--- title: "Account based marketing et RGPD : la carte tactique" description: "Account based marketing et RGPD, tactique par tactique : quel texte s'applique, quelle base légale tient, et la pièce à garder au dossier avant de lancer." canonical: "https://derrick-app.com/fr/gdpr-b2b/account-based-marketing-rgpd" category: "RGPD B2B" updated: "2026-08-21" --- # Account based marketing et RGPD : la carte de conformité tactique par tactique > L'account based marketing est compatible avec le RGPD parce qu'il restreint le traitement à une liste de comptes nommée que vous savez justifier, ce que récompense précisément le test d'intérêt légitime. La difficulté vient de ce qu'une campagne ABM déclenche plusieurs mécanismes à la fois, et ils ne relèvent pas tous du RGPD : tout ce qui touche un terminal relève d'ePrivacy, où l'intérêt légitime n'est pas disponible. Associez chaque tactique à son texte, sa base et sa pièce avant le lancement, et le programme résiste au contrôle. *Canonical: https://derrick-app.com/fr/gdpr-b2b/account-based-marketing-rgpd* · *RGPD B2B* --- L'**account based marketing et le RGPD** s'accordent mieux que ne le laissent croire la plupart des guides de conformité. Un programme ABM restreint son audience à une liste nommée d'entreprises que vous avez une raison commerciale d'approcher, ce qui correspond exactement au type de traitement que l'article 6.1.f a été écrit pour accueillir. Le problème ne vient pas de la stratégie. Il vient du fait qu'une seule campagne ABM déclenche quatre ou cinq mécanismes différents en même temps, chacun régi par une règle différente, alors que les équipes choisissent une base légale unique et l'appliquent à tout. L'enjeu n'a rien de théorique. Les amendes européennes cumulées atteignent 7,1 milliards d'euros selon l'étude annuelle DLA Piper sur les sanctions RGPD, le chiffre que nous suivons dans notre [tracker des sanctions RGPD](https://derrick-app.com/fr/gdpr-b2b/rapport-sanctions-rgpd-2026), et les déclencheurs récurrents relèvent de la prospection et des pratiques de données, pas de défaillances techniques exotiques. Ce guide fait ce que les autres guides évitent. Plutôt que de redire les six principes du RGPD, il associe chaque tactique ABM concrète au texte qui la gouverne réellement, à la base qui tient debout, et à la pièce que vous devez pouvoir produire si une autorité vous la demande. À lire avec notre [guide des bases légales de l'enrichissement B2B](https://derrick-app.com/fr/gdpr-b2b/base-legale) si vous n'avez pas encore tranché cette question pour votre stack. ## Account based marketing et RGPD : ce qui change vraiment Trois propriétés de l'ABM modifient votre exposition, et une seule d'entre elles est une contrainte. **Votre audience est définie avant la collecte.** En génération de demande large, vous achetez de la portée puis vous cherchez la pertinence après coup. En ABM, vous décidez que ces 180 entreprises correspondent à votre profil client idéal, et c'est seulement ensuite que vous cherchez des personnes à l'intérieur. Cet ordre compte juridiquement, parce que le volet nécessité du test d'intérêt légitime demande si vous auriez pu atteindre votre finalité avec moins de données. Une équipe capable de montrer une étape de sélection de comptes documentée répond bien plus facilement qu'une équipe qui a ingéré un fichier de 400 000 lignes avant de filtrer. **Votre volume est faible et votre justification est précise.** La minimisation cesse d'être un principe abstrait quand la liste fait 180 entreprises et environ 900 contacts nommés. Vous pouvez réellement dire, champ par champ, pourquoi il est là. Notre note sur la [minimisation des données en B2B](https://derrick-app.com/fr/gdpr-b2b/minimisation-donnees) décrit la discipline au niveau du champ qui rend cette réponse défendable. **C'est votre personnalisation qui vous expose.