Account based marketing et RGPD : la carte de conformité tactique par tactique

L'account based marketing et le RGPD s'accordent mieux que ne le laissent croire la plupart des guides de conformité. Un programme ABM restreint son audience à une liste nommée d'entreprises que vous avez une raison commerciale d'approcher, ce qui correspond exactement au type de traitement que l'article 6.1.f a été écrit pour accueillir. Le problème ne vient pas de la stratégie. Il vient du fait qu'une seule campagne ABM déclenche quatre ou cinq mécanismes différents en même temps, chacun régi par une règle différente, alors que les équipes choisissent une base légale unique et l'appliquent à tout.

L'enjeu n'a rien de théorique. Les amendes européennes cumulées atteignent 7,1 milliards d'euros selon l'étude annuelle DLA Piper sur les sanctions RGPD, le chiffre que nous suivons dans notre tracker des sanctions RGPD, et les déclencheurs récurrents relèvent de la prospection et des pratiques de données, pas de défaillances techniques exotiques.

Ce guide fait ce que les autres guides évitent. Plutôt que de redire les six principes du RGPD, il associe chaque tactique ABM concrète au texte qui la gouverne réellement, à la base qui tient debout, et à la pièce que vous devez pouvoir produire si une autorité vous la demande. À lire avec notre guide des bases légales de l'enrichissement B2B si vous n'avez pas encore tranché cette question pour votre stack.

Account based marketing et RGPD : ce qui change vraiment

Trois propriétés de l'ABM modifient votre exposition, et une seule d'entre elles est une contrainte.

Votre audience est définie avant la collecte. En génération de demande large, vous achetez de la portée puis vous cherchez la pertinence après coup. En ABM, vous décidez que ces 180 entreprises correspondent à votre profil client idéal, et c'est seulement ensuite que vous cherchez des personnes à l'intérieur. Cet ordre compte juridiquement, parce que le volet nécessité du test d'intérêt légitime demande si vous auriez pu atteindre votre finalité avec moins de données. Une équipe capable de montrer une étape de sélection de comptes documentée répond bien plus facilement qu'une équipe qui a ingéré un fichier de 400 000 lignes avant de filtrer.

Votre volume est faible et votre justification est précise. La minimisation cesse d'être un principe abstrait quand la liste fait 180 entreprises et environ 900 contacts nommés. Vous pouvez réellement dire, champ par champ, pourquoi il est là. Notre note sur la minimisation des données en B2B décrit la discipline au niveau du champ qui rend cette réponse défendable.

C'est votre personnalisation qui vous expose. Voilà la contrainte. L'ABM se vend sur la pertinence, et la pertinence signifie déduire des choses : séniorité, pouvoir de décision, outillage en place, dynamique de recrutement, levée de fonds. Chaque déduction est un traitement, chaque déduction doit être justifiée, et certaines des déductions qui rendent un deck ABM impressionnant sont précisément celles qui intéressent le plus une autorité de contrôle.

Niveau compte ou niveau personne : la ligne qui décide de tout

Presque toutes les erreurs de conformité en ABM remontent à une seule confusion. Le RGPD protège les personnes physiques. Il ne protège pas les entreprises.

Chiffre d'affaires, effectif, code d'activité, adresse du siège, numéro d'immatriculation, historique de financement, stack technique : tout cela décrit une personne morale et, pris isolément, ne constitue pas une donnée personnelle. Vous pouvez construire, acheter, enrichir et conserver un jeu de données au niveau compte sans jamais toucher au RGPD.

Dès qu'une ligne identifie un être humain, tout le régime s'applique. Un contact nommé, un email professionnel construit sur prenom.nom, une ligne directe, une URL de profil LinkedIn, un intitulé de poste rattaché à un individu : ce sont des données personnelles, pleinement dans le champ, et le contexte B2B ne crée aucune exemption. Il change seulement la base légale qui reste réaliste.

Une réserve sur la première ligne, et elle pèse plus en Europe qu'on ne l'imagine. Pour un entrepreneur individuel ou une société unipersonnelle, les prétendues données d'entreprise identifient une personne physique : la dénomination est son nom, l'adresse du siège est souvent son domicile, et le numéro d'immatriculation pointe sur elle. Dans ces cas, la couche compte est de la donnée personnelle et tout le régime s'applique. L'exemption au niveau compte dépend donc du type d'entité, ce n'est pas une règle générale.

