CCPA, LGPD et réglementations mondiales sur les données : le guide complet pour les équipes B2B

Vous prospectiez sereinement en Europe en respectant le RGPD. Puis un prospect californien apparaît dans votre pipeline, suivi d’un décideur basé à São Paulo, puis d’un potentiel client à Shanghai. Et là, une question s’impose : les règles du jeu changent-elles selon le pays du contact ?

La réponse courte : oui, et de façon significative.

Depuis 2018, une vague mondiale de législations sur la protection des données personnelles a déferlé sur tous les continents. CCPA aux États-Unis, LGPD au Brésil, PIPL en Chine, POPIA en Afrique du Sud… Chaque juridiction impose ses propres règles, avec ses propres amendes et ses propres définitions du consentement. Pour les équipes commerciales, de marketing et de growth qui enrichissent des bases de données B2B à grande échelle, ignorer ce paysage réglementaire revient à jouer à la roulette russe.

Ce guide vous donne une cartographie claire de toutes les grandes réglementations mondiales sur la protection des données, avec leurs implications concrètes pour votre prospection B2B — sans jargon juridique inutile.

Enrichissez vos leads B2B en toute conformité

Derrick trouve emails et téléphones professionnels vérifiés directement dans Google Sheets — sans manipulation de données sensibles hors cadre professionnel.

Essayer gratuitement →

Chapitre 1 : Pourquoi les réglementations mondiales concernent chaque équipe B2B

Le mythe du “on ne traite que des données professionnelles”

Beaucoup d’équipes commerciales pensent être à l’abri des législations sur les données personnelles parce qu’elles n’utilisent que des emails professionnels ou des numéros de téléphone de bureau. Cette croyance est dangereuse — et de plus en plus coûteuse.

La réalité est que, dans la quasi-totalité des législations mondiales, une adresse email du type prenom.nom@entreprise.com est considérée comme une donnée personnelle. Elle identifie une personne physique. Et c’est précisément cette personne physique qui est protégée par le RGPD, le CCPA, la LGPD et leurs équivalents mondiaux.

La seule exception partielle concerne les emails génériques (contact@entreprise.com, commercial@societe.fr) qui, en France notamment, ne sont pas considérés comme des données personnelles par la CNIL.

L’extraterritorialité : le principe clé à retenir

Le point le plus surprenant pour beaucoup d’équipes françaises est le principe d’extraterritorialité : ces lois ne s’appliquent pas seulement aux entreprises du pays en question. Elles s’appliquent à toute entreprise, où qu’elle soit dans le monde, dès lors qu’elle traite des données de personnes résidant dans le territoire couvert.

Concrètement, si votre startup parisienne prospecte des dirigeants basés en Californie, le CCPA vous concerne. Si vous enrichissez des contacts brésiliens, la LGPD s’applique. Cette réalité transforme la conformité d’une obligation locale en un enjeu mondial.

Les risques financiers réels

Les amendes ne sont plus symboliques. Un aperçu rapide :

Au-delà des chiffres, l’impact sur la réputation commerciale — notamment pour des entreprises B2B dont la confiance est le principal actif — est souvent encore plus coûteux.

À retenir : L’extraterritorialité rend les réglementations mondiales pertinentes pour toute équipe commerciale qui prospecte au-delà des frontières françaises ou européennes.

Chapitre 2 : Le RGPD — La référence mondiale que vous connaissez déjà

Ce que le RGPD dit vraiment sur la prospection B2B

Le Règlement Général sur la Protection des Données, entré en vigueur en mai 2018, est la réglementation que les équipes françaises connaissent le mieux. Pourtant, certaines nuances importantes restent mal comprises.

En matière de prospection B2B, le RGPD autorise l’utilisation de l’intérêt légitime comme base légale (article 6.1.f), ce qui signifie que vous n’avez pas besoin du consentement préalable pour contacter un professionnel dont la fonction est en lien avec votre offre. C’est la grande différence avec le B2C, où le consentement opt-in est la règle.

