Il existe deux réponses standard à la question de savoir si vous pouvez contacter une entreprise en Europe sans demander d'abord, et les deux sont fausses. La première dit que le RGPD a interdit la prospection commerciale à froid en 2018. La seconde dit que le contact entre entreprises est exclu du champ, donc envoyez ce que vous voulez. La position réelle se situe entre les deux, elle est lisible si vous lisez les textes dans le bon ordre, et l'intérêt légitime est la charnière sur laquelle elle tourne. Ce qui suit est notre compréhension de travail, mise par écrit parce que nous bâtissons des décisions produit dessus.
01Ce que le RGPD régit, et ce qu'il ne régit pas
Le RGPD régit les données à caractère personnel : les informations se rapportant à une personne physique identifiée ou identifiable. Le considérant 14 le dit directement, et exclut les données relatives aux personnes morales. Une entreprise n'est pas une personne physique, et n'est pas protégée par le RGPD du seul fait d'exister.
Une adresse générique d'entreprise porte donc une revendication de donnée personnelle plus faible qu'une adresse professionnelle nominative. Comparez les deux :
- Un formulaire de contact sans destinataire nommé, ou une adresse de fonction comme info@ ou sales@ dans une entreprise de cent personnes, identifie une organisation et une fonction. Il n'y a pas de personne particulière à l'autre bout, et souvent aucune personne stable.
- [email protected] est une donnée à caractère personnel. Elle identifie un individu, elle lui appartient, et l'utiliser dans un cadre professionnel n'y change rien. L'ICO comme le CEPD traitent les coordonnées professionnelles d'une personne identifiable comme relevant du champ.
Plus faible ne veut pas dire nulle, et c'est là que l'on force le trait. Une adresse de fonction peut encore identifier une personne : info@ dans un cabinet de deux personnes est un humain nommé, et plusieurs régulateurs l'analysent ainsi. Et si vous avez recherché quelqu'un ou personnalisé sur quoi que ce soit le concernant, vous avez traité des données personnelles pour produire le message même quand la destination est générique. L'enveloppe ne décide pas de l'analyse. Le traitement, si.
La publication compte aussi, mais moins qu'on ne l'espère. Une entreprise qui publie une page de contact a invité le contact par cette voie, ce qui est un vrai élément du test des attentes raisonnables plus bas. Ce n'est pas un consentement, et le traiter comme tel est l'erreur la plus courante ici. Une porte, dans notre vocabulaire, est une voie de contact publique, et nous préférons les formulaires sans destinataire nommé. Nous ne devinons pas les adresses professionnelles individuelles à partir d'un motif de nommage : pratique courante, écartée plutôt que reportée.
02L'intérêt légitime est une base légale, pas un slogan
L'article 6, paragraphe 1, point f, fait de l'intérêt légitime une base légale, et le considérant 47 dit que la prospection commerciale peut être regardée comme poursuivant un tel intérêt. Ce considérant est cité sans arrêt et presque toujours mal lu. Il dit peut être regardée : la permission de faire le test, pas son résultat. L'intérêt légitime pour la prospection B2B est réel et conditionnel, et la condition est une analyse documentée plutôt qu'une affirmation.
Il comporte trois volets, et les trois doivent tenir :
- Finalité. Y a-t-il un intérêt réel, précis et actuel ? « Faire croître l'activité » échoue, parce que cela décrit tout ce qu'une entreprise peut faire. « Contacter les entreprises qui publient une page de contact développeur et font déjà tourner de l'infrastructure de scraping, au sujet d'un produit de scraping » est assez précis pour être discuté, et c'est ce qui en fait une finalité.
- Nécessité. Le traitement est-il réellement nécessaire à cette finalité, et quelque chose de moins intrusif vous y mènerait-il ? Si un annuaire publié, une relation existante ou un canal entrant ferait l'affaire, la mise en balance ne vous sauve pas. La nécessité est une vraie contrainte, pas une case.
- Mise en balance. Pesez votre intérêt contre les droits, les libertés et les attentes raisonnables du destinataire. La pertinence porte l'essentiel du poids. Un message au sujet d'un problème dont le destinataire a parlé publiquement, envoyé sur un canal qu'il a publié, se situe très différemment du même texte envoyé à dix mille adresses dans l'espoir que quelques-unes portent.