C'est la quatrième ligne qui piège les équipes ABM les plus sûres d'elles. Les outils de reverse-IP se vendent comme de l'identification de compte, avec l'argument qu'aucun individu n'est identifié et que le droit des données ne s'applique donc pas. La Cour de justice a jugé dans l'arrêt Breyer (C-582/14) qu'une adresse IP dynamique est une donnée personnelle entre les mains d'une partie disposant de moyens légaux d'identifier l'abonné. Savoir si un déploiement donné franchit ce seuil est une véritable analyse. Ce n'est pas un slogan sur une page fournisseur.

La carte tactique par tactique : quel texte, quelle base, quelle preuve

Voici la partie que les autres guides omettent. Le RGPD n'est pas le seul instrument en jeu. La directive ePrivacy, telle que transposée par chaque État membre, gouverne deux choses que le RGPD ne couvre pas : le stockage ou la lecture d'une information sur l'équipement terminal d'un utilisateur, et la prospection électronique non sollicitée. Un programme ABM touche aux deux. Choisir le bon instrument pour chaque tactique constitue l'essentiel du travail.

La même carte en entier, pour la lire sans toucher à l'outil :

Deux lectures de cette carte sont à retenir pour votre prochaine campagne. D'abord, l'instrument change en cours de tunnel : la même audience peut être licite à constituer sur intérêt légitime et illicite à retargeter sans consentement, parce que l'étape de retargeting touche un terminal et non une base. Ensuite, la colonne des pièces est celle qui décide d'un contrôle. Les autorités contestent rarement que l'intérêt légitime soit mobilisable. Elles demandent à voir le test, et il n'existe pas.

Account based marketing et RGPD : construire la liste de comptes cibles

Commencez au niveau compte et restez-y aussi longtemps que le travail le permet. Sélectionner 180 entreprises sur le secteur, l'effectif, la géographie, le stade de financement et l'outillage observable ne mobilise aucune donnée personnelle : toute la phase de sélection d'un programme ABM se situe donc hors du régime. Les équipes s'en privent régulièrement en tirant les contacts dans la même requête que les données d'entreprise, puis en traitant l'ensemble du fichier comme un problème de conformité.

Quand vous passez aux personnes, la question qui compte est celle de la provenance. Ni l'exactitude, ni le volume : la provenance. Une autorité qui s'intéresse à un fichier de prospection commence par son origine, et c'est là qu'une liste louée s'effondre, parce que la réponse se résume à un nom de fournisseur et à la base de ce fournisseur, qui ne vous est pas transférée. Notre guide consentement contre intérêt légitime explique pourquoi ce transfert échoue.

Assembler les contacts vous-même transforme la réponse : d'un nom de fournisseur, elle devient une étape descriptible. Cette propriété tient à la méthode, pas à un outil : toute voie où vous réalisez les étapes vous-même produit un récit de ces étapes, et une voie manuelle compte aussi. L'outillage ne décide que du temps que ça prend. Derrick fonctionne depuis une sidebar Google Sheets plutôt qu'un langage de formules, et les mêmes opérations sont disponibles via une API REST et un serveur MCP pour les équipes qui préfèrent piloter depuis un pipeline ou un client IA. Enrich Companies remplit la couche compte à 1 crédit par entreprise, et Import Leads from Target Companies résout les contacts nommés à l'intérieur de ces comptes à 1 crédit par lead. Les deux tournent sur le plan gratuit de 100 crédits par mois, et les deux passent à l'échelle sur une liste de 20 comme de 20 000 sans changer de méthode. Le catalogue de features couvre le reste de la surface.

La discipline au niveau du champ est exactement celle qui rend le test de nécessité facile. Enrichissez les champs que la campagne utilise. Si votre séquence ne mentionne jamais le chiffre d'affaires, ne gardez pas une colonne de CA dans la table de contacts : on vous demandera pourquoi elle est là, et « l'outil l'a renvoyée » n'est pas une réponse.

Publicité, pixels et audiences appariées : ici c'est ePrivacy, pas le RGPD

C'est l'erreur structurelle la plus répandue en conformité ABM, et elle n'a rien de subtil. Les équipes réalisent un test d'intérêt légitime soigneux pour leur base de prospection, puis déploient un pixel publicitaire sur tout le site en considérant la question réglée.