Mais l’intérêt légitime n’est pas un blanc-seing. Il impose des obligations strictes :

• Informer le prospect dès le premier contact de l’origine de ses données, de vos finalités et de ses droits
• Proposer un opt-out simple et gratuit dans chaque communication
• Cibler uniquement des personnes dont la fonction est pertinente par rapport à votre offre
• Conserver les données une durée raisonnable (la CNIL recommande 3 ans maximum après le dernier contact)

Les 3 points de vigilance en 2026

Selon les dernières recommandations de la CNIL, les sanctions 2024-2025 ont principalement visé trois pratiques :

1. L’absence d’opt-out dans les emails de prospection — obligation non négociable
2. La conservation excessive des données au-delà de 3 ans sans renouvellement du contact
3. Le ciblage hors champ professionnel — contacter des personnes dont la fonction n’a aucun lien avec votre offre

Le RGPD s’applique dans les 27 États membres de l’UE, plus le Royaume-Uni via son propre UK GDPR depuis le Brexit (supervisé par l’ICO — Information Commissioner’s Office — plutôt que par la CNIL).

Pour aller plus loin sur la conformité de vos campagnes emails, consultez notre guide sur le cold emailing et le RGPD.

À retenir : En B2B européen, l’intérêt légitime vous dispense du consentement opt-in, mais vous oblige à la transparence totale et à un opt-out systématique.

Chapitre 3 : Le CCPA/CPRA — La réglementation californienne qui touche le monde entier

Qu’est-ce que le CCPA et qui est concerné ?

Le California Consumer Privacy Act (CCPA), entré en vigueur en janvier 2020 et renforcé par le CPRA (California Privacy Rights Act) depuis janvier 2023, est la loi américaine la plus impactante pour les équipes B2B internationales.

Contrairement à une idée reçue, le CCPA ne s’applique pas qu’aux entreprises californiennes. Il concerne toute entreprise à but lucratif qui répond à au moins un de ces critères :

• Revenu brut annuel supérieur à 25 millions de dollars
• Achète, reçoit ou vend les données de plus de 100 000 consommateurs californiens par an (seuil relevé depuis 2023)
• Tire 50% ou plus de ses revenus de la vente de données personnelles de consommateurs

Le tournant de 2023 : la fin de l’exemption B2B

C’est le point le plus important que beaucoup d’équipes B2B ont raté : depuis le 1er janvier 2023, l’exemption B2B du CCPA a expiré.

Avant cette date, les contacts professionnels californiens bénéficiaient d’un régime allégé. Depuis 2023, les employés et contacts d’entreprise basés en Californie ont les mêmes droits que les consommateurs individuels. Cela inclut le droit d’accès à leurs données, le droit à la suppression, le droit de correction et le droit de s’opposer à la vente ou au partage de leurs données.

Ce que le CCPA exige concrètement

La sanction maximale est de 7 500 dollars par violation intentionnelle — et chaque contact représente une violation distincte. Pour une campagne de cold email touchant 10 000 contacts californiens sans opt-out, le calcul devient rapidement vertigineux.

CCPA vs RGPD : les différences clés

Le CCPA s’inspire du RGPD mais diffère sur plusieurs points essentiels :

• Opt-out plutôt qu’opt-in : Contrairement au RGPD qui exige l’intérêt légitime ou le consentement, le CCPA part du principe que le traitement est permis à moins que la personne ne s’y oppose
• Focus sur la “vente” de données : Le concept central du CCPA est la vente et le partage de données personnelles, pas uniquement leur traitement
• Pas de notion d’intérêt légitime : Le CCPA ne reconnaît pas cette base légale telle qu’elle existe dans le RGPD

À retenir : Depuis 2023, le CCPA s’applique pleinement aux contacts B2B californiens. Si vous prospectez aux États-Unis, évaluez votre exposition à cette réglementation.

Chapitre 4 : La LGPD — Le RGPD brésilien et ses spécificités

Présentation et champ d’application

La Lei Geral de Proteção de Dados Pessoais (LGPD), entrée en vigueur en août 2020, est la loi brésilienne de protection des données. Elle s’inspire largement du RGPD européen mais présente des caractéristiques propres.

La LGPD s’applique à toute organisation qui traite des données de personnes physiques situées au Brésil, indépendamment du pays où l’organisation est établie. En 2025, l’ANPD (Agence Nationale de Protection des Données brésilienne) a renforcé ses exigences en imposant aux entreprises étrangères de désigner un représentant local pour les actions d’application.