** Voilà la contrainte. L'ABM se vend sur la pertinence, et la pertinence signifie déduire des choses : séniorité, pouvoir de décision, outillage en place, dynamique de recrutement, levée de fonds. Chaque déduction est un traitement, chaque déduction doit être justifiée, et certaines des déductions qui rendent un deck ABM impressionnant sont précisément celles qui intéressent le plus une autorité de contrôle. ## Niveau compte ou niveau personne : la ligne qui décide de tout Presque toutes les erreurs de conformité en ABM remontent à une seule confusion. Le RGPD protège les personnes physiques. Il ne protège pas les entreprises. Chiffre d'affaires, effectif, code d'activité, adresse du siège, numéro d'immatriculation, historique de financement, stack technique : tout cela décrit une personne morale et, pris isolément, ne constitue pas une donnée personnelle. Vous pouvez construire, acheter, enrichir et conserver un jeu de données au niveau compte sans jamais toucher au RGPD. Dès qu'une ligne identifie un être humain, tout le régime s'applique. Un contact nommé, un email professionnel construit sur prenom.nom, une ligne directe, une URL de profil LinkedIn, un intitulé de poste rattaché à un individu : ce sont des données personnelles, pleinement dans le champ, et le contexte B2B ne crée aucune exemption. Il change seulement la base légale qui reste réaliste. | Donnée dans un programme ABM | Donnée personnelle ? | Conséquence pratique | | --- | --- | --- | | CA, effectif, secteur, numéro d'immatriculation | Non | Hors RGPD. Pas de base, pas de durée de conservation, pas de droits. | | Boîte générique de l'entreprise (contact@, sales@) | En général non | Traitée comme donnée d'entreprise. Devient personnelle si elle désigne une personne identifiable. | | Contact nommé, email pro, ligne directe, URL de profil | Oui | Régime complet : base, information, opposition, conservation, registre. | | Adresse IP captée pour désanonymiser un compte | Oui, dans la plupart des cas | Traitée comme donnée personnelle. Le reverse-IP n'est pas une zone hors RGPD. | | Score d'intention comportementale rattaché à une personne | Oui | Exposition maximale. Base, information, et droit d'opposition absolu. | Une réserve sur la première ligne, et elle pèse plus en Europe qu'on ne l'imagine. Pour un entrepreneur individuel ou une société unipersonnelle, les prétendues données d'entreprise identifient une personne physique : la dénomination est son nom, l'adresse du siège est souvent son domicile, et le numéro d'immatriculation pointe sur elle. Dans ces cas, la couche compte est de la donnée personnelle et tout le régime s'applique. L'exemption au niveau compte dépend donc du type d'entité, ce n'est pas une règle générale. C'est la quatrième ligne qui piège les équipes ABM les plus sûres d'elles. Les outils de reverse-IP se vendent comme de l'identification de compte, avec l'argument qu'aucun individu n'est identifié et que le droit des données ne s'applique donc pas. La Cour de justice a jugé dans l'arrêt *Breyer* (C-582/14) qu'une adresse IP dynamique est une donnée personnelle entre les mains d'une partie disposant de moyens légaux d'identifier l'abonné. Savoir si un déploiement donné franchit ce seuil est une véritable analyse. Ce n'est pas un slogan sur une page fournisseur. ## La carte tactique par tactique : quel texte, quelle base, quelle preuve Voici la partie que les autres guides omettent. Le RGPD n'est pas le seul instrument en jeu. La directive ePrivacy, telle que transposée par chaque État membre, gouverne deux choses que le RGPD ne couvre pas : le stockage ou la lecture d'une information sur l'équipement terminal d'un utilisateur, et la prospection électronique non sollicitée. Un programme ABM touche aux deux. Choisir le bon instrument pour chaque tactique constitue l'essentiel du travail. Outil gratuit ### Tactique ABM vers base légale Choisissez la tactique que vous vous apprêtez à lancer. En sortie : le texte qui la gouverne, la base qui tient réellement, et la pièce à avoir au dossier avant le lancement. Quelle tactique ABM lancez-vous ? Choisissez une tactique pour voir quel texte s'applique et ce qu'il faut au dossier. Repères généraux pour des programmes UE, pas un conseil juridique. Les transpositions nationales d'ePrivacy divergent fortement sur l'email B2B : vérifiez la règle dans chaque pays visé. Le régime britannique (UK GDPR et PECR) diverge sur plusieurs de ces points et n'est pas traité ici. La