Génération de Leads B2B Conforme au RGPD : Ce Qui Est Autorisé

RGPD et génération de leads B2B — pour beaucoup d'équipes commerciales, cela sonne comme une contradiction. Ce n'en est pas une : la recherche de données d'entreprises publiques pour l'acquisition de nouveaux clients est en principe possible sous le RGPD (le règlement européen sur la protection des données, en allemand DSGVO), en règle générale sur la base de l'intérêt légitime selon l'art. 6 al. 1 lit. f du RGPD. Les conditions : une mise en balance des intérêts documentée, des obligations d'information remplies selon l'art. 14 du RGPD, des processus fonctionnels pour les droits des personnes concernées et le bon canal de contact selon le § 7 UWG (loi allemande contre la concurrence déloyale). Ce guide explique les quatre piliers — et ce qui est expressément exclu. Il ne remplace pas un conseil juridique.

Le RGPD s'applique-t-il à la génération de leads B2B ?

Oui, le RGPD s'applique aussi à la génération de leads B2B — mais uniquement aux données à caractère personnel, c'est-à-dire aux informations sur des personnes physiques identifiées ou identifiables (art. 4 n° 1 du RGPD). Les données sur les entreprises en tant que personnes morales n'en relèvent pas. En pratique, cette frontière s'estompe cependant rapidement :

• Les données sur les personnes morales (GmbH, AG, e.K. avec plusieurs associés) ne relèvent pas directement du RGPD
• Chez les entrepreneurs individuels, professions libérales et associés de GbR, données d'entreprise et données personnelles sont identiques — ici, le RGPD s'applique intégralement. Pour les entreprises artisanales, les cabinets médicaux ou les études d'avocats, c'est le cas normal, pas l'exception
• Les données sur des personnes physiques en tant que représentants d'une entreprise (par exemple « Max Mustermann, gérant ») sont des données personnelles et relèvent du RGPD
• Les adresses fonctionnelles générales comme info@firma.de sont en pratique considérées comme moins protégées que les adresses personnalisées — mais dès qu'elles sont attribuables à une personne (entreprise individuelle), elles sont elles aussi des données personnelles

Les données à caractère personnel sont toutes les informations se rapportant à une personne physique identifiée ou identifiable — dans le contexte B2B, donc le nom, l'adresse e-mail personnalisée, la ligne directe ou le profil LinkedIn d'un interlocuteur. Celui qui constitue une liste de leads devrait donc partir du principe qu'une part importante des fiches relève du RGPD et organiser le processus en conséquence dès le départ.

Données d'entreprise ou données personnelles — où passe la frontière ?

La frontière ne passe pas entre « B2B » et « B2C », mais entre les données avec et sans lien avec une personne physique. La même information peut relever ou non du RGPD selon la forme juridique de l'entreprise. L'aperçu suivant montre les cas les plus importants :

Conséquence pratique : vous n'avez pas besoin de deux processus séparés. Celui qui organise sa recherche de leads de manière à ce qu'elle tienne pour les données personnelles est automatiquement aussi du bon côté pour les pures données d'entreprise — l'inverse n'est pas vrai.

Quelle base juridique autorise la génération de leads B2B ?

La base juridique centrale pour la recherche et le stockage de coordonnées B2B est l'intérêt légitime selon l'art. 6 al. 1 lit. f du RGPD. Le considérant 47 du RGPD cite expressément le marketing direct comme traitement pouvant servir un intérêt légitime. Les autorités de contrôle allemandes le reconnaissent également : le guide d'orientation de la Datenschutzkonferenz sur le marketing direct (février 2022) confirme que le traitement de données à des fins publicitaires peut s'appuyer sur l'art. 6 al. 1 lit. f du RGPD — mais souligne en même temps que les appréciations de l'UWG entrent dans la mise en balance des intérêts.