Seuil notable : contrairement au RGPD, la LGPD ne fixe pas de seuil minimum — elle s’applique à toutes les entités, quelle que soit leur taille, sauf pour les usages journalistiques, artistiques ou de sécurité publique.

Les 10 principes fondateurs de la LGPD

La LGPD articule son cadre autour de 10 principes que chaque traitement de données doit respecter :

1. Finalité : le traitement doit avoir un objectif légitime et spécifique
2. Adéquation : les traitements doivent correspondre aux finalités communiquées
3. Nécessité : seules les données strictement nécessaires peuvent être traitées
4. Libre accès : les individus peuvent consulter leurs données gratuitement
5. Qualité : les données doivent être exactes et à jour
6. Transparence : les organisations doivent être claires sur leurs pratiques
7. Sécurité : les données doivent être protégées contre les accès non autorisés
8. Prévention : les risques doivent être anticipés avant qu’ils ne surviennent
9. Non-discrimination : les données ne peuvent servir à discriminer
10. Responsabilité : prouver la conformité en cas de contrôle

LGPD et prospection B2B : la zone grise actuelle

Un point crucial pour les équipes commerciales : la LGPD ne couvre pas explicitement les activités de marketing B2B dans sa version actuelle, selon plusieurs interprétations juridiques. Cependant, cette situation pourrait évoluer, et l’ANPD a indiqué surveiller ce domaine de près.

La base légale la plus utilisée en B2B sous la LGPD est l’intérêt légitime, similairement au RGPD. Mais, contrairement au RGPD, la LGPD prévoit aussi la base légale de la protection du crédit et de l’exécution de politiques publiques, qui n’ont pas d’équivalent direct en Europe.

À retenir : Si vous prospectez au Brésil, adoptez une approche conforme au RGPD par défaut — c’est la stratégie la plus sûre en attendant des clarifications réglementaires de l’ANPD.

Chapitre 5 : Les autres réglementations mondiales à surveiller

PIPL — La Chine et son “RGPD” aux spécificités uniques

La Personal Information Protection Law (PIPL), entrée en vigueur en novembre 2021 en Chine, est souvent surnommée le “RGPD chinois”. Mais cette comparaison masque des différences importantes.

Points communs avec le RGPD :

• Application extraterritoriale (vise les traitements ciblant des résidents chinois depuis l’étranger)
• Droits des personnes (accès, rectification, suppression, portabilité)
• Obligation de désigner un DPO pour les traitements à grande échelle
• Transferts transfrontaliers strictement encadrés

Différences majeures avec le RGPD :

• Pas de notion d’intérêt légitime : les bases légales reconnues par la PIPL n’incluent pas ce concept central du RGPD européen — ce qui rend la prospection à froid particulièrement complexe
• Localisation des données : pour certaines catégories de données sensibles, la PIPL exige un hébergement sur le territoire chinois
• Consentement séparé pour certains traitements sensibles, même si un consentement général a déjà été donné
• Représentant local obligatoire pour les entreprises étrangères traitant des données chinoises

Les sanctions peuvent atteindre 50 millions de yuans (environ 6,5 millions d’euros) ou 5% du chiffre d’affaires annuel, et les amendes peuvent viser les dirigeants personnellement.

Recommandation pratique : Si vous prospectez en Chine, un avis juridique local est indispensable avant de lancer toute campagne de data enrichment sur des contacts chinois.

POPIA — L’Afrique du Sud et sa loi inspirée du RGPD

La Protection of Personal Information Act (POPIA) est la loi sud-africaine, pleinement applicable depuis le 1er juillet 2021. Elle s’inscrit clairement dans la lignée du RGPD, avec quelques singularités :

• Âge de la majorité à 18 ans (contre 16 ans dans le RGPD) pour les données des mineurs
• Sanctions potentiellement pénales : en plus des amendes (jusqu’à 10 millions de rands), la POPIA prévoit des peines d’emprisonnement pouvant aller jusqu’à 10 ans pour les violations les plus graves
• Information Officer : chaque organisation doit désigner un responsable (par défaut, le chef d’entreprise)
• Intérêt légitime reconnu : similairement au RGPD, la POPIA autorise ce fondement pour certains traitements

Pour la prospection B2B en Afrique du Sud, les principes restent proches du RGPD : transparence, opt-out facilité, données pertinentes et proportionnées.