même carte en entier, pour la lire sans toucher à l'outil : | Tactique ABM | Texte qui la gouverne | Base utilisable | À garder au dossier | | --- | --- | --- | --- | | Construire la liste de comptes cibles | Hors RGPD tant que cela reste au niveau compte | Aucune, pour les seuls attributs d'entreprise | Les critères de sélection qui définissent la liste | | Trouver les contacts nommés dans les comptes | RGPD | Intérêt légitime, article 6.1.f | Le test d'intérêt légitime et la source de chaque contact | | Emailing sortant vers des contacts nommés | RGPD pour la donnée, ePrivacy article 13 pour l'envoi | Intérêt légitime, sous réserve de la règle B2B nationale | La preuve de l'information article 14 et un lien de désinscription actif | | Charger une liste en audience appariée | RGPD et ePrivacy, plus les conditions de la plateforme | Le consentement est la lecture prudente : les lignes directrices 8/2020 de l'EDPB traitent le ciblage par liste comme une responsabilité conjointe | Ce que vous avez chargé, à qui, l'accord conclu, et le calendrier de suppression | | Pixel de retargeting sur votre site | ePrivacy article 5.3 d'abord, puis RGPD | Consentement préalable pour l'écriture ou la lecture sur le terminal | Les preuves de consentement et l'inventaire des tags couverts | | Données d'intention comportementales achetées | RGPD | Intérêt légitime, le plus difficile à défendre | La base du fournisseur, votre information article 14, le contrat article 28 | | Événements d'entreprise observés (levée, recrutement) | RGPD seulement si l'événement nomme une personne | Intérêt légitime, sur des faits publiés par l'entreprise | La source publique de l'événement et le champ qu'il alimente | Deux lectures de cette carte sont à retenir pour votre prochaine campagne. D'abord, l'instrument change en cours de tunnel : la même audience peut être licite à constituer sur intérêt légitime et illicite à retargeter sans consentement, parce que l'étape de retargeting touche un terminal et non une base. Ensuite, la colonne des pièces est celle qui décide d'un contrôle. Les autorités contestent rarement que l'intérêt légitime soit mobilisable. Elles demandent à voir le test, et il n'existe pas. ## Account based marketing et RGPD : construire la liste de comptes cibles Commencez au niveau compte et restez-y aussi longtemps que le travail le permet. Sélectionner 180 entreprises sur le secteur, l'effectif, la géographie, le stade de financement et l'outillage observable ne mobilise aucune donnée personnelle : toute la phase de sélection d'un programme ABM se situe donc hors du régime. Les équipes s'en privent régulièrement en tirant les contacts dans la même requête que les données d'entreprise, puis en traitant l'ensemble du fichier comme un problème de conformité. Quand vous passez aux personnes, la question qui compte est celle de la provenance. Ni l'exactitude, ni le volume : la provenance. Une autorité qui s'intéresse à un fichier de prospection commence par son origine, et c'est là qu'une liste louée s'effondre, parce que la réponse se résume à un nom de fournisseur et à la base de ce fournisseur, qui ne vous est pas transférée. Notre guide [consentement contre intérêt légitime](https://derrick-app.com/fr/gdpr-b2b/consentement-vs-interet-legitime) explique pourquoi ce transfert échoue. Assembler les contacts vous-même transforme la réponse : d'un nom de fournisseur, elle devient une étape descriptible. Cette propriété tient à la méthode, pas à un outil : toute voie où vous réalisez les étapes vous-même produit un récit de ces étapes, et une voie manuelle compte aussi. L'outillage ne décide que du temps que ça prend. Derrick fonctionne depuis une sidebar Google Sheets plutôt qu'un langage de formules, et les mêmes opérations sont disponibles via une API REST et un serveur MCP pour les équipes qui préfèrent piloter depuis un pipeline ou un client IA. [Enrich Companies](https://derrick-app.com/fr/features/enrich-companies) remplit la couche compte à 1 crédit par entreprise, et [Import Leads from Target Companies](https://derrick-app.com/fr/features/import-leads-from-target-companies) résout les contacts nommés à