L'intérêt légitime n'est pas un blanc-seing, mais une pondération en trois étapes que vous devriez documenter :

1. Nommer l'intérêt légitime : l'acquisition de nouveaux clients en B2B est un intérêt économique reconnu
2. Vérifier la nécessité : seules les données nécessaires à la finalité sont-elles traitées (nom de l'entreprise, coordonnées professionnelles, secteur) — ou davantage ?
3. Mettre en balance les intérêts : les intérêts de la personne concernée prévalent-ils ? Pour des coordonnées professionnelles issues de sources publiques et traitées dans un contexte professionnel, en règle générale non — pour des données privées ou des utilisations inattendues, si

Important : « les données sont publiques » ne suffit pas à lui seul. Il faut toujours la mise en balance documentée, et le traitement doit rester dans le cadre de ce à quoi la personne concernée peut raisonnablement s'attendre. Un gérant qui publie ses coordonnées dans l'Impressum (mentions légales obligatoires en Allemagne) doit s'attendre à une prise de contact professionnelle — mais pas à ce que sa fiche soit revendue à des tiers.

Quelles sources de données entrent en ligne de compte ?

Conviennent les sources que l'entreprise rend elle-même publiquement accessibles et dont vous pouvez prouver l'origine pour chaque fiche :

• Fiches dans Google Maps / Google Business Profile
• Indications de l'Impressum sur les sites web d'entreprises
• E-mails de contact sur des sites web publics (info@, kontakt@)
• Profils LinkedIn publics de gérants
• Extraits du Handelsregister (registre du commerce allemand)

Notre article sur le scraping de Google Maps et l'alternative légale de l'API explique comment récupérer ces données publiques proprement sur le plan technique et dans le respect des conditions d'utilisation de Google via l'API Google Places.

Quelles obligations d'information s'appliquent selon l'art. 14 du RGPD ?

Celui qui ne collecte pas les données personnelles auprès de la personne elle-même — le cas normal en recherche de leads — doit informer activement la personne concernée selon l'art. 14 du RGPD : dans un délai raisonnable, au plus tard un mois après la collecte, et en tout état de cause au plus tard lors de la première prise de contact. Cette obligation est en pratique la plus souvent négligée.

Parmi les mentions obligatoires figurent notamment :

• L'identité et les coordonnées de votre entreprise (et, le cas échéant, du délégué à la protection des données)
• La finalité et la base juridique du traitement — pour l'art. 6 al. 1 lit. f du RGPD, aussi l'intérêt légitime concret
• Les catégories de données traitées et leur source (par exemple « fiche professionnelle publique », « Impressum du site web de l'entreprise »)
• La durée de conservation ou les critères de sa détermination
• Les droits des personnes concernées, en particulier le droit d'opposition selon l'art. 21 du RGPD, et le droit de réclamation auprès d'une autorité de contrôle

En pratique, vous réglez cela avec une brève mention de transparence dans le premier message (« J'ai relevé vos coordonnées dans le profil public de votre entreprise ») plus un lien vers une information complète sur la protection des données. L'exception de l'art. 14 al. 5 lit. b du RGPD — dispense en cas d'efforts disproportionnés — est d'interprétation stricte et ne tient régulièrement pas pour une prise de contact individuelle ciblée de leads : celui qui peut contacter une personne peut aussi l'informer.

Le canal de contact est décisif : que permet le § 7 UWG ?

Le RGPD ne régit que le traitement des données — pour la prise de contact publicitaire s'applique en plus le § 7 UWG, et ses appréciations entrent directement, selon les autorités de contrôle de la protection des données, dans la mise en balance des intérêts. Les règles diffèrent nettement selon le canal :

• E-mail : les e-mails publicitaires exigent selon le § 7 al. 2 n° 2 UWG un consentement exprès préalable — y compris en B2B. Il n'existe pas de « consentement présumé » pour l'e-mail. Seule exception : les clients existants dans les conditions strictes du § 7 al. 3 UWG. Les e-mails à froid vers des adresses recherchées sans consentement sont contraires au droit de la concurrence et exposent à une Abmahnung (mise en demeure payante typique du droit allemand)
• Téléphone (B2B) : licite en cas de consentement présumé (§ 7 al. 2 n° 1 UWG) — les circonstances doivent laisser déduire un intérêt concret et objectif de la personne appelée pour l'offre ; la simple appartenance sectorielle ne suffit pas
• Courrier : la publicité postale vers des adresses professionnelles est en règle générale licite sur la base de l'intérêt légitime, tant qu'il n'y a pas d'opposition

Les adresses e-mail recherchées sont donc avant tout des données de recherche et de vérification (qui est le bon interlocuteur, quel est le domaine) — pas une liste d'envoi pour la prospection à froid. Notre article sur la prospection B2B à froid par e-mail en Allemagne explique les détails de la prise de contact par e-mail, et le guide de la prospection téléphonique en B2B les règles pour les appels.