PDPA — Thaïlande et Singapour, le modèle asiatique

La région Asie-Pacifique s’est rapidement dotée de ses propres cadres réglementaires :

Thaïlande (PDPA — Personal Data Protection Act) : Pleinement en vigueur depuis juin 2022, le PDPA thaïlandais adopte une approche opt-in similaire au RGPD pour la plupart des traitements. Il prévoit un comité de protection des données chargé de superviser les transferts transfrontaliers.

Singapour (PDPA — Personal Data Protection Act) : La version singapourienne, l’une des plus anciennes de la région (2012, amendée en 2020), introduit la notion d’intérêt légitime des organisations, très proche du RGPD. Elle se distingue par son approche pragmatique, cherchant à équilibrer protection des données et facilitation du commerce.

Australie (Privacy Act) : La loi australienne sur la vie privée, régulièrement amendée, impose des Principes de Confidentialité Australiens (APP) aux agences gouvernementales et aux grandes entités privées dont le chiffre d’affaires dépasse 3 millions AUD.

Inde — La DPDPA, nouvelle venue à surveiller

En 2023, l’Inde a adopté le Digital Personal Data Protection Act (DPDPA), entré partiellement en vigueur. Ce texte représente un marché de 1,4 milliard de personnes et mérite attention :

• S’applique aux données de résidents indiens traitées en Inde ou à l’étranger
• Principe du consentement comme base principale (opt-in)
• Pénalités pouvant atteindre 250 crores de roupies (environ 28 millions d’euros)
• L’implémentation complète et les décrets d’application sont encore en cours de finalisation

À retenir : Le paysage réglementaire mondial s’est densifié sur tous les continents. Voici une synthèse comparative rapide.

Chapitre 6 : Tableau comparatif mondial — L’essentiel pour les équipes B2B

Cette cartographie permet d’identifier deux grandes familles de réglementations :

• Modèle “intérêt légitime” (opt-out) : RGPD, UK GDPR, LGPD, POPIA — plus favorable à la prospection B2B proactive
• Modèle “consentement” (opt-in) : PIPL, PDPA, DPDPA — exige une démarche plus prudente avant tout contact

À retenir : La prospection B2B internationale nécessite une stratégie différenciée selon le modèle réglementaire du pays cible. Un seul process ne peut pas couvrir tous les marchés.

Chapitre 7 : Implications pratiques pour votre prospection B2B

Construire une base de données conforme

La première ligne de défense contre les risques réglementaires est la qualité et la traçabilité de vos données. Selon une étude Experian, environ 30% des données B2B deviennent obsolètes chaque année — ce qui signifie que des contacts qui ont changé d’entreprise, de poste ou de pays peuvent se retrouver dans votre base sous une juridiction différente de celle prévue initialement.

Pour chaque contact, il est recommandé de documenter :

• La source d’acquisition (LinkedIn, formulaire, import Sales Navigator, enrichissement…)
• La date d’acquisition
• La base légale utilisée pour le traitement
• La localisation géographique du contact (pour identifier la réglementation applicable)

Les outils d’enrichissement de données B2B permettent d’automatiser cette collecte d’informations contextuelles.

Les obligations communes à toutes les réglementations

Malgré leurs différences, toutes les grandes réglementations mondiales partagent un socle commun. Autant le mémoriser une fois pour toutes :

1. Transparence absolue Informer le contact de l’existence d’un traitement de ses données, de sa finalité et de ses droits. Cela se traduit par une mention dans chaque email de prospection (au minimum : qui vous êtes, pourquoi vous contactez, comment se désinscrire).

2. Droit d’opposition/suppression facilité Chaque réglementation prévoit un mécanisme d’opt-out. En pratique : un lien de désinscription visible dans chaque email, une réponse aux demandes de suppression dans les délais légaux (45 jours pour le CCPA, 30 jours pour le RGPD, variables selon les autres lois).

3. Proportionnalité des données Ne collecter et ne traiter que les données strictement nécessaires à la finalité déclarée. En prospection B2B, cela signifie : email professionnel, téléphone pro, nom, prénom, entreprise et poste — pas la vie privée du contact.

