RGPD et Data Enrichment B2B : Le Guide Légal Complet 2026

L’enrichissement de données est au cœur de toute stratégie de prospection B2B efficace. Mais une question revient systématiquement dans les équipes sales et marketing : a-t-on le droit de collecter, compléter et utiliser des données sur des prospects sans leur accord explicite ?

La réponse courte : oui, sous conditions strictes. La réponse complète, c’est ce guide.

Le RGPD (Règlement Général sur la Protection des Données) est entré en vigueur le 25 mai 2018 et s’applique à toute organisation qui traite des données personnelles de personnes physiques résidant dans l’Union européenne — qu’elle soit basée en France, en Allemagne ou aux États-Unis. En 2026, la CNIL intensifie ses contrôles, et les amendes atteignent désormais des montants qui font fléchir même les grandes entreprises. Ignorer ces règles n’est plus une option.

Ce guide vous donne les clés pour enrichir vos données B2B de manière conforme, sans ralentir votre pipeline commercial.

Enrichissez vos données B2B directement dans Google Sheets

Trouvez emails professionnels, téléphones et données LinkedIn de vos prospects en quelques clics — sans export CSV, sans friction.

Essayer gratuitement →

Chapitre 1 : Les fondamentaux — ce que couvre vraiment le RGPD en B2B

Qu’est-ce qu’une donnée personnelle en contexte B2B ?

Première confusion fréquente : beaucoup d’équipes sales pensent que le RGPD ne s’applique qu’aux particuliers (B2C). C’est faux — partiellement.

Le RGPD protège les personnes physiques, pas les entreprises en tant que personnes morales. Concrètement, en contexte B2B :

La règle est simple : dès qu’une donnée permet d’identifier une personne physique, le RGPD s’applique. Un email du type thomas.martin@acme.com identifie directement Thomas Martin, même s’il est utilisé dans un cadre professionnel.

Pourquoi l’enrichissement de données est particulièrement concerné

L’enrichissement de données B2B consiste à compléter des fiches prospects avec des informations supplémentaires : poste occupé, email professionnel, numéro de téléphone direct, taille de l’entreprise, technologies utilisées, etc.

Dès que vous ajoutez un email nominatif ou un numéro mobile à un profil, vous traitez des données personnelles au sens du RGPD. Ce traitement doit reposer sur une base légale valide — c’est le point de départ de tout le raisonnement juridique.

À retenir : Ce n’est pas parce qu’une information est publique (sur LinkedIn, par exemple) qu’elle est librement utilisable sans contrainte. La publicité d’une donnée ne dispense pas du respect du RGPD.

Chapitre 2 : Les bases légales applicables à l’enrichissement B2B

Le RGPD définit six bases légales permettant de traiter des données personnelles (article 6). En contexte d’enrichissement et de prospection B2B, deux d’entre elles sont pertinentes.

Base légale n°1 : L’intérêt légitime (article 6.1.f)

C’est la base légale la plus utilisée en prospection B2B, et celle que la CNIL reconnaît explicitement pour ce type de traitement. Elle permet de traiter des données sans obtenir de consentement préalable, à condition de respecter trois critères cumulatifs :

1. L’intérêt doit être réel et légitime Votre objectif commercial doit être clairement défini et légitimement poursuivi. Prospecter un directeur commercial pour lui proposer un logiciel de prospection = légitime. Lui envoyer une offre sans rapport avec ses fonctions professionnelles = non légitime.

2. Le traitement doit être nécessaire L’enrichissement doit servir directement votre finalité commerciale. Collecter 50 attributs supplémentaires alors que vous n’en utilisez que 5 va à l’encontre du principe de minimisation des données.

3. Les intérêts de la personne ne doivent pas primer C’est le “test de proportionnalité” ou “balancing test”. Vos intérêts commerciaux ne doivent pas créer de déséquilibre au détriment des droits fondamentaux du prospect. Cette analyse doit être documentée.

La CNIL confirme sur sa page officielle dédiée que la prospection commerciale entre professionnels entre généralement dans le champ de l’intérêt légitime.

Exemple concret : Thomas, SDR chez une startup SaaS B2B, enrichit une liste de directeurs commerciaux avec leurs emails professionnels pour leur proposer un outil d’automatisation sales. Ce traitement est fondé sur l’intérêt légitime : la cible est en lien direct avec l’offre, dans un cadre purement professionnel.