Elle ne l'est pas, parce qu'un autre texte s'applique. L'article 5.3 de la directive ePrivacy impose un consentement préalable pour stocker une information sur l'équipement terminal d'un utilisateur, ou accéder à une information déjà stockée. Deux exemptions étroites existent, pour le stockage dont la seule finalité est d'acheminer une communication et pour ce qui est strictement nécessaire à un service expressément demandé par l'utilisateur, et un pixel publicitaire ou de retargeting ne relève d'aucune des deux. Cette règle est déclenchée par l'écriture ou la lecture elle-même. Elle ne s'intéresse pas à votre base RGPD, et l'intérêt légitime n'en est pas une alternative disponible. Un cookie, un pixel, une écriture en stockage local et une empreinte d'appareil tombent tous dedans.

Les audiences appariées ajoutent une seconde couche. Lorsque vous chargez une liste de contacts nommés vers une régie publicitaire pour qu'elle retrouve ces personnes parmi ses utilisateurs, vous communiquez des données personnelles à une autre organisation. Il vous faut une base pour cette communication, la conformité de la plateforme ne couvre pas votre part de responsabilité, et vous devez pouvoir dire ce que vous avez chargé, quand, et quand les deux parties le suppriment. La facilité du bouton d'import masque un vrai transfert et, si la plateforme traite hors EEE, notre guide sur les transferts internationaux de données enrichies couvre la couche en dessous.

Données d'intention en account based marketing : faits observés contre comportement pisté

C'est sur les données d'intention que les programmes ABM concentrent l'essentiel de leur risque, et les guides confondent habituellement deux choses très différentes sous un même mot.

Les signaux first-party sont ce qui se passe sur des surfaces que vous contrôlez : pages vues sur votre site, contenu téléchargé, emails ouverts, événements auxquels le prospect a participé. Vous êtes responsable de traitement, vous connaissez le chemin de collecte, et la partie qui touche au terminal exige un consentement ePrivacy pendant que la construction du profil exige une base RGPD.

L'intention comportementale achetée vient d'ailleurs. Quelqu'un a observé des comportements de lecture sur un réseau d'éditeurs et vous a vendu la déduction. Deux problèmes en découlent. La base légale du fournisseur couvre le traitement du fournisseur, pas le vôtre : il vous en faut une propre. Et l'article 14 s'applique précisément parce que la donnée ne vient pas de la personne : vous lui devez une information sur votre traitement, en principe dans le mois ou lors de la première communication, selon ce qui vient en premier. La plupart des équipes qui achètent de l'intention n'ont jamais envoyé cette information.

Les événements d'entreprise observés forment une troisième catégorie, bien plus basse sur la courbe de risque, et les équipes ABM la sous-utilisent. Une levée de fonds, un changement de poste, une vague de recrutement, un changement d'outillage visible : ce sont des faits que l'entreprise a publiés sur elle-même, ce sont des signaux de timing plutôt que des déductions sur le comportement privé d'une personne, et ils indiquent souvent mieux l'intention d'achat qu'un score de consommation de contenu anonymisé. La raison de les préférer tient à la nature de la donnée, pas à un outil : quand l'événement est annoncé par l'entreprise, vous pouvez en pointer la source publique, ce qui n'est jamais vrai d'un score comportemental acheté. Si vous voulez les collecter automatiquement, Signal, chez Derrick, surveille comptes et leads sur les changements de poste, les levées, les vagues de recrutement et les mouvements de stack technique, et déclenche une alerte dès qu'un signal se produit. C'est une feature payante, disponible à partir du plan Standard à 20 € par mois, et elle coûte 1 crédit par signal déclenché.

Ce que vous devez pouvoir montrer : le test, le registre, l'horloge

L'intérêt légitime n'est pas une case à cocher. C'est un test documenté en trois volets, et c'est le document qui compte.

Finalité. Énoncez l'intérêt commercial simplement. « Contacter des décideurs dans des entreprises qui correspondent à notre profil client idéal, pour proposer un produit pertinent au regard de leur fonction » est un intérêt légitime. Il n'a pas besoin d'être noble.

Nécessité. Montrez que le traitement est nécessaire à cette finalité et qu'une voie moins intrusive n'était pas disponible. C'est ici que la forme de l'ABM vous aide : une liste de 180 comptes est manifestement plus ciblée qu'un fichier de masse, et le resserrement lui-même constitue la preuve.

Mise en balance. Pesez votre intérêt face aux attentes raisonnables de la personne. Un contact nommé dont la fonction est d'évaluer la catégorie que vous vendez peut raisonnablement s'attendre à des approches professionnelles. La même personne ne peut pas raisonnablement s'attendre à ce que son historique de navigation sur des sites sans rapport ait été assemblé en un score que vous avez acheté.

