L’adoption du Règlement Général sur la Protection des Données (RGPD) en 2018 est venue rebattre les cartes de la prospection commerciale B2B. Face aux nouvelles règles, Business Developers et commerciaux peinent encore à déterminer quels sont leurs droits et leurs devoirs en matière d’exploitation des bases de données. Trois ans après l’entrée en vigueur de la réglementation, et suite aux premières sanctions prononcées par la CNIL (Commission de l’informatique et des libertés), les bonnes pratiques relatives au démarchage commercial B2B se dessinent avec plus de précision. MyBizDev fait le tour des précautions à prendre pour être en accord avec le RGPD lorsqu’on prospecte par email ou par téléphone.
RGPD, les grands principes à retenir pour prospecter en B2B
Le RGPD, ou Règlement Général sur la Protection des Données, est un texte européen qui fixe les règles applicables à la collecte, au stockage et à l’utilisation des données personnelles.
Notez que :
- « Toute information se rapportant à une personne physique identifiée ou identifiable » est considérée comme une donnée à caractère personnel au titre du RGPD (Source : CNIL). Un email professionnel contenant le nom, le prénom ou les initiales d’un prospect s’apparente donc à une donnée personnelle et tombe sous le coup du RGPD.
- Le RGPD s’applique à toutes les organisations implantées dans l’UE (Union européenne) ainsi qu’à leurs sous-traitants. Les Business Developers et commerciaux freelances sont concernés par le RGPD au même titre que les startups et les PME.
- La prospection commerciale B2B n’échappe pas au champ d’application du RGPD. Il convient donc de construire et d’exploiter vos fichiers de contacts de façon « GDPR friendly » au risque de voir votre responsabilité engagée.
Bases de données : comment créer des fichiers de prospection en conformité avec le RGPD ?
Tout chasseur le sait, une bonne base de données est essentielle pour prospecter. Mais attention, quelques précautions s’imposent pour constituer des fichiers de prospection propres.
Retenez tout d’abord qu’au titre du RGPD :
- La collecte des données personnelles doit se faire avec le consentement de la personne concernée.
- Différentes informations listées aux articles 13 et 14 du RGPD doivent être communiquées à l’intéressé lors de la récolte des données puis lors de leur exploitation ultérieure par un tiers.
- L’intéressé peut demander l’effacement de ses données personnelles de vos fichiers à tout moment.
Ensuite, assurez-vous d’utiliser les bons outils. Le marché regorge aujourd’hui de logiciels de scraping permettant de construire des listes de leads automatiquement. Au regard du RGPD, toutes ces applications ne se valent pas. Utiliser certaines d’entre elles peut vous conduire à une situation de non-conformité. Par conséquent :
- Privilégiez des SaaS tels que Sociétéinfo ou Dropcontact, permettant de récolter des contacts en respectant le RGPD. Ces logiciels recoupent des données légales et des informations diffusées publiquement sur internet avec le consentement de la personne concernée. L’objectif, identifier des patterns d’emails (nom.prénom@société.com par exemple) et générer des adresses mail sur demande, sans jamais stocker de données personnelles.
- Avant d’acquérir une base de données auprès d’un prestataire, assurez-vous que celle-ci a été constituée dans des conditions conformes au RGPD. Demandez des garanties à l’entreprise qui les commercialise. Enfin, évitez d’acheter des fichiers de contacts dans des pays étrangers (hors UE) où le RGPD ne trouve pas à s’appliquer.
⚠️ Pour rappel, l’achat d’une base de données auprès d’un prestataire étranger ne permet pas d’échapper à l’application du RGPD. L’utilisation de données indûment recueillies (leak, piratage, absence d’opt in…etc.) engage votre responsabilité.
Prospection par email : quelles sont les règles applicables ?
Les règles applicables au cold emailing diffèrent en fonction de la nature de l’adresse email collectée :
- Les adresses email professionnelles génériques (hello@société.com, [email protected] ou encore [email protected]) ne sont pas protégées par le RGPD. En effet, il ne s’agit pas de données personnelles puisqu’elles ne renvoient pas à un individu identifié ou identifiable.
- Les adresses email professionnelles personnalisées (sara.dupont@société.fr par exemple) tombent quant à elles sur le coup du RGPD.
Par conséquent :
- Il est nécessaire d’informer la personne concernée du stockage des données, de la durée de leur conservation ou encore de l’usage qui va en être fait (voir les articles 13 et 14 du RGPD).