Base légale n°2 : Le consentement (article 6.1.a)

Le consentement est la base légale la plus contraignante, mais aussi la plus solide. Il doit être libre, spécifique, éclairé et univoque — ce qui exclut les cases pré-cochées, les formulations ambiguës ou le consentement groupé pour plusieurs finalités.

En pratique, le consentement en B2B s’applique notamment quand :

• Vous ciblez un professionnel pour des produits/services sans lien direct avec sa fonction
• Vous enrichissez des données via des formulaires web
• Vous achetez des bases de données auprès de prestataires tiers

Important : En B2B, contrairement au B2C, le consentement n’est PAS obligatoire si vous utilisez l’intérêt légitime et respectez les conditions associées. C’est ce qui donne au B2B un cadre légèrement plus souple qu’au B2C.

Comparaison B2B vs B2C

Chapitre 3 : Ce que vous pouvez faire — et ce que vous ne pouvez pas

Ce qui est autorisé

Enrichir des profils depuis LinkedIn Consulter des profils LinkedIn publics pour compléter vos fiches prospects est légal. Vous pouvez noter manuellement le poste, l’entreprise, les informations de contact visibles publiquement. Ce que vous faites de ces données (les stocker dans un CRM, les utiliser pour prospecter) doit ensuite respecter le RGPD.

Utiliser des outils d’enrichissement B2B Des outils comme Derrick permettent d’enrichir vos listes directement dans Google Sheets avec des emails professionnels, numéros de téléphone et données LinkedIn. Ce type d’enrichissement est légal dès lors que vous respectez les obligations d’information et de droit d’opposition dans vos communications.

Acheter des bases de données B2B L’achat de bases de données prospects est autorisé à condition que le prestataire ait lui-même collecté les données légalement et que vous respectiez vos obligations d’information lors de la première prise de contact (article 14 du RGPD).

Enrichir votre CRM existant Compléter les fiches de vos contacts existants avec des données supplémentaires (titre de poste actualisé, nouvelle entreprise, numéro direct) est autorisé dans le cadre de votre relation commerciale, sous réserve du principe de minimisation.

Ce qui est interdit

L’extraction massive automatisée de LinkedIn Les conditions d’utilisation de LinkedIn interdisent le scraping automatisé. En plus de cette restriction contractuelle, l’extraction massive de données personnelles sans base légale valide constitue une violation du RGPD. La CNIL a sanctionné plusieurs entreprises pour ce type de pratique.

Enrichir hors de la finalité déclarée Si vous collectez des données pour prospecter des directeurs IT et que vous les utilisez ensuite pour cibler des RH, vous changez de finalité — ce qui nécessite soit une nouvelle base légale, soit un nouveau consentement.

Conserver des données indéfiniment La durée de conservation est limitée. La CNIL recommande une durée maximale de 3 ans à compter du dernier contact pour un prospect qui n’a jamais répondu à vos sollicitations.

Prospecter hors du champ professionnel L’intérêt légitime ne s’applique que si votre offre est en lien avec la fonction professionnelle de la personne contactée. Contacter un directeur marketing pour lui proposer un abonnement à une salle de sport sur son email professionnel ne constitue pas une prospection B2B légitime — le régime B2C s’applique alors, et le consentement devient obligatoire.

Chapitre 4 : Le processus d’enrichissement conforme, étape par étape

Étape 1 : Définissez votre base légale avant d’enrichir

Avant de lancer tout enrichissement, documentez votre base légale dans votre registre des traitements. Pour chaque flux de données, répondez à ces questions :

• Quelle est la finalité précise de l’enrichissement ?
• La base légale retenue est-elle l’intérêt légitime ou le consentement ?
• Si intérêt légitime : avez-vous réalisé le test de proportionnalité ?
• La cible est-elle en lien direct avec votre offre ?

Résultat attendu : Une fiche de traitement documentée, opposable à la CNIL en cas de contrôle.

