Prospection téléphonique et RGPD : les règles B2B en 2026

Appeler un professionnel pour lui proposer une offre en rapport avec son métier reste possible en France sans son consentement préalable. La base légale est l’intérêt légitime, à condition d’informer la personne, de respecter son opposition à tout moment et de documenter le traitement. Ce cadre se distingue de celui du B2C, où le consentement est devenu la règle. Cet article détaille chaque obligation, dans l’ordre où un appel les rencontre, et ce qu’elles changent quand la prospection est confiée à un prestataire.

En bref

• En B2B, la CNIL admet l’intérêt légitime quand l’objet de l’appel est en rapport avec la profession de la personne appelée.
• Chaque appel doit permettre d’identifier l’organisation qui appelle et de refuser simplement de nouvelles sollicitations.
• Une opposition est absolue, n’a pas à être justifiée, et doit être conservée dans une liste repoussoir.
• Externaliser la prospection ne transfère pas la responsabilité : un contrat de sous-traitance conforme à l’article 28 du RGPD est nécessaire.
• La conformité se prépare avant le premier appel : ciblage, exclusions, trame, traçabilité.

B2B et B2C : deux régimes à ne pas confondre

La prospection commerciale s’inscrit dans un ensemble de textes qui combine le RGPD, la directive ePrivacy, le code des postes et des communications électroniques et des dispositions sectorielles. Francenum, le portail de l’administration dédié au numérique des entreprises, rappelle que deux bases légales sont possibles : le consentement préalable (opt-in) et l’intérêt légitime (opt-out), sous réserve du droit d’opposition.

Le point de départ est la nature de la personne appelée.

Pour le B2C, le décret n° 2026-662 du 23 juillet 2026 précise ce que doit contenir la demande de consentement : identité de l’appelant, nature des biens ou services, durée de validité limitée à un an, possibilité de retirer le consentement à tout moment et accès à la preuve, conservée au moins trois ans sur un support durable. Ces éléments figurent sur la page de la CNIL consacrée à la prospection par téléphone.

Une entreprise tech qui vend à d’autres entreprises relève du régime B2B. La frontière se joue pourtant sur le terrain : appeler le gérant d’une très petite structure à propos d’un sujet sans rapport avec son activité sort du cadre de l’intérêt légitime tel que la CNIL le décrit. La pertinence de l’offre pour la fonction de la personne est donc le premier critère à vérifier, avant même le script.

La base légale : l’intérêt légitime, et la preuve qui va avec

Selon la CNIL, la prospection à l’égard de professionnels peut reposer sur l’intérêt légitime lorsque l’objet de la sollicitation est en rapport avec la profession de la personne démarchée. Son exemple : un appel présentant les mérites d’un logiciel au directeur informatique d’une entreprise (CNIL, prospection par téléphone, 2026).

Pour une société de cybersécurité, une ESN ou un éditeur SaaS, cela donne une règle de ciblage simple : l’offre doit parler au métier de l’interlocuteur. Une solution de supervision s’adresse à un DSI ou à un responsable infrastructure, une prestation SEO à un dirigeant ou à un responsable marketing. Un fichier trop large, appelé sans tri, fragilise la base légale.

Le test de mise en balance (LIA)

L’intérêt légitime n’est pas une formule qu’on invoque : il se démontre. Selon un décryptage de la décision de la CNIL du 5 décembre 2024 dans l’affaire KASPR, le recours à ce fondement impose un test documenté et archivé (Legitimate Interests Assessment). Il prend en compte la nature des données, le contexte de leur collecte, les attentes raisonnables des personnes et la proportionnalité du traitement. Son absence expose à un manquement à l’obligation de démonstration de l’article 5, §2, du RGPD.

Un LIA de prospection téléphonique tient en une à deux pages et répond à quatre questions :

1. Quel est l’intérêt poursuivi ? Par exemple, présenter une offre de services informatiques à des décideurs concernés.
2. Le traitement est-il nécessaire ? Le téléphone est-il proportionné au but ?
3. Quelles sont les attentes raisonnables d’un dirigeant ou d’un responsable IT que l’on appelle sur sa ligne professionnelle à propos de son métier ?
4. Quelles garanties limitent l’impact : information claire, opposition immédiate, liste repoussoir, durée de conservation courte ?

