensibles. Elle peut le devenir à grande échelle, ou si vous croisez de nombreuses sources pour profiler les personnes.
Cas concret : une équipe prospecte 250 marques natives FR
Une agence de prospection e-commerce (voir le cas d’usage équipes de prospection e-commerce) accompagne un client qui veut signer 250 marques natives françaises sur 6 mois.
Sourcing. Liste fournie par un annuaire externe, filtrée Shopify + extension .fr + marques natives. Données traitées : URL, nom commercial, thème, email pro (générique ou nominatif quand il est publié). Base légale du traitement : intérêt légitime art. 6.1.f.
Premier email. Identité claire, origine de l’adresse, accroche personnalisée sur la stack détectée, proposition de valeur en 3 lignes, désinscription qui marche en pied de page.
Relances. Trois relances espacées de 5 à 7 jours. Chaque relance porte la même désinscription. Au-delà de 4 messages sans réponse, le contact passe en archive.
Désinscriptions. Toute demande d’arrêt est traitée sous 48 h, propagée à l’outil d’envoi, et le contact passe en liste de suppression partagée.
Conservation. Les contacts qui ont répondu restent en CRM 3 ans au plus après leur dernier contact. Les contacts sans interaction sortent de la base active après 12 mois.
Pièges fréquents à éviter
Désinscription qui ne marche pas. Lien mailto: sans liste centrale derrière, lien de désinscription qui mène à une page de connexion exigeant un mot de passe, pied de page en blanc sur blanc. Dans tous ces cas, la désinscription ne remplit pas son rôle, ce qui expose à une sanction.
Conservation excessive. Garder en base un contact jamais réactivé depuis 4 ans est la définition d’une non-conformité.
Exploration LinkedIn agressive. Pratique sanctionnée, et exposée à la double action de la CNIL et de LinkedIn.
Confusion B2B et B2C. Envoyer une prospection commerciale à prenom.nom@gmail.com (compte personnel) sous prétexte que la personne est gérante d’une SARL est un faux raisonnement. L’adresse personnelle relève du B2C, avec accord préalable obligatoire.
Oubli du pays du destinataire. Une règle valable en France ne l’est pas partout. Avant d’écrire à une boutique allemande, par exemple, vérifiez la règle locale.
Absence d’analyse d’intérêt légitime. En cas de contrôle, la CNIL ne demandera pas seulement « citez la base légale » mais « montrez le document qui matérialise la mise en balance ».
Refus de traiter une opposition. Réponse type « nous gardons votre contact, vous serez recontacté dans 6 mois » à une demande de désinscription : non conforme.
Comment notre base traite ces données
La base d’Ecommerce Leads Database (ELDB), que présente ce site, compte au 31 octobre 2026 plus de 270 000 boutiques Shopify vérifiées en Europe, dont 38 000 en France. Une fiche contient des données d’entreprise (domaine, nom, thème, applis détectées, emails génériques) et, pour une partie des boutiques, des données personnelles : emails nominatifs publiés sur le site, et dirigeants issus des registres publics des entreprises ou des mentions légales du site, avec leur email professionnel quand il est trouvé.
Ce que nous faisons de notre côté :
- chaque email porte son type (générique ou nominatif), et le filtre
genericEmailsOnlyde l’API écarte tous les emails nominatifs et tous les emails de dirigeants ; - pour chaque contact lu sur un site, nous gardons la page source et la date de lecture ;
- l’email d’un dirigeant est livré avec son statut : trouvé sur le site, vérifié auprès du serveur de messagerie sans envoi de message, ou seulement déduit ;
- le traitement repose sur l’intérêt légitime (art. 6.1.f), et les personnes sont informées par la politique de confidentialité d’ELDB ;
- un contact non revu depuis 12 mois n’est plus fourni, et il est effacé à 13 mois ;
- une boutique ou un email se retire gratuitement sur la page Retirer ma boutique.