Étape 2 : Sélectionnez des sources d’enrichissement fiables

La qualité et la légalité de vos données dépendent directement de leurs sources. Privilégiez :

• LinkedIn (données publiques, consultation manuelle ou via des outils compatibles)
• Sites web d’entreprises (pages “à propos”, pages de contact)
• Bases de données professionnelles certifiées (annuaires sectoriels, chambres de commerce)
• Outils d’enrichissement conformes RGPD qui génèrent les données à la volée sans stocker de bases massives

Exigez systématiquement de vos prestataires une attestation de conformité RGPD et un DPA (Data Processing Agreement / Accord de traitement des données) signé.

Étape 3 : Appliquez le principe de minimisation

Ne collectez que les données strictement nécessaires à votre finalité. Pour une campagne d’outbound B2B classique, vous avez besoin de :

• Prénom, nom
• Email professionnel nominatif
• Titre/poste
• Entreprise
• Éventuellement : téléphone direct si vous faites du cold calling

Enrichir systématiquement 50+ attributs alors que vous n’en utilisez que 5 n’est pas conforme au principe de minimisation des données (article 5.1.c du RGPD).

Des outils comme Derrick permettent de trouver emails et téléphones de prospects en ciblant précisément les attributs dont vous avez besoin, sans surcollecte.

Étape 4 : Informez vos prospects dès le premier contact

C’est l’obligation la plus souvent oubliée — et l’une des plus sanctionnées par la CNIL. L’article 14 du RGPD impose d’informer toute personne dont vous avez collecté les données via une source tierce (enrichissement, achat de base, LinkedIn), dès la première prise de contact.

Mentions obligatoires dans votre premier email de prospection :

• Identité et coordonnées de votre entreprise
• Finalité du traitement (prospection commerciale)
• Base légale (intérêt légitime ou consentement)
• Source des données (“Vos coordonnées proviennent de LinkedIn” ou “d’une base de données professionnelles”)
• Droits de la personne (accès, rectification, opposition, effacement)
• Contact du DPO si votre entreprise en a un
• Lien de désinscription fonctionnel (opt-out en un clic)

Exemple de footer RGPD conforme :

Responsable du traitement : Acme SAS, 15 rue de la Paix, 75001 Paris
Finalité : Prospection commerciale B2B
Base légale : Intérêt légitime (article 6.1.f du RGPD)
Source : LinkedIn
Durée de conservation : 3 ans maximum en l'absence de réponse
Vos droits : accès, rectification, opposition, effacement — dpo@acme.com
Se désinscrire : [lien de désinscription]

Étape 5 : Gérez les droits d’opposition en temps réel

Dès qu’un prospect exerce son droit d’opposition (en cliquant sur le lien de désinscription ou en vous envoyant un email), vous devez :

1. Cesser immédiatement tout contact avec cette personne
2. Supprimer ou anonymiser ses données dans vos systèmes
3. Traiter la demande sous 24-48h maximum
4. Documenter la demande et le traitement effectué

La CNIL recommande de maintenir une liste d’exclusion (suppression list) pour éviter de re-collecter des données de personnes ayant exercé leur droit d’opposition.

La vérification et le nettoyage de vos listes emails fait partie intégrante d’une bonne hygiène de données — et d’une conformité durable.

Étape 6 : Respectez les durées de conservation

Mettez en place des processus de purge automatique dans votre CRM ou dans vos Google Sheets. Marie, Head of Marketing dans une PME industrielle, a instauré une revue trimestrielle de sa base de données : chaque prospect sans interaction depuis 36 mois est automatiquement supprimé ou archivé anonymisé. Résultat : une base plus propre, des taux d’engagement améliorés, et une conformité documentée.

Chapitre 5 : Les obligations pratiques — registre, DPO, sécurité

Le registre des traitements (obligatoire)

Toute organisation qui traite des données personnelles doit tenir un registre des activités de traitement (article 30 du RGPD). En pratique, ce registre liste tous vos traitements de données, avec pour chaque traitement :

• La finalité
• Les catégories de données traitées
• Les destinataires (prestataires d’enrichissement, CRM…)
• La durée de conservation
• Les mesures de sécurité mises en place

Ce document n’est pas à envoyer à la CNIL spontanément, mais doit être immédiatement disponible en cas de contrôle.