4. Sécurité des données Protéger les données contre les accès non autorisés. Stocker les données dans des outils sécurisés, avec des accès restreints aux personnes habilitées.

Segmenter votre prospection par zone géographique

Thomas, directeur commercial dans une scale-up SaaS, gère une équipe de 8 SDR qui prospectent simultanément en France, aux États-Unis, au Brésil et en Asie du Sud-Est. Sa règle opérationnelle : un process adapté par zone réglementaire.

En pratique, cela se traduit par un tableau de bord Google Sheets segmenté par pays, avec des colonnes dédiées à la base légale utilisée, la date du premier contact et l’opt-out si exercé. Ce type d’organisation est à la fois conforme et opérationnellement efficace.

Gérer les demandes de suppression à grande échelle

L’un des défis opérationnels les plus fréquents pour les équipes growth qui enrichissent des volumes importants de données est la gestion des demandes d’exercice de droits. Selon une étude IBM, le temps moyen de réponse à une demande de suppression dans les grandes organisations est de 18 jours — alors que le RGPD en impose 30 et le CCPA 45.

Les bonnes pratiques :

• Créer un email dédié ou un formulaire de contact pour les demandes d’exercice de droits
• Documenter chaque demande reçue et traitée dans un registre
• Mettre en place une suppression systématique dans tous les outils où la donnée est présente (CRM, Google Sheets, outil d’emailing, etc.)
• Vérifier la délivrabilité de votre liste régulièrement pour éviter de contacter des adresses supprimées

À retenir : Construire un process de gestion des droits des personnes n’est pas optionnel — c’est une obligation légale dans toutes les réglementations majeures.

Chapitre 8 : Enrichissement de données et conformité — Comment concilier les deux

L’enrichissement de données est-il légal ?

C’est la question que se posent beaucoup d’équipes growth qui utilisent des outils d’enrichissement pour compléter leurs bases de données. La réponse est nuancée.

L’enrichissement de données B2B — c’est-à-dire le fait d’ajouter des informations professionnelles (email, téléphone, entreprise, poste) à des contacts existants — est généralement légal dans les cadres réglementaires qui reconnaissent l’intérêt légitime, à condition de respecter plusieurs principes :

• Données strictement professionnelles : enrichir uniquement avec des informations liées à la vie professionnelle du contact, pas à sa vie privée
• Source traçable : pouvoir justifier l’origine des données enrichies
• Finalité commerciale claire : l’enrichissement doit servir une prospection B2B pertinente, pas une collecte de données sans finalité définie
• Opt-out respecté : si un contact a précédemment demandé à être supprimé, ne pas le réintroduire via un enrichissement

Ce que Derrick permet de faire en conformité

Derrick App, qui fonctionne nativement dans Google Sheets, permet d’enrichir vos données B2B en restant dans un cadre professionnel strict :

• Le Lead Email Finder recherche des emails professionnels vérifiés en temps réel, basés sur des informations professionnelles publiques (nom, prénom, domaine d’entreprise)
• Le LinkedIn Profile Scraper extrait des données de profils LinkedIn publics — des données que les personnes ont elles-mêmes rendues accessibles dans un contexte professionnel
• L’Email Verifier permet de nettoyer votre liste avant envoi, réduisant le risque de contacter des adresses invalides ou supprimées

Ces approches, centrées sur les données professionnelles publiques et vérifiées, s’inscrivent dans la logique d’intérêt légitime reconnue par le RGPD, la LGPD et la POPIA. Pour une analyse de vos besoins d’enrichissement, consultez notre guide complet sur l’enrichissement de bases de données.

Les données à ne jamais enrichir sans base légale solide

Certaines catégories de données sont considérées comme sensibles dans l’ensemble des réglementations mondiales et exigent systématiquement un consentement explicite :

• Données de santé
• Opinions politiques ou religieuses
• Données syndicales
• Données biométriques
• Données sur la vie sexuelle

En prospection B2B, ces catégories n’ont généralement aucune pertinence. Si un outil d’enrichissement vous propose d’accéder à ce type d’informations, c’est un signal d’alarme immédiat.