Quels droits des personnes concernées devez-vous mettre en œuvre ?

Chaque personne dans votre base de leads dispose de droits opposables en justice, pour lesquels vous avez besoin de processus fonctionnels — quelle que soit la taille de la liste. Les quatre plus importants :

• Accès (art. 15 du RGPD) : sur demande, vous devez communiquer dans un délai d'un mois quelles données vous stockez, d'où elles proviennent et à quoi vous les utilisez
• Rectification (art. 16 du RGPD) : les données inexactes doivent être corrigées sans délai
• Effacement (art. 17 du RGPD) : si la finalité disparaît ou si une opposition s'applique, les données doivent être effacées — les leads sans réaction après un délai raisonnable de toute façon
• Opposition (art. 21 du RGPD) : l'opposition au marketing direct est absolue — elle doit être appliquée immédiatement, sans pondération. Tenez une liste de blocage pour que les contacts ayant fait opposition ne se retrouvent pas à nouveau dans la base lors de la prochaine recherche

Un cas vérifié montre que les autorités de contrôle prennent cela au sérieux : la déléguée berlinoise à la protection des données et à la liberté de l'information a infligé en 2019 des amendes d'un total de 195 407 euros à Delivery Hero Germany GmbH — entre autres parce qu'une personne a reçu 15 e-mails publicitaires supplémentaires malgré une opposition expresse à la publicité et que d'anciens comptes n'avaient pas été supprimés.

Qu'est-ce qui n'est pas autorisé dans la génération de leads B2B ?

Sont interdites ou associées à un risque élevé surtout ces pratiques — elles reviennent sans cesse dans les Abmahnungen et les procédures d'amende :

• Envoyer des e-mails publicitaires sans consentement exprès préalable (§ 7 al. 2 n° 2 UWG — y compris en B2B)
• Utiliser des adresses e-mail privées ou des profils privés sur les réseaux sociaux pour la prospection
• Utiliser les données de personnes ayant fait opposition
• Acheter des listes d'adresses de sources douteuses ou illégales — sans base juridique démontrable de la collecte, vous répondez du traitement ultérieur
• Extraire des données derrière des connexions ou depuis des espaces fermés
• Stocker plus de données que nécessaire pour la prise de contact (violation de la minimisation des données, art. 5 al. 1 lit. c du RGPD)

Guide pratique : comment réduire le risque de votre génération de leads

1. Documentez votre mise en balance des intérêts — l'intérêt légitime ne tient que s'il est motivé et consigné par écrit
2. Choisissez le bon canal — le téléphone (B2B, en cas de consentement présumé) et le courrier sont défendables ; l'e-mail seulement avec consentement ou dans une relation client existante
3. Utilisez des sources de données publiques avec preuve d'origine — Google Places et les sites web d'entreprises sont plus traçables que des bases de données achetées d'origine douteuse
4. Remplissez l'obligation d'information — informer au plus tard lors du premier contact sur la source des données, la finalité et le droit d'opposition ; tenir la déclaration de protection des données à jour
5. Traitez les données en Europe — les outils américains impliquent un effort de vérification supplémentaire (transfert vers un pays tiers)
6. Réagissez immédiatement aux oppositions — celui qui se désinscrit doit être retiré immédiatement de toutes les listes et bloqué contre une nouvelle inscription

Comment anilead.io soutient-il un processus orienté protection des données ?