Le détail est sur notre page RGPD prospection B2B : engagements produit.
Important : nous fournissons la donnée, vous restez responsable de l’envoi. Au moment où un commercial appuie sur « envoyer » dans Lemlist, c’est lui (ou son employeur) qui devient responsable de traitement pour la prospection. C’est lui qui doit :
- informer la personne au plus tard lors du premier message, source comprise,
- inclure une désinscription qui marche,
- propager les désinscriptions,
- répondre aux demandes d’opposition,
- conserver dans une durée raisonnable.
Délibérations CNIL et veille juridique
La CNIL maintient une position constante sur la prospection B2B par email : intérêt légitime reconnu pour les emails pros, information de la personne, désinscription possible dans chaque message, conservation limitée. Pour le détail, consultez l’espace professionnel de cnil.fr : c’est la source officielle qui fait foi en cas de divergence avec un guide tiers.
Trois veilles à tenir à l’œil :
- ePrivacy : en février 2025, la Commission européenne a annoncé le retrait de son projet de règlement ePrivacy, faute d’accord. La directive de 2002, transposée à l’article L34-5 du CPCE, reste le texte de référence en France.
- Règles nationales : la directive laisse des choix aux États. En Allemagne, par exemple, un email de prospection demande en principe un accord préalable, même en B2B. Vérifiez la règle du pays du destinataire.
- Réforme du RGPD : des projets européens de simplification sont en discussion. Vérifiez le texte en vigueur avant de changer vos pratiques.
Questions et réponses rapides
Puis-je acheter une liste de contacts B2B et l’utiliser directement ?
Oui, à condition que (1) le fournisseur explique d’où viennent les données et sur quelle base légale il les fournit, (2) vous documentiez votre propre analyse pour l’usage prospection, (3) vous informiez les personnes et incluiez la désinscription dans chaque message, (4) vous traitiez les oppositions. L’achat seul ne vous protège pas : vous restez responsable de la phase d’envoi.
Combien de temps puis-je garder un contact prospect en base ?
Recommandation de la CNIL : 3 ans au plus à compter de la collecte ou du dernier contact venu du prospect (une réponse, un clic). Au-delà, archiver ou supprimer.
L’opt-in est-il obligatoire en B2B ?
Non en France, pour un professionnel contacté sur un sujet lié à son métier : c’est la position de la CNIL. La personne doit être informée et pouvoir se désinscrire dans chaque message. L’accord préalable reste obligatoire pour le B2C. Attention : d’autres pays européens sont plus stricts. En Allemagne, par exemple, il faut en principe un accord préalable, même en B2B.
Une fiche d’entreprise Shopify peut-elle être considérée comme donnée personnelle si la marque porte le nom du fondateur ?
Cas tangent. Si la fiche se limite à l’URL, le nom commercial et le thème, c’est une donnée d’entreprise. Si elle associe explicitement une personne identifiable, c’est une donnée personnelle. En pratique, pour les marques éponymes, traiter au régime données personnelles par prudence.
Ce guide ne remplace pas un avis juridique
Rappel : ce contenu est informatif. Il synthétise les règles applicables en France à la date de rédaction (31 octobre 2026), mais ne constitue ni un audit RGPD de votre organisation, ni une analyse personnalisée de votre cas. Pour un dispositif robuste, travaillez avec un DPO ou un avocat spécialisé en droit des données personnelles.
Voir aussi
- Reconnaître un site Shopify : 4 signatures techniques.
- Combien de boutiques Shopify en France : méthodologie.
- Prospecter les boutiques Shopify en B2B : séquence qui ne se fait pas marquer en spam.
- Extraire une liste de boutiques Shopify : outil maison ou achat.
- API annuaire Shopify : différence avec l’API Storefront.
← Retour au panorama des guides · Retour à l’accueil · Voir les tarifs · Politique de confidentialité · RGPD prospection B2B : nos engagements · Cas d’usage équipes de prospection