D’où viennent les numéros

La source de la donnée compte autant que l’appel. Dans la même décision, la CNIL distingue les personnes qui ont rendu leurs coordonnées visibles sans restriction, pour lesquelles l’intérêt légitime peut potentiellement fonder le traitement, de celles qui ont paramétré leur profil pour limiter cette visibilité (analyse de la délibération KASPR). Une donnée visible sur LinkedIn n’est donc pas librement exploitable par n’importe qui. Pour choisir une base de données de prospection en connaissance de cause, le comparatif des outils de data B2B en France détaille les critères à regarder.

Informer l’interlocuteur pendant l’appel

La CNIL pose une exigence minimale : chaque sollicitation doit permettre à la personne de connaître l’identité de l’organisation qui l’émet et d’exprimer par un moyen simple son refus de recevoir de nouvelles sollicitations (CNIL).

L’information complète est plus large. Francenum cite parmi les mentions obligatoires les finalités, la base légale, la durée de conservation, les droits des personnes, l’existence éventuelle de transferts internationaux ou de profilage (Francenum, 12 mars 2026). Quand la base légale est l’intérêt légitime, l’intérêt poursuivi doit aussi être indiqué.

Deux moments, deux niveaux d’information

Le cas des données obtenues auprès d’un tiers, fréquent en prospection, relève de l’article 14 du RGPD. L’information doit être fournie dans un délai raisonnable, qui ne dépasse pas un mois ; ce plafond est impératif, et la décision KASPR a sanctionné un retard de quatre ans (analyse de la délibération). Si les données servent à entrer en contact avec la personne, l’information intervient au plus tard au premier contact, c’est-à-dire pendant l’appel lui-même.

Ce que la trame d’appel doit prévoir

Une trame conforme n’a pas besoin d’être lourde. Elle prévoit, dans les premières secondes, le nom de l’appelant et de l’organisation pour laquelle il appelle, puis le motif de l’appel. Elle intègre ensuite une phrase de sortie claire. Exemple de formulation :

« Bonjour, je suis [prénom], j’appelle de la part de [société] au sujet de [objet en rapport avec la fonction]. Vous pouvez à tout moment me demander de ne plus être rappelé, et je le note immédiatement. »

À la demande, l’appelant doit pouvoir donner la source des coordonnées, la durée de conservation et la façon d’exercer ses droits, y compris le droit de réclamation auprès de la CNIL. Un courriel de suivi qui reprend ces éléments sécurise le dispositif. Pour structurer cette partie du processus, des étudiants freelance pour le RGPD peuvent aussi appuyer l’écriture des mentions et la tenue des registres.

Gérer l’opposition : un droit absolu

Le droit d’opposition à la prospection est absolu : la personne n’a pas à se justifier. La CNIL recommande de conserver les informations permettant de prendre en compte l’opposition pendant au moins trois ans dans une liste repoussoir dédiée. Cette liste sert à écarter la personne de toute campagne future, y compris quand le fichier source est renouvelé.

Le RGPD (article 21, paragraphes 2 et 3) impose de cesser le traitement à des fins de prospection dès l’opposition. Selon le guide de donneespersonnelles.fr, le délai prévu pour répondre à une demande n’est pas une période pendant laquelle la campagne peut continuer.

Concrètement :

• l’opposition exprimée à l’oral pendant l’appel est notée immédiatement dans le CRM, avec date et personne concernée ;
• elle est répercutée sur tous les canaux (téléphone, email, LinkedIn) et pas seulement sur celui où elle a été exprimée ;
• la liste repoussoir est croisée avec chaque nouveau fichier avant lancement ;
• le refus ne doit exiger aucune démarche compliquée.

Combien de temps garder les coordonnées d’un prospect

Le référentiel de la CNIL sur la gestion des activités commerciales fixe le repère : les données d’un prospect non client peuvent être conservées trois ans à compter de leur collecte ou du dernier contact émanant du prospect. Une simple ouverture de courriel n’est pas un contact émanant du prospect. Au terme du délai, une prise de contact peut vérifier si la personne souhaite continuer à être sollicitée ; sans réponse positive et explicite, les données sont supprimées ou archivées (référentiel CNIL).