anilead.io est un logiciel de génération de leads B2B pour le marché DACH, qui trouve des entreprises via Google Places, extrait des adresses e-mail et évalue chaque lead avec Claude AI. Trois propriétés sont pertinentes pour la pratique de la protection des données : seules des données d'entreprises accessibles publiquement sont traitées (API Google Places, sites web d'entreprises), la source d'origine est enregistrée pour chaque fiche — ce qui facilite le droit d'accès selon l'art. 15 et l'indication de la source selon l'art. 14 —, et le traitement des données s'effectue sur des serveurs européens à Francfort. Cela réduit considérablement l'effort de vérification par rapport aux bases de données américaines, mais ne remplace pas votre propre responsabilité : anilead.io n'est délibérément pas un outil d'envoi d'e-mails, et la conception juridiquement conforme de la prise de contact — choix du canal, consentements, obligations d'information — vous incombe en tant qu'utilisateur. Notre comparatif des alternatives à Apollo.io pour la région DACH montre pourquoi l'origine des données fait la différence dans le choix de l'outil.

Questions fréquentes sur le RGPD dans la génération de leads B2B

Ai-je besoin d'un consentement pour rechercher des leads B2B ?

Non, pour la recherche et le stockage de coordonnées professionnelles issues de sources publiques, l'intérêt légitime selon l'art. 6 al. 1 lit. f du RGPD avec mise en balance documentée suffit en règle générale. Vous n'avez besoin d'un consentement que pour certains canaux de contact : les e-mails publicitaires supposent selon le § 7 al. 2 n° 2 UWG un consentement exprès préalable — y compris en B2B.

Puis-je utiliser les données de l'Impressum pour la prospection ?

Oui, les données de l'Impressum sont des indications d'entreprise accessibles publiquement et peuvent être recherchées et stockées sur la base de l'intérêt légitime. Mais « public » n'est pas un blanc-seing : la mise en balance des intérêts doit être documentée, l'obligation d'information selon l'art. 14 du RGPD s'applique malgré tout, et les règles de canal du § 7 UWG valent pour la prise de contact.

Dois-je informer activement chaque lead recherché ?

En principe oui : l'art. 14 du RGPD exige l'information dans un délai d'un mois après la collecte, au plus tard lors de la première prise de contact. Une mention de la source dans le premier message plus un lien vers l'information sur la protection des données est praticable. L'exception pour efforts disproportionnés (art. 14 al. 5 lit. b du RGPD) ne s'applique régulièrement pas en cas de prise de contact individuelle ciblée.

Que risque-t-on en cas d'infraction ?

Trois risques en parallèle : des amendes de l'autorité de contrôle de la protection des données selon l'art. 83 du RGPD (dans l'affaire Delivery Hero en 2019 : 195 407 euros), des Abmahnungen au titre du droit de la concurrence avec déclaration de cessation et pénalité contractuelle en cas de sollicitation publicitaire illicite (§ 7 UWG), ainsi que des demandes de dommages et intérêts des personnes concernées selon l'art. 82 du RGPD. Des processus propres coûtent nettement moins cher que le premier litige.

Un outil américain de génération de leads est-il automatiquement illicite ?

Non, mais il augmente l'effort de vérification : vous devez sécuriser le transfert vers un pays tiers (par exemple via le EU-US Data Privacy Framework ou des clauses contractuelles types), évaluer la base juridique de la base de contacts sous-jacente et remplir les obligations d'information. Un hébergement européen et des sources de données publiques traçables simplifient considérablement cette vérification.

Conclusion

Génération de leads B2B et RGPD ne s'excluent pas. Les points décisifs sont une base juridique documentée (art. 6 al. 1 lit. f du RGPD), des obligations d'information remplies (art. 14 du RGPD), des droits des personnes concernées effectivement appliqués (en particulier l'opposition absolue à la publicité selon l'art. 21 du RGPD) et le bon canal de contact selon le § 7 UWG. Celui qui respecte cela réduit au minimum le risque d'Abmahnung et d'amende — mais il n'existe jamais de garantie en droit de la protection des données. Cet article n'est pas un conseil juridique ; pour l'évaluation de votre processus concret, un conseil juridique qualifié est utile.