Le mot qui travaille est documentée. Écrivez l'analyse avant la campagne, gardez la version, et consignez ce qui a changé quand le ciblage a changé. Si un régulateur ou un destinataire demande, ce document est la preuve. Une analyse produite après l'arrivée de la plainte n'est pas une analyse, c'est une défense, et cela se lit comme telle.
Elle porte aussi une obligation que l'on saute. L'article 14 couvre les données que vous n'avez pas obtenues de la personne elle-même, et exige de lui dire ce que vous détenez, pourquoi, et d'où cela vient, au plus tard lors du premier contact. Le premier message doit donc dire d'où viennent les coordonnées. La plupart des messages de prospection à froid ne le font jamais.
03ePrivacy est la règle qui mord vraiment en prospection commerciale
Voici la partie que l'on saute, et celle qui génère les sanctions. Le RGPD vous donne une base légale pour le traitement des données. La directive ePrivacy régit l'acte de prospection électronique lui-même, un texte distinct avec des exigences distinctes, si bien que vous pouvez satisfaire pleinement l'article 6, paragraphe 1, point f, et rester interdit d'envoi.
L'article 13 pose l'opt in pour la prospection électronique non sollicitée vers les personnes physiques. L'article 13, paragraphe 5, renvoie ensuite la position des personnes morales aux États membres, en exigeant seulement que leurs intérêts soient suffisamment protégés. Ce seul renvoi explique qu'il n'y ait pas de réponse européenne ici, mais vingt-sept réponses nationales, et parce qu'une directive est transposée plutôt qu'appliquée directement, ces transpositions ont divergé définitivement.
Telles que nous les lisons aujourd'hui, et cette carte est revue plutôt que supposée :
- L'Allemagne exige un consentement exprès préalable pour la publicité par courrier électronique au titre de l'article 7 de l'UWG, sans exclusion pour les entreprises. Les tribunaux allemands sont constants sur ce point : un email publicitaire non sollicité vers une boîte d'entreprise est un trouble déraisonnable, et le fait que le destinataire soit une entreprise ne vous aide pas.
- L'Italie exige un consentement préalable pour la prospection électronique au titre de l'article 130 du Codice Privacy, et le Garante l'a appliqué à des destinataires professionnels.
- L'Autriche suit la même ligne au titre de sa loi sur les télécommunications. Consentement d'abord, et être une entreprise n'y change rien.
- La France distingue explicitement le B2B. La position de la CNIL est que contacter un professionnel à une adresse professionnelle au sujet de sa fonction ne requiert pas de consentement préalable, à condition qu'il soit informé lors de la collecte et puisse s'y opposer.
- L'Irlande, et une bonne part du reste de l'Union européenne, traitent les abonnés personnes morales sur une base d'opt out : vous envoyez jusqu'à ce qu'ils s'y opposent, sous réserve des obligations RGPD ci-dessus.
La question n'est donc pas « est-ce conforme au RGPD », ce qui, seul, ne veut presque rien dire. C'est « quelle transposition nationale s'applique à ce destinataire », décidée par l'endroit où se trouve le destinataire, pas où vous vous trouvez. Une campagne licite vers Dublin et illicite vers Munich est le cas normal, pas un cas limite.
Knockwire exclut par défaut les juridictions à consentement préalable. Une entreprise lue en Allemagne, en Autriche ou en Italie est refusée à l'étape de la juridiction, le motif est écrit au moment de la décision, et il apparaît dans l'index des refus où n'importe qui peut le compter. L'opérateur peut réactiver un pays, et c'est bien le propos : le faire est un acte délibéré avec un nom attaché, pris sur son propre conseil juridique. Ce n'est jamais le réglage par défaut et cela n'arrive jamais discrètement.