l'intérieur de ces comptes à 1 crédit par lead. Les deux tournent sur le plan gratuit de 100 crédits par mois, et les deux passent à l'échelle sur une liste de 20 comme de 20 000 sans changer de méthode. Le [catalogue de features](https://derrick-app.com/fr/features) couvre le reste de la surface. La discipline au niveau du champ est exactement celle qui rend le test de nécessité facile. Enrichissez les champs que la campagne utilise. Si votre séquence ne mentionne jamais le chiffre d'affaires, ne gardez pas une colonne de CA dans la table de contacts : on vous demandera pourquoi elle est là, et « l'outil l'a renvoyée » n'est pas une réponse. ## Publicité, pixels et audiences appariées : ici c'est ePrivacy, pas le RGPD C'est l'erreur structurelle la plus répandue en conformité ABM, et elle n'a rien de subtil. Les équipes réalisent un test d'intérêt légitime soigneux pour leur base de prospection, puis déploient un pixel publicitaire sur tout le site en considérant la question réglée. Elle ne l'est pas, parce qu'un autre texte s'applique. L'article 5.3 de la directive ePrivacy impose un consentement préalable pour stocker une information sur l'équipement terminal d'un utilisateur, ou accéder à une information déjà stockée. Deux exemptions étroites existent, pour le stockage dont la seule finalité est d'acheminer une communication et pour ce qui est strictement nécessaire à un service expressément demandé par l'utilisateur, et un pixel publicitaire ou de retargeting ne relève d'aucune des deux. Cette règle est déclenchée par l'écriture ou la lecture elle-même. Elle ne s'intéresse pas à votre base RGPD, et l'intérêt légitime n'en est pas une alternative disponible. Un cookie, un pixel, une écriture en stockage local et une empreinte d'appareil tombent tous dedans. Les audiences appariées ajoutent une seconde couche. Lorsque vous chargez une liste de contacts nommés vers une régie publicitaire pour qu'elle retrouve ces personnes parmi ses utilisateurs, vous communiquez des données personnelles à une autre organisation. Il vous faut une base pour cette communication, la conformité de la plateforme ne couvre pas votre part de responsabilité, et vous devez pouvoir dire ce que vous avez chargé, quand, et quand les deux parties le suppriment. La facilité du bouton d'import masque un vrai transfert et, si la plateforme traite hors EEE, notre guide sur les [transferts internationaux de données enrichies](https://derrick-app.com/fr/gdpr-b2b/transferts-internationaux) couvre la couche en dessous. ## Données d'intention en account based marketing : faits observés contre comportement pisté C'est sur les données d'intention que les programmes ABM concentrent l'essentiel de leur risque, et les guides confondent habituellement deux choses très différentes sous un même mot. **Les signaux first-party** sont ce qui se passe sur des surfaces que vous contrôlez : pages vues sur votre site, contenu téléchargé, emails ouverts, événements auxquels le prospect a participé. Vous êtes responsable de traitement, vous connaissez le chemin de collecte, et la partie qui touche au terminal exige un consentement ePrivacy pendant que la construction du profil exige une base RGPD. **L'intention comportementale achetée** vient d'ailleurs. Quelqu'un a observé des comportements de lecture sur un réseau d'éditeurs et vous a vendu la déduction. Deux problèmes en découlent. La base légale du fournisseur couvre le traitement du fournisseur, pas le vôtre : il vous en faut une propre. Et l'article 14 s'applique précisément parce que la donnée ne vient pas de la personne : vous lui devez une information sur votre traitement, en principe dans le mois ou lors de la première communication, selon ce qui vient en premier. La plupart des équipes qui achètent de l'intention n'ont jamais envoyé cette information. **Les événements d'entreprise observés** forment une troisième catégorie, bien plus basse sur la courbe de risque, et les équipes ABM la sous-utilisent. Une levée de fonds, un changement de poste, une vague de recrutement, un changement d'outillage visible : ce sont des faits que l'entreprise a publiés sur elle-même, ce sont des signaux de timing