Le DPA avec vos prestataires d’enrichissement

Lorsque vous confiez des données personnelles à un prestataire externe (outil d’enrichissement, agence lead gen…), vous devez signer un Accord de Traitement des Données (DPA / Data Processing Agreement). Ce contrat définit :

• Le rôle de chaque partie (responsable du traitement vs sous-traitant)
• Les finalités autorisées pour le traitement des données
• Les mesures de sécurité mises en place par le prestataire
• Les conditions de restitution ou destruction des données en fin de contrat

Point d’attention : Beaucoup d’outils SaaS proposent un DPA dans leurs conditions générales ou sur demande. Vérifiez systématiquement que votre prestataire d’enrichissement a signé un DPA avec vous — l’absence de DPA est un motif de sanction CNIL.

Le DPO : obligatoire ou non ?

Le Délégué à la Protection des Données (DPO) est obligatoire dans trois cas :

1. Vous êtes une autorité publique
2. Votre activité principale consiste en un traitement à grande échelle de données sensibles
3. Votre activité principale consiste en un suivi systématique à grande échelle des personnes

Pour la plupart des équipes sales et marketing B2B, le DPO n’est pas légalement obligatoire. Toutefois, désigner un référent interne RGPD (même sans titre officiel de DPO) est une bonne pratique qui facilite la conformité et rassure vos partenaires.

Sécurisation des données

L’article 32 du RGPD impose de mettre en place des mesures de sécurité appropriées. Pour des données prospects enrichies, cela signifie concrètement :

• Accès limité aux personnes qui en ont besoin (principe du moindre privilège)
• Mots de passe robustes sur les outils CRM et Google Sheets contenant des données personnelles
• Chiffrement des données en transit et au repos si vous gérez des volumes importants
• Processus de notification en cas de violation de données (72h maximum pour notifier la CNIL si le risque pour les personnes est avéré)

Chapitre 6 : Cas particuliers — LinkedIn, numéros de téléphone, données achetées

LinkedIn et le RGPD : la ligne rouge

LinkedIn est la source numéro un de données B2B. La consultation manuelle de profils publics est légale. En revanche, plusieurs pratiques dépassent les bornes légales :

Extraction automatisée (scraping) LinkedIn interdit contractuellement le scraping automatisé dans ses conditions d’utilisation. En parallèle, extraire massivement des données de profils sans base légale valide constitue une violation du RGPD. La CNIL a déjà sanctionné des entreprises pour ce type de pratique.

Transfert de données LinkedIn vers un CRM Dès que vous exportez des données de profils LinkedIn (via Sales Navigator ou un outil tiers) vers votre CRM ou vos Google Sheets, vous créez un traitement de données personnelles soumis au RGPD. Vous devez informer les personnes concernées lors du premier contact (article 14) et leur indiquer la source : “Vos coordonnées proviennent de LinkedIn.”

Utiliser des données LinkedIn publiques pour enrichir C’est le cas de nombreux outils d’enrichissement qui s’appuient sur des informations de profils publics LinkedIn pour fournir des emails ou numéros de téléphone associés. Légalement, c’est acceptable si le prestataire respecte lui-même le RGPD et si vous informez les prospects de l’origine de leurs données.

Derrick permet par exemple de trouver le numéro de téléphone d’un prospect directement depuis son profil LinkedIn via le Phone Finder. L’information de la source dans votre premier contact reste obligatoire.

Numéros de téléphone et Bloctel

La prospection téléphonique en B2B est soumise à des règles spécifiques :

• Téléphone fixe professionnel : Intérêt légitime applicable, pas de Bloctel obligatoire pour les pros
• Mobile professionnel : RGPD applicable + vérification Bloctel si le numéro est personnel
• Mobile d’un particulier : Bloctel obligatoire (liste d’opposition au démarchage téléphonique)

En pratique, quand vous enrichissez un prospect avec un numéro de téléphone, assurez-vous qu’il s’agit bien d’un numéro professionnel. L’utilisation de services d’enrichissement qui précisent la nature du numéro (direct, fixe, mobile pro) réduit ce risque.