- L’individu contacté doit avoir la possibilité de faire supprimer ses coordonnées quand il le souhaite. Un lien de désinscription (fonctionnel) doit apparaître dans chacun de vos emails de prospection.
- Un rapport doit exister entre « l’objet de la sollicitation » et « la profession de la personne démarchée » (source : CNIL). Ainsi, un logiciel de marketing automation pourra valablement être présenté au responsable de la communication d’une PME. En revanche, il n’est pas pertinent de prospecter un DRH en vue de vendre un outil de modélisation 3D.
💡Bon à savoir : les adresses email des indépendants, entrepreneurs individuels et freelances (Gmail ou Outlook par exemple) sont protégées par le RGPD.
Prospection B2B par téléphone : quel est le droit applicable ?
En matière de cold calling, il convient à nouveau de distinguer deux catégories de données :
- Les numéros de téléphone de standard qui ne sont pas protégés par le RGPD.
- Les lignes directes attribuées à un collaborateur bien déterminé, qui entrent quant à elles dans le champ du RGPD.
Dans le détail :
- Pour pouvoir être contacté en toute légalité sur sa ligne directe, le salarié doit avoir accepté l’utilisation de son numéro à des fins de prospection commerciale (opt in).
- L’offre proposée doit être pertinente au regard de l’activité de l’entreprise et du poste occupé par la personne démarchée. En clair, le prospect doit être susceptible d’étudier votre offre dans le cadre de ses missions. Un DRH pourra, par exemple, être contacté à propos d’un programme de formation, mais pas au sujet d’une machine industrielle.
Quelles sont les sanctions encourues en cas de non-respect du RGPD ?
La CNIL est l’autorité chargée de faire respecter le RGPD. Cette institution effectue régulièrement des contrôles auprès des entreprises et des administrations. La plupart du temps, ces inspections sont motivées par des plaintes déposées par des prospects (par exemple dans le cas où ces derniers ne sont pas en mesure de se désinscrire de votre mail list).
Si à la suite du contrôle, la CNIL constate une infraction au RGPD, différentes mesures peuvent être prises à l’encontre du contrevenant :
- Une mise en demeure. La CNIL peut imposer à l’organisation de se mettre en conformité avec le RGPD dans un délai déterminé. En fonction de la gravité et de l’étendue du manquement, la mise en demeure peut être rendue publique (source : CNIL).
- Les sanctions. En cas de non-conformité au RGPD, la CNIL peut prononcer toute une gamme de punitions allant du simple rappel à l’ordre à l’amende (jusqu’à 4 % du chiffre d’affaires mondial pour une entreprise), en passant par l’arrêt de la collecte voire la suppression de toutes les données non conformes.
Quid de la responsabilité du Business Developer ou commercial freelance ? En principe, un Biz Dev indépendant n’est pas responsable au regard du RGPD lorsqu’il agit en qualité de sous-traitant pour le compte d’une société. L’entreprise cliente est responsable du traitement des données. Cependant, une certaine prudence s’impose :
- Le freelance ne doit pas dépasser ses prérogatives de sous-traitant (par exemple en adoptant une posture de conseil), sans quoi il peut engager sa responsabilité.
- L’indépendant doit lire et comprendre le contrat qui le lie à la société cliente. Il convient d’identifier les éventuelles clauses par lesquelles cette dernière se dédouane de sa responsabilité en matière de RGPD, et ce a fortiori si elle n’est pas en conformité avec la réglementation.
Les précautions à prendre pour respecter le RGPD en prospection B2B : conclusion
Le RGPD change partiellement la donne en matière de prospection commerciale à destination des professionnels.
En résumé, que vous soyez une start-up, une PME ou commercial freelance, pour vous prémunir contre d’éventuelles sanctions pensez toujours à :
- Vérifier la provenance de vos bases de données. Les informations personnelles contenues dans vos fichiers de contacts doivent avoir été collectées dans le respect des règles du RGPD (consentement, information…etc.).
- Permettre à vos prospects de se désinscrire simplement de votre liste de leads.
- Prospecter uniquement des entreprises et des personnes dont l’activité ou le poste a un rapport direct avec votre offre.
La bonne nouvelle ? Suivre ces règles vous permettra d’entretenir de meilleures relations avec vos prospects et, peut-être, améliorer votre performance commerciale.
Cet article est librement adapté du webinaire « Comment construire des fichiers de prospection RGPD friendly » animé par Maxime Pari, co-fondateur de MyBizDev, Alexandre Conraud, CEO de Sociétéinfo.com et Alan Walter, avocat associé au sein du cabinet Walter Billet Avocats et spécialisé en droit de la tech :