plutôt que des déductions sur le comportement privé d'une personne, et ils indiquent souvent mieux l'intention d'achat qu'un score de consommation de contenu anonymisé. La raison de les préférer tient à la nature de la donnée, pas à un outil : quand l'événement est annoncé par l'entreprise, vous pouvez en pointer la source publique, ce qui n'est jamais vrai d'un score comportemental acheté. Si vous voulez les collecter automatiquement, [Signal](https://derrick-app.com/fr/features/signal), chez Derrick, surveille comptes et leads sur les changements de poste, les levées, les vagues de recrutement et les mouvements de stack technique, et déclenche une alerte dès qu'un signal se produit. C'est une feature payante, disponible à partir du plan Standard à 20 € par mois, et elle coûte 1 crédit par signal déclenché. ## Ce que vous devez pouvoir montrer : le test, le registre, l'horloge L'intérêt légitime n'est pas une case à cocher. C'est un test documenté en trois volets, et c'est le document qui compte. **Finalité.** Énoncez l'intérêt commercial simplement. « Contacter des décideurs dans des entreprises qui correspondent à notre profil client idéal, pour proposer un produit pertinent au regard de leur fonction » est un intérêt légitime. Il n'a pas besoin d'être noble. **Nécessité.** Montrez que le traitement est nécessaire à cette finalité et qu'une voie moins intrusive n'était pas disponible. C'est ici que la forme de l'ABM vous aide : une liste de 180 comptes est manifestement plus ciblée qu'un fichier de masse, et le resserrement lui-même constitue la preuve. **Mise en balance.** Pesez votre intérêt face aux attentes raisonnables de la personne. Un contact nommé dont la fonction est d'évaluer la catégorie que vous vendez peut raisonnablement s'attendre à des approches professionnelles. La même personne ne peut pas raisonnablement s'attendre à ce que son historique de navigation sur des sites sans rapport ait été assemblé en un score que vous avez acheté. Une pièce se trouve sous toutes les autres et manque dans la plupart des dossiers ABM : le contrat de sous-traitance de l'article 28. Chaque outil d'enrichissement, plateforme d'envoi et régie publicitaire qui touche vos données de contact est soit un sous-traitant, soit un responsable distinct, et dans le premier cas il vous faut un contrat écrit portant les clauses de l'article 28 avant que la donnée ne circule. Si votre registre nomme un destinataire avec lequel vous n'avez aucun accord, c'est un constat qui n'attend que le contrôle. À côté du test, trois autres pièces complètent le dossier. Le registre de l'article 30 qui liste le programme ABM comme traitement, avec finalité, catégories, base, destinataires et durée. L'information de l'article 14, puisque aucune de ces données ne vient de la personne. Et une horloge de conservation. Le RGPD ne fixe aucun chiffre : l'article 5.1.e dit seulement que la donnée ne doit pas être conservée plus longtemps que nécessaire. Le repère qu'utilisent la plupart des équipes en France est celui de la CNIL, qui recommande un maximum de trois ans à compter du dernier contact utile pour la donnée de prospection, après quoi l'enregistrement est supprimé ou anonymisé sauf nouvelle interaction qui relance le compteur. Les autres autorités européennes ne se sont pas alignées sur ce chiffre : traitez-le comme une valeur par défaut défendable que vous écrivez noir sur blanc, pas comme un plafond légal. Un droit mérite d'être souligné à part, parce qu'il n'a aucune mise en balance. Au titre de l'article 21.2, l'opposition à un traitement de prospection est absolue. La personne dit stop, et vous arrêtez, immédiatement et définitivement, quelle que soit la solidité de votre test d'intérêt légitime. Dans un programme ABM, cela veut dire que la liste de suppression doit atteindre tous les canaux, pas seulement l'outil d'emailing, et notre guide sur les [droits des personnes concernées](https://derrick-app.com/fr/gdpr-b2b/droits-personnes-concernees) en couvre le versant opérationnel. **Un email tous les 15 jours.