Données achetées auprès de prestataires tiers

L’achat de bases de données est légal, mais impose des obligations :

1. Vérifier la conformité RGPD du prestataire : Le vendeur doit pouvoir justifier de la légalité de sa collecte
2. Signer un DPA avec le prestataire
3. Informer les personnes dès le premier contact (article 14 RGPD) : mentionnez explicitement la source des données (“Vos coordonnées proviennent de [nom du prestataire]”)
4. Vérifier la fraîcheur des données : Des données obsolètes génèrent des bounces, nuisent à votre réputation d’expéditeur et posent un risque de conformité (principe d’exactitude, article 5.1.d RGPD)

Sophie, Growth Manager dans une scale-up SaaS, a fait l’expérience de l’importance de ce dernier point : après avoir acheté une base de 10 000 contacts sans vérification, son taux de bounce a dépassé 8%, entraînant une pénalisation de ses campagnes emailing. Elle a depuis instauré une vérification systématique des emails avant tout envoi, ramenant son taux de bounce sous la barre des 2%.

Chapitre 7 : Les sanctions réelles — et comment les éviter

Le niveau des amendes en 2025-2026

Les sanctions CNIL peuvent atteindre 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial (le montant le plus élevé est retenu). En 2024, la CNIL a mené plus de 340 contrôles et prononcé plusieurs dizaines de sanctions, dont certaines dépassant le million d’euros.

Les motifs de sanction les plus fréquents en prospection B2B :

• Absence de lien de désinscription (opt-out) dans les emails
• Conservation excessive de données (au-delà de 3 ans)
• Absence de mention de la source des données dans le premier contact
• Prospection hors du champ professionnel (offre sans lien avec la fonction)
• Absence de DPA avec les prestataires

Exemple réel : La société Nestor a été sanctionnée à 20 000€ par la CNIL pour avoir envoyé des messages à des professionnels sans lien suffisant avec leur activité (vente de repas sur le lieu de travail). L’intérêt légitime ne s’appliquait pas car l’offre n’était pas liée à leur fonction professionnelle.

Les erreurs qui exposent le plus

Problème 1 : Email sans footer RGPD Impact : Motif fréquent de plainte et de sanction. Chaque email de prospection sans mention de la base légale, de la source des données et du lien de désinscription expose votre entreprise à une mise en demeure CNIL. Solution : Intégrez un footer RGPD standardisé dans tous vos templates de cold email. Automatisez ce contrôle dans vos outils d’emailing.

Problème 2 : Pas de gestion des désinscriptions Impact : Si un prospect se désinscrit et que vous le contactez à nouveau, vous risquez une plainte directe à la CNIL. En cas de volume important, cela peut déclencher un contrôle. Solution : Utilisez une suppression list centralisée, synchronisée entre tous vos canaux de prospection (email, LinkedIn, téléphone).

Problème 3 : Conservation des données prospect au-delà de 3 ans Impact : Violation directe du principe de limitation de la conservation. La CNIL sanctionne régulièrement ce type de manquement. Solution : Mettez en place une purge automatique dans votre CRM. Paramétrez des alertes à 30 mois pour relancer ou supprimer les prospects inactifs.

Problème 4 : Absence de DPA avec le prestataire d’enrichissement Impact : En cas de fuite de données chez votre prestataire, vous êtes co-responsable si aucun contrat ne définissait les obligations de chaque partie. Solution : Exigez un DPA signé avant tout partage de données personnelles avec un prestataire. La plupart des outils SaaS sérieux le proposent spontanément.

Problème 5 : Enrichissement sans mentionner la source Impact : L’article 14 RGPD impose d’informer les personnes de la source de leurs données. L’absence de cette information est un motif fréquent de sanction. Solution : Dans votre premier email, mentionnez explicitement d’où proviennent les coordonnées du prospect : “Vos coordonnées proviennent de LinkedIn / d’une base de données professionnelles.”

Chapitre 8 : Checklist de conformité RGPD pour l’enrichissement de données

Voici la liste des points à vérifier avant de lancer votre prochain cycle d’enrichissement.