La décision KASPR a par ailleurs invalidé le mécanisme qui réinitialise la durée à chaque mise à jour de la donnée (analyse de la délibération). Un enrichissement automatique du fichier ne relance donc pas le compteur.

Externaliser sa prospection : la responsabilité reste chez le donneur d’ordre

Confier les appels à un prestataire ne déplace pas la responsabilité. Le donneur d’ordre, responsable de traitement, décide de la cible, de la finalité et de la base légale. Le prestataire agit en sous-traitant et doit être encadré par écrit.

Le guide du sous-traitant de la CNIL liste ce que le contrat définit : objet et durée de la prestation, nature et finalité du traitement, type de données, catégories de personnes concernées, droits et obligations du client, obligations du sous-traitant prévues à l’article 28 du RGPD (CNIL, guide du sous-traitant, 2017). Le même guide prévoit que le sous-traitant tienne un registre des activités de traitement menées pour le compte de ses clients : coordonnées de chaque client, catégories de traitements, transferts hors UE, mesures de sécurité.

Avant de signer avec un prestataire, quelques questions utiles :

1. Les appels sont-ils réalisés par des personnes identifiées, sans sous-traitance en cascade ?
2. Les données collectées pendant la mission restent-elles la propriété du client, dans un CRM à son nom ?
3. Le prestataire peut-il réutiliser les données pour son propre compte ? Le contrat doit l’interdire.
4. Comment l’opposition est-elle remontée et appliquée ?
5. Qui valide la cible, les exclusions et la trame avant le démarrage ?

Pour une vue plus large sur le choix d’un prestataire, le guide externaliser sa prospection B2B complète ces points, et l’article sur ce que dit la loi sur la prospection téléphonique B2B reprend le cadre juridique général.

Checklist avant la première campagne

1. Cibler par fonction : l’offre doit être en rapport avec la profession des personnes appelées.
2. Rédiger le LIA et l’archiver.
3. Mettre à jour le registre des traitements et la politique de confidentialité.
4. Écrire la trame : identité, motif, phrase d’opposition, réponse sur la source des données.
5. Préparer la liste repoussoir et la croiser avec chaque fichier.
6. Fixer la durée de conservation : trois ans maximum sans contact émanant du prospect.
7. Encadrer le prestataire par un contrat de sous-traitance.

FAQ

Faut-il le consentement d’un professionnel pour l’appeler ?

Pas en principe. La CNIL admet l’intérêt légitime lorsque l’objet de l’appel est en rapport avec la profession de la personne démarchée. Elle doit être informée et pouvoir s’opposer simplement. Le consentement préalable est en revanche la règle pour les particuliers.

Que faire quand un prospect dit « ne me rappelez plus » ?

L’opposition est absolue et doit être appliquée immédiatement. Elle est inscrite dans une liste repoussoir, conservée au moins trois ans selon la recommandation de la CNIL, et répercutée sur tous les canaux. La personne n’a pas à justifier sa demande.

Peut-on garder indéfiniment les coordonnées d’un prospect ?

Non. Pour un prospect non client, le référentiel de la CNIL retient trois ans à compter de la collecte ou du dernier contact émanant du prospect. Ensuite, sans réponse positive et explicite, les données sont supprimées ou archivées.

Le prestataire de prospection est-il responsable à ma place ?

Non, la responsabilité du traitement reste chez le donneur d’ordre. Le prestataire agit comme sous-traitant, dans le cadre d’un contrat conforme à l’article 28 du RGPD, avec un registre de ses activités de traitement.

Sources

• CNIL : prospection commerciale par téléphone
• Francenum : prospection commerciale et RGPD
• CNIL : liste repoussoir
• CNIL : référentiel gestion des activités commerciales
• CNIL : guide du sous-traitant
• Conseil d’État, décision n° 437808, 1er mars 2021
• Analyse de la délibération CNIL SAN-2024-020 (KASPR)
• Commentaire de la sanction Futura Internationale
• Guide donneespersonnelles.fr : prospection commerciale RGPD

Recommandations

• Prospection téléphonique B2B : ce que dit la loi en 2026
• Le cold calling B2B marche-t-il encore ?
• Outils de data B2B : comparatif des bases de prospection en France
• Externaliser sa prospection B2B : le guide