** Fill Down parle de go-to-market et de tactiques de données commerciales, dont la façon dont les équipes gardent leurs programmes ciblés défendables à mesure qu'ils grossissent. [S'abonner à la newsletter Fill Down →](https://www.linkedin.com/newsletters/fill-down-gtm-sales-news-7480639838598184961/) ## Account based marketing et RGPD : les cinq défaillances qui font prendre les équipes Un contrôle arrive rarement sous la forme d'un débat philosophique sur l'intérêt légitime. Il arrive sous la forme de l'une de ces cinq défaillances opérationnelles, et les cinq sont peu coûteuses à prévenir avant le lancement. - **Le fichier dont personne ne sait expliquer l'origine.** Une liste arrivée d'une agence, d'un salarié parti, d'un salon, ou d'un fournisseur que plus personne ne sait nommer. Il n'y a pas de base à évaluer parce que personne ne sait décrire la collecte. C'est la défaillance qu'on ne répare pas rétroactivement, et c'est pourquoi construire la liste par des étapes que vous avez réalisées est une décision de conformité, pas seulement d'opérations. - **L'information que personne n'a envoyée.** L'article 14 est l'obligation la plus systématiquement ignorée en prospection B2B. Le correctif tient en un paragraphe dans le premier message et une page de politique de confidentialité accessible. - **La suppression qui n'a atteint qu'un outil.** Quelqu'un s'oppose par email, la plateforme commerciale l'enregistre, et la régie publicitaire continue de lui diffuser des annonces parce que l'audience a été chargée trois semaines plus tôt et n'a jamais été rafraîchie. - **Le bandeau qui ne correspond plus aux tags.** L'inventaire des tags dérive, un nouveau pixel part en production, et le bandeau décrit encore la stack du trimestre précédent. Comme cela relève d'ePrivacy, aucune base RGPD ne le rattrape. - **La base sans horloge.** Des contacts de 2019 dans une séquence active. Personne n'a décidé de les garder. Personne n'a rien décidé, et c'est exactement le problème, parce que la responsabilité de l'article 5.2 consiste à pouvoir démontrer une décision. Rien de tout cela ne rend l'account based marketing plus difficile que la prospection large. Cela le rend plus défendable, à condition que les pièces soient produites en même temps que la campagne et non après réception d'un courrier. Un programme qui démarre au niveau compte, ajoute des personnes délibérément, documente l'origine de chaque ligne, garde la couche ePrivacy séparée de la couche RGPD et honore l'opposition partout à la fois est un programme qui résiste au contrôle. Commencez par notre [guide juridique complet du RGPD et de l'enrichissement B2B](https://derrick-app.com/fr/gdpr-b2b/enrichissement-donnees) pour la couche située sous tout le reste. ## Utiliser Derrick dans Claude (MCP) ou via l'API Derrick n'est pas qu'un module Google Sheets. Le même enrichissement de données B2B tourne comme serveur MCP (utilisable directement dans Claude et les autres agents IA) et comme API REST : - **Claude / agents IA (MCP)** : connectez le serveur MCP Derrick, puis enrichissez depuis le chat. Mise en place : /fr/mcp - **API REST** : appelez les mêmes endpoints d'enrichissement depuis votre propre stack (plan Standard et plus). Docs : https://app1.derrick-app.com/api/v1/docs/ ## FAQ ### L'account based marketing est-il conforme au RGPD ? Oui, lorsqu'il est construit correctement. L'ABM restreint le traitement à une liste nommée d'entreprises que vous avez une raison commerciale documentée d'approcher, ce qui renforce le volet nécessité du test d'intérêt légitime de l'article 6.1.f. La conformité dépend des pièces que vous savez produire, pas de la stratégie elle-même. ### Quelle base légale utiliser pour l'ABM en Europe ? L'intérêt légitime, article 6.1.f, est la base utilisable pour les données de prospection B2B. Le consentement est impraticable puisque vous n'avez aucune relation avec le contact avant la première approche. L'intérêt légitime suppose un test documenté en trois volets : finalité, nécessité, mise en balance. ### Les données d'entreprise sont-elles couvertes par le RGPD ? En général non. Le chiffre d'affaires, l'effectif, le code d'activité, le numéro d'immatriculation et l'adresse du siège décrivent une personne morale, or le RGPD protège