Avant l’enrichissement

• [ ] Base légale définie et documentée (intérêt légitime ou consentement)
• [ ] Test de proportionnalité réalisé si intérêt légitime
• [ ] Prestataire d’enrichissement sélectionné sur critères RGPD
• [ ] DPA signé avec le prestataire
• [ ] Finalité de l’enrichissement clairement définie
• [ ] Principe de minimisation respecté (ne collecter que le nécessaire)
• [ ] Registre des traitements mis à jour

Lors de la prospection

• [ ] Premier email conforme à l’article 14 (source, finalité, droits, opt-out)
• [ ] Footer RGPD présent dans tous les emails
• [ ] Lien de désinscription fonctionnel en un clic
• [ ] Offre en lien direct avec la fonction professionnelle du prospect
• [ ] Vérification Bloctel pour les numéros mobiles potentiellement personnels

En continu

• [ ] Suppression list centralisée et synchronisée
• [ ] Purge automatique à 3 ans pour les prospects inactifs
• [ ] Traitement des demandes de droits sous 30 jours maximum
• [ ] Audit annuel des traitements de données
• [ ] Mise à jour du registre en cas de nouveau traitement

À retenir

• Le RGPD s’applique dès qu’une donnée permet d’identifier une personne physique — y compris l’email prenom.nom@entreprise.com
• En B2B, l’intérêt légitime permet de prospecter sans consentement préalable, mais impose transparence et droit d’opposition
• L’obligation d’information (article 14) s’applique dès le premier contact : mentionnez la source, la finalité et les droits du prospect
• La durée de conservation maximale est de 3 ans pour un prospect inactif
• L’extraction automatisée de LinkedIn est interdite par les conditions d’utilisation de la plateforme et risquée au regard du RGPD
• Exigez un DPA signé avec chaque prestataire d’enrichissement
• Les sanctions CNIL peuvent atteindre 20 millions d’euros ou 4% du CA mondial

Conclusion : Une conformité RGPD qui renforce, pas qui freine

La conformité RGPD dans l’enrichissement de données B2B n’est pas un obstacle à la prospection — c’est un cadre qui la rend plus durable et plus efficace. Les équipes qui l’intègrent dès le départ construisent des bases de données plus propres, des campagnes avec de meilleurs taux d’engagement, et une réputation d’expéditeur protégée.

La règle d’or : enrichissez uniquement ce dont vous avez besoin, informez toujours vos prospects, et documentez chaque traitement. Ces trois habitudes suffisent à couvrir la grande majorité des risques.

Pour vos leads B2B et fichiers clients, l’enrichissement conforme passe par des outils qui génèrent des données à la volée, sans stocker massivement des bases personnelles — réduisant ainsi votre exposition légale.

Enrichissez vos données B2B dans le respect du RGPD

Derrick fonctionne directement dans Google Sheets : trouvez emails et téléphones de vos prospects, sans export manuel, sans friction.

Essayer gratuitement →

FAQ

Le RGPD s’applique-t-il aux emails professionnels B2B ? Oui. Un email nominatif du type prenom.nom@entreprise.com est une donnée personnelle au sens du RGPD car il permet d’identifier une personne physique. En revanche, un email générique comme contact@entreprise.com n’entre pas dans ce champ.

Peut-on enrichir des données sans consentement en B2B ? Oui, sous conditions. L’intérêt légitime (article 6.1.f du RGPD) permet de traiter des données sans consentement préalable si votre offre est en lien avec la fonction professionnelle du prospect, si vous l’informez dès le premier contact et si vous proposez un droit d’opposition facile.

Combien de temps peut-on conserver des données de prospects ? La CNIL recommande une durée maximale de 3 ans à compter de la collecte ou du dernier contact pour un prospect qui n’a jamais répondu. Au-delà, les données doivent être supprimées ou anonymisées.

Que risque-t-on en cas de non-conformité RGPD ? Les sanctions CNIL peuvent atteindre 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial (le montant le plus élevé étant retenu). En pratique, les sanctions fréquentes pour les PME restent dans des fourchettes de 20 000 à 200 000 euros, mais l’atteinte à la réputation peut être tout aussi dommageable.

L’enrichissement via LinkedIn est-il légal ? La consultation manuelle de profils publics LinkedIn est légale. L’extraction automatisée (scraping) est interdite par les conditions d’utilisation de LinkedIn et risquée au regard du RGPD. L’utilisation d’outils d’enrichissement qui s’appuient sur des profils publics est acceptable si vous informez les prospects de la source lors du premier contact.

Faut-il obligatoirement un DPO pour faire de l’enrichissement B2B ? Non, sauf si votre activité principale consiste en un traitement à grande échelle de données sensibles ou en un suivi systématique de personnes. Pour la plupart des équipes sales et marketing, un référent RGPD interne suffit. Désigner un DPO reste une bonne pratique, surtout si vous gérez des volumes importants.