Une note honnête sur la portée. Une soumission par le formulaire de contact public d'une entreprise n'est pas le cas classique de l'article 13, qui vise le courrier électronique et l'appel automatisé, et s'analyse plutôt au titre du RGPD et des règles nationales de concurrence déloyale. C'est en partie pourquoi nous délivrons ainsi. Ce n'est pas une faille et cela ne survivrait pas à un usage en volume. L'envoi d'emails n'est pas construit : il est prévu pour le quatrième trimestre 2026, si bien que la lecture ci-dessus de l'article 13 et de l'article 7 de l'UWG est notre travail sur des règles avant d'en avoir besoin, pas la description de ce que nous faisons aujourd'hui.
04La position britannique : le PECR et l'abonné personne morale
Le Royaume-Uni a conservé le PECR après le Brexit, et le PECR trace une ligne que le RGPD ne trace pas : abonnés personnes physiques contre abonnés personnes morales. Le règlement 22, la règle de consentement pour l'email de prospection non sollicité, s'applique aux abonnés personnes physiques. Les sociétés à responsabilité limitée, les LLP, les sociétés de personnes écossaises et les organismes publics sont des abonnés personnes morales, et le règlement 22 ne les atteint pas. Un email de prospection vers la boîte d'une société à responsabilité limitée n'a pas besoin d'un consentement PECR. Cette part de l'histoire de l'exemption est vraie.
La moitié qui est fausse est celle qui génère les amendes. Le RGPD britannique s'applique toujours aux données personnelles contenues dans ce message ou derrière lui, il vous faut donc une base légale, vous devez l'information de l'article 14, et le droit d'opposition tient. Le règlement 23 s'applique quel que soit le type d'abonné : ne dissimulez pas qui envoie, et donnez une adresse valable pour l'opposition. « Le B2B est exempté » est une affirmation au sujet d'un seul règlement, lue comme si elle couvrait tous les autres.
Il y a un piège dans la classification elle-même. Les entrepreneurs individuels et, en Angleterre, au pays de Galles et en Irlande du Nord, les sociétés de personnes non constituées sont des abonnés personnes physiques au sens du PECR, et vus de l'extérieur ils ressemblent exactement à de petites entreprises : un site, une marque, une page équipe, aucune constitution en société. C'est Companies House qui tranche, pas le site. Nous ne tentons pas cette classification automatiquement. Une entreprise lue au Royaume-Uni que nous ne pouvons pas situer avec confiance comme constituée en société est refusée plutôt que devinée, et le motif consigné nomme la preuve manquante.
05Opposition, exclusion, et ce que veut dire immédiatement
L'article 21 donne un droit absolu de s'opposer à la prospection commerciale, et absolu est le mot juste. Aucune mise en balance, aucune analyse, aucun intérêt légitime n'y survit. Quelqu'un dit stop, et vous vous arrêtez, définitivement. La seule chose que vous conservez est le fait de l'opposition, parce que vous en avez besoin pour continuer à l'honorer. C'est cela, la liste d'exclusion : le seul endroit où « nous avons gardé vos coordonnées parce que vous nous avez dit de partir » est la bonne réponse plutôt qu'une excuse.
La plupart des mises en œuvre gèrent immédiatement et échouent sur définitivement. Une liste d'exclusion qui tient en pratique a des propriétés qui méritent d'être énoncées :
- Valable pour tout le compte client plutôt que par campagne. Une opposition à une campagne est une opposition, pas un retour sur cette campagne.
- Indexée sur le domaine autant que sur l'adresse, pour que le départ de l'opposant ne signifie pas que son successeur reçoive le message qui a été refusé.
- Contrôlée avant l'écriture du brouillon, pas avant l'envoi, pour qu'aucun humain n'ait jamais à valider un message qui ne pouvait pas légalement partir.
- Définitive, sans expiration, sans fenêtre de réactivation, et sans supposer que le silence depuis lors signifie que la position a changé.
- Résistante à la redécouverte. La source qui les a fait remonter le trimestre dernier les fera remonter de nouveau, et l'index doit montrer le même motif de refus à chaque fois.
Testez ce dernier point dans tout outil que vous évaluez, le nôtre compris. Si une entreprise exclue peut réapparaître comme une nouvelle candidate sous un nom légèrement différent, l'exclusion est un filtre sur l'envoi, pas sur le processus.