les seules personnes physiques. Deux limites comptent. Le régime s'applique dès qu'une ligne identifie un être humain : contact nommé, email professionnel, ligne directe ou URL de profil. Et pour un entrepreneur individuel ou une société unipersonnelle, ces attributs identifient de toute façon une personne physique, puisque la dénomination est son nom et l'adresse du siège souvent son domicile : tout le régime s'applique alors à la couche compte elle-même. ### Les pixels publicitaires et les audiences appariées relèvent-ils du RGPD ? En partie, et c'est le piège classique. Écrire ou lire une information sur le terminal d'un utilisateur relève de la directive ePrivacy, qui exige un consentement préalable et n'admet pas l'intérêt légitime comme alternative. Charger une liste de contacts vers une régie est par ailleurs une communication de données personnelles qui appelle sa propre base au titre du RGPD. ### Peut-on acheter des données d'intention pour un programme ABM ? C'est possible, mais c'est l'entrée la plus exposée d'un programme ABM. La base légale du fournisseur couvre son traitement, pas le vôtre : il vous en faut une propre. L'article 14 s'applique en outre parce que la donnée ne vient pas de la personne, ce qui vous oblige à l'informer de votre traitement, en principe dans le mois ou lors du premier contact. ### Combien de temps conserver des données de prospection B2B ? Le RGPD ne fixe aucun chiffre : l'article 5.1.e exige seulement que la donnée ne soit pas conservée plus longtemps que nécessaire. Le repère habituel est celui de la CNIL, qui recommande un maximum de trois ans à compter du dernier contact utile pour la donnée de prospection. Les autres autorités européennes ne se sont pas alignées sur ce chiffre : traitez les trois ans comme une valeur par défaut défendable, que vous inscrivez dans votre registre de l'article 30, pas comme un plafond légal. ### Que faire quand un contact s'oppose à une campagne ABM ? Vous arrêtez, immédiatement et définitivement. Au titre de l'article 21.2, l'opposition à un traitement de prospection est absolue et ne fait l'objet d'aucune mise en balance avec votre intérêt. En pratique, la suppression doit atteindre tous les canaux en même temps, y compris les audiences publicitaires déjà chargées, pas seulement l'outil d'emailing. ## Related - [GDPR Enforcement Tracker 2026 : qui s'est fait sanctionner pour sa donnée, et pourquoi](https://derrick-app.com/fr/gdpr-b2b/rapport-sanctions-rgpd-2026) - [L'état du RGPD et de la prospection B2B en 2026 : rapport benchmark conformité](https://derrick-app.com/fr/gdpr-b2b/rapport-rgpd-prospection-2026) - [RGPD et Data Enrichment B2B : Le Guide Légal Complet 2026](https://derrick-app.com/fr/gdpr-b2b/enrichissement-donnees) - [Bases légales pour l'enrichissement de données B2B : ce que dit vraiment le RGPD](https://derrick-app.com/fr/gdpr-b2b/base-legale) - [Consentement vs intérêt légitime en B2B : quelle base légale pour votre prospection ?](https://derrick-app.com/fr/gdpr-b2b/consentement-vs-interet-legitime) - [Cold emailing et RGPD : tout ce qu’il faut savoir](https://derrick-app.com/fr/gdpr-b2b/cold-emailing) - [Droits des personnes RGPD : accès, rectification, suppression - guide pratique pour les équipes B2B](https://derrick-app.com/fr/gdpr-b2b/droits-personnes-concernees) - [Sanctions RGPD : quels risques réels pour votre entreprise en 2026 ?](https://derrick-app.com/fr/gdpr-b2b/sanctions) - [Transferts internationaux de données enrichies : ce que tout professionnel B2B doit savoir en 2026](https://derrick-app.com/fr/gdpr-b2b/transferts-internationaux) - [CCPA, LGPD et réglementations mondiales sur les données : le guide complet pour les équipes B2B](https://derrick-app.com/fr/gdpr-b2b/regulations-mondiales) - [DPO et data enrichment : rôles, responsabilités et bonnes pratiques](https://derrick-app.com/fr/gdpr-b2b/dpo) - [Registre de traitement RGPD et data enrichment : le guide pratique pour les équipes B2B](https://derrick-app.com/fr/gdpr-b2b/registre-traitements) - [Data minimization en B2B : pourquoi n'enrichir que le nécessaire change tout](https://derrick-app.com/fr/gdpr-b2b/minimisation-donnees)