Digital··4 min
Prospection par email et RGPD : ce qui est permis en B2B au Luxembourg
Envoyer un email commercial à un prospect professionnel n'est pas automatiquement légal : voici ce que la CNPD attend des entreprises luxembourgeoises avant toute campagne de prospection.
Un commercial luxembourgeois qui envoie un email froid à un prospect identifié par son prénom et son nom s'expose à un risque de non-conformité, même dans un cadre strictement professionnel. Cet article s'adresse aux dirigeants, responsables marketing et commerciaux qui construisent ou achètent des bases de contacts pour leur prospection B2B.
Le principe : l'opt-in reste la règle, même en B2B
Beaucoup d'entreprises partent du principe qu'un contact professionnel autorise tout, puisqu'il s'agit d'une relation d'affaires et non d'un particulier. La CNPD rappelle qu'à défaut de consentement préalable, les personnes physiques sont en droit de ne pas recevoir de courriers électroniques commerciaux non sollicités, ce qui fait de l'opt-in le régime par défaut pour toute prospection par email, dans une actualité publiée le 25 mai 2018. Ce cadre découle de la loi modifiée du 30 mai 2005 relative à la protection de la vie privée dans le secteur des communications électroniques, qui transpose la directive 2002/58/CE et sa révision par la directive 2009/136/CE.
Concrètement, cela signifie qu'un email de prospection envoyé sans accord préalable du destinataire est, par défaut, non conforme, quelle que soit la qualité professionnelle de la personne contactée.
L'exception du soft opt-in : ce qu'elle autorise vraiment
Il existe une tolérance connue sous le nom de soft opt-in. Une entreprise qui a obtenu les coordonnées d'un client dans le cadre d'une vente ou d'une prestation peut lui adresser des offres similaires sans recueillir un nouveau consentement, selon la CNPD. Deux conditions cumulatives s'appliquent toutefois : le client doit avoir été informé de cet usage au moment de la collecte de ses données, et chaque message envoyé doit lui offrir un moyen simple et gratuit de s'opposer à ces sollicitations.
Cette exception ne couvre donc que les clients existants, pour des produits ou services comparables à ceux déjà achetés. Elle ne s'applique pas à un prospect jamais entré en relation contractuelle avec l'entreprise, même si son adresse a été trouvée publiquement sur un site professionnel ou un réseau comme LinkedIn (voir notre article sur LinkedIn au Luxembourg).
Adresses nominatives ou génériques : une différence qui change tout
Les textes de la CNPD ne distinguent pas explicitement le B2B du B2C : la protection vise les personnes physiques, sans exclusion pour le cadre professionnel. Une adresse au format pré[email protected] identifie un salarié précis et constitue une donnée personnelle soumise à ce régime d'opt-in, au même titre qu'une adresse privée. À l'inverse, une adresse générique comme info@ ou contact@ ne renvoie à aucune personne physique identifiable et ne constitue pas une donnée personnelle au sens du RGPD, ce qui laisse davantage de marge pour une prospection sans consentement préalable formalisé. Cette zone n'est toutefois pas tranchée aussi clairement que le régime nominatif par les sources CNPD consultées, et mérite prudence en cas de doute.
Checklist pour auditer sa base de prospection
Avant de lancer une campagne, il est utile de passer chaque contact de la base au filtre suivant :
- L'adresse est-elle nominative (identifie une personne physique) ou générique (info@, contact@) ?
- Pour une adresse nominative, existe-t-il une preuve de consentement préalable (formulaire, case cochée, échange antérieur) ?
- À défaut de consentement, existe-t-il une relation client documentée (vente, contrat, prestation passée) justifiant un soft opt-in ?
- Si le soft opt-in s'applique, la personne a-t-elle été informée de cet usage lors de la collecte initiale de ses coordonnées ?
- Chaque email de la campagne contient-il un lien ou une mention permettant de s'opposer facilement et gratuitement aux prochains envois ?
Une base de prospection qui ne peut pas répondre positivement à ces cinq points pour un contact nominatif donné expose l'entreprise à un risque de non-conformité sur ce contact précis, indépendamment de la taille de la base ou de l'historique de la campagne.
Ce que cet article ne remplace pas
Ce panorama informe sur le cadre général applicable à la prospection par email au Luxembourg, tel que décrit par la CNPD dans son dossier thématique sur l'e-privacy et son actualité de 2018. Il ne constitue pas un conseil juridique et ne permet pas de trancher un cas litigieux, une situation limite ou un montage de base de données complexe, pour lesquels il convient de consulter un avocat spécialisé ou de s'adresser directement à la CNPD. Les entreprises qui traitent régulièrement des données personnelles dans un cadre marketing peuvent aussi vérifier, en interne, si un délégué à la protection des données doit être désigné pour superviser ces pratiques.