À retenir : L’enrichissement B2B est légal s’il se limite aux données professionnelles, utilise des sources traçables et respecte les droits des personnes. La conformité n’est pas incompatible avec une prospection ambitieuse — elle la rend simplement plus robuste.

À retenir

• Le RGPD reste la référence mondiale, mais CCPA, LGPD, PIPL et POPIA imposent leurs propres règles dès lors que vous prospectez des contacts dans ces juridictions
• Depuis janvier 2023, l’exemption B2B du CCPA a expiré — les contacts californiens ont les mêmes droits que les consommateurs individuels
• La PIPL chinoise ne reconnaît pas l’intérêt légitime : prospecter en Chine exige une approche radicalement différente
• Les réglementations basées sur l’opt-out (RGPD, UK GDPR, LGPD, POPIA) sont plus favorables à la prospection B2B proactive que celles basées sur l’opt-in (PIPL, PDPA indien)
• Quatre obligations sont universelles : transparence, opt-out facilité, proportionnalité des données et sécurité
• L’enrichissement de données B2B est légal s’il se limite aux données professionnelles et respecte les droits des personnes

Conclusion : Prospecter à l’international sans sacrifier la conformité

La multiplication des réglementations mondiales sur la protection des données n’est pas une mauvaise nouvelle pour les équipes commerciales sérieuses — c’est une opportunité de se différencier. Les prospects, notamment dans un contexte B2B où la confiance est centrale, sont de plus en plus sensibles à la façon dont leurs données sont gérées.

Adopter une approche conforme n’implique pas de renoncer à une prospection ambitieuse. Cela implique de :

• Segmenter votre base par zone géographique et appliquer le bon cadre légal à chaque segment
• Enrichir vos données avec des sources professionnelles vérifiées et traçables
• Mettre en place des process d’opt-out et de gestion des droits
• Documenter vos traitements dans un registre simple mais rigoureux

Pour les équipes de lead generation B2B qui utilisent Google Sheets comme hub central, Derrick App permet d’enrichir des données professionnelles vérifiées tout en restant dans le périmètre des bonnes pratiques internationales.

Des données B2B propres et vérifiées, dès aujourd'hui

Trouvez emails et téléphones professionnels de vos prospects sans sortir de Google Sheets — et restez dans les clous réglementaires.

Essayer gratuitement →

FAQ

Le CCPA s’applique-t-il à une entreprise française qui prospecte aux États-Unis ? Oui, si votre entreprise répond aux seuils du CCPA (notamment plus de 100 000 contacts californiens traités par an ou un CA supérieur à 25 millions de dollars). L’extraterritorialité du CCPA signifie qu’il ne s’arrête pas aux frontières américaines.

En B2B, a-t-on toujours besoin du consentement pour prospecter ? En Europe (RGPD), au Brésil (LGPD) et en Afrique du Sud (POPIA), non : l’intérêt légitime permet de prospecter sans consentement préalable, à condition d’informer le contact et de lui offrir un opt-out. En Chine (PIPL), en Thaïlande (PDPA) et en Inde (DPDPA), le consentement est généralement requis.

Quelle est la différence principale entre RGPD et CCPA ? Le RGPD repose sur l’intérêt légitime pour la prospection B2B (opt-out) mais exige une base légale explicite pour tout traitement. Le CCPA part d’un modèle opt-out et se concentre sur la notion de vente et partage des données. Le RGPD est plus granulaire sur les bases légales ; le CCPA est plus direct sur les droits des consommateurs.

Une startup qui prospecte au Brésil doit-elle désigner un DPO ? Pas nécessairement. La LGPD exige un délégué à la protection des données (DPO) pour les entreprises qui traitent des volumes importants de données sensibles. Pour une prospection B2B standard avec des données professionnelles, l’obligation n’est pas automatique — mais documenter un responsable interne reste une bonne pratique.

L’enrichissement de données LinkedIn est-il légal dans toutes ces réglementations ? L’enrichissement basé sur des profils LinkedIn publics — des informations que les personnes ont volontairement rendues accessibles dans un contexte professionnel — est généralement considéré comme légal dans les cadres qui reconnaissent l’intérêt légitime (RGPD, LGPD, POPIA). En Chine (PIPL), l’approche est plus restrictive. Restez sur les données strictement professionnelles et publiques.