Une pièce se trouve sous toutes les autres et manque dans la plupart des dossiers ABM : le contrat de sous-traitance de l'article 28. Chaque outil d'enrichissement, plateforme d'envoi et régie publicitaire qui touche vos données de contact est soit un sous-traitant, soit un responsable distinct, et dans le premier cas il vous faut un contrat écrit portant les clauses de l'article 28 avant que la donnée ne circule. Si votre registre nomme un destinataire avec lequel vous n'avez aucun accord, c'est un constat qui n'attend que le contrôle.

À côté du test, trois autres pièces complètent le dossier. Le registre de l'article 30 qui liste le programme ABM comme traitement, avec finalité, catégories, base, destinataires et durée. L'information de l'article 14, puisque aucune de ces données ne vient de la personne. Et une horloge de conservation. Le RGPD ne fixe aucun chiffre : l'article 5.1.e dit seulement que la donnée ne doit pas être conservée plus longtemps que nécessaire. Le repère qu'utilisent la plupart des équipes en France est celui de la CNIL, qui recommande un maximum de trois ans à compter du dernier contact utile pour la donnée de prospection, après quoi l'enregistrement est supprimé ou anonymisé sauf nouvelle interaction qui relance le compteur. Les autres autorités européennes ne se sont pas alignées sur ce chiffre : traitez-le comme une valeur par défaut défendable que vous écrivez noir sur blanc, pas comme un plafond légal.

Un droit mérite d'être souligné à part, parce qu'il n'a aucune mise en balance. Au titre de l'article 21.2, l'opposition à un traitement de prospection est absolue. La personne dit stop, et vous arrêtez, immédiatement et définitivement, quelle que soit la solidité de votre test d'intérêt légitime. Dans un programme ABM, cela veut dire que la liste de suppression doit atteindre tous les canaux, pas seulement l'outil d'emailing, et notre guide sur les droits des personnes concernées en couvre le versant opérationnel.

Account based marketing et RGPD : les cinq défaillances qui font prendre les équipes

Un contrôle arrive rarement sous la forme d'un débat philosophique sur l'intérêt légitime. Il arrive sous la forme de l'une de ces cinq défaillances opérationnelles, et les cinq sont peu coûteuses à prévenir avant le lancement.

• Le fichier dont personne ne sait expliquer l'origine. Une liste arrivée d'une agence, d'un salarié parti, d'un salon, ou d'un fournisseur que plus personne ne sait nommer. Il n'y a pas de base à évaluer parce que personne ne sait décrire la collecte. C'est la défaillance qu'on ne répare pas rétroactivement, et c'est pourquoi construire la liste par des étapes que vous avez réalisées est une décision de conformité, pas seulement d'opérations.
• L'information que personne n'a envoyée. L'article 14 est l'obligation la plus systématiquement ignorée en prospection B2B. Le correctif tient en un paragraphe dans le premier message et une page de politique de confidentialité accessible.
• La suppression qui n'a atteint qu'un outil. Quelqu'un s'oppose par email, la plateforme commerciale l'enregistre, et la régie publicitaire continue de lui diffuser des annonces parce que l'audience a été chargée trois semaines plus tôt et n'a jamais été rafraîchie.
• Le bandeau qui ne correspond plus aux tags. L'inventaire des tags dérive, un nouveau pixel part en production, et le bandeau décrit encore la stack du trimestre précédent. Comme cela relève d'ePrivacy, aucune base RGPD ne le rattrape.
• La base sans horloge. Des contacts de 2019 dans une séquence active. Personne n'a décidé de les garder. Personne n'a rien décidé, et c'est exactement le problème, parce que la responsabilité de l'article 5.2 consiste à pouvoir démontrer une décision.

Rien de tout cela ne rend l'account based marketing plus difficile que la prospection large. Cela le rend plus défendable, à condition que les pièces soient produites en même temps que la campagne et non après réception d'un courrier. Un programme qui démarre au niveau compte, ajoute des personnes délibérément, documente l'origine de chaque ligne, garde la couche ePrivacy séparée de la couche RGPD et honore l'opposition partout à la fois est un programme qui résiste au contrôle. Commencez par notre guide juridique complet du RGPD et de l'enrichissement B2B pour la couche située sous tout le reste.