Base légale et périmètre de données: poser le cadre avant d’automatiser
La prospection postale B2B peut reposer sur l’intérêt légitime lorsque le ciblage reste professionnel et proportionné. Cette base doit être documentée avec une finalité claire, des données limitées et un droit d’opposition effectif (source: Règlement (UE) 2016/679 (RGPD), art. 5, 6, 12, 13, 14, 21, 28, 30, 32, 35 (consulté 2026-07); source: CNIL — Prospection commerciale: ce que dit la loi (consulté 2026-07)).
Pour les dirigeants, entrepreneurs individuels et micro-entrepreneurs, traitez la fiche comme une donnée personnelle dès qu’elle identifie une personne physique. Le droit d’opposition doit être disponible simplement et sans obstacle inutile (source: Règlement (UE) 2016/679 (RGPD), art. 21 (consulté 2026-07)).
Pour le canal postal, retenez que le texte du CPCE cité par Légifrance concerne la prospection électronique, et non un régime général d’opt-in postal (source: Légifrance — Code des postes et des communications électroniques, art. L34-5 (consulté 2026-07)).
Le principe de minimisation limite le fichier aux données utiles: identification professionnelle, adresse postale et, si nécessaire, fonction du destinataire. Excluez toute donnée sensible et tout champ sans utilité pour l’envoi postal (source: Règlement (UE) 2016/679 (RGPD), art. 5 (consulté 2026-07)).
Le premier courrier doit afficher l’identité du responsable, la finalité, la base légale, les droits, les coordonnées du DPO lorsqu’il existe, les destinataires, la durée de conservation et la source des données le cas échéant (source: Règlement (UE) 2016/679 (RGPD), art. 13 et 14 (consulté 2026-07)).
Workflow automatisé conforme: de Sirene au courrier parti
Alimentez la base depuis l’API ou le flux Sirene, ou depuis un fournisseur. Pour chaque ligne, stockez la source, la date d’acquisition et l’identifiant SIRET (source: INSEE Sirene 2026).
Appliquez des critères objectifs: code NAF, zone géographique et taille d’établissement. Dédoublonnez par SIREN/SIRET, puis interrogez une liste d’exclusion unique pour les canaux utilisés par votre organisation (source: CNIL — Prospection commerciale: ce que dit la loi (consulté 2026-07)).
N’ajoutez que les champs nécessaires à l’impression: raison sociale, adresse postale et fonction du destinataire si elle existe. Écartez e-mails et téléphones lorsque le canal postal suffit (source: Règlement (UE) 2016/679 (RGPD), art. 5 (consulté 2026-07)).
Pour chaque premier envoi, fusionnez une notice d’information avec la lettre. Ajoutez un identifiant d’opt-out unique, sous forme d’URL ou de QR code, relié au SIRET concerné (source: CNIL — Prospection commerciale: ce que dit la loi (consulté 2026-07)).
Mettez à jour le registre des traitements et joignez la note d’équilibre de l’intérêt légitime: finalité, attentes des professionnels visés, données utilisées et mécanisme d’opposition (source: Règlement (UE) 2016/679 (RGPD), art. 30 (consulté 2026-07)).
Gérer l’opposition, la conservation et les preuves sans friction
Chaque courrier doit proposer plusieurs sorties simples: URL ou QR code, e-mail dédié, adresse retour. Le lien ou code porte l’identifiant destinataire afin de bloquer le même prospect dans le CRM, l’outil de scoring et le routeur postal dès réception de l’opt-out.
Un webhook d’opposition doit écrire le statut « opposé » dans la fiche contact, puis empêcher toute nouvelle extraction vers l’imprimeur ou le routeur.
Les données de prospects se conservent au plus 3 ans après le dernier contact ou la dernière interaction (source: CNIL — Prospection commerciale: ce que dit la loi (consulté 2026-07)). Ensuite, purgez les champs opérationnels ou archivez-les avec chiffrement, accès restreint et motif documenté.
Conservez la date d’envoi, le routeur utilisé, le gabarit de lettre, la version de la notice d’information et la décision d’équilibre liée à l’intérêt légitime. Ces logs soutiennent l’accountability prévue par le RGPD (source: Règlement (UE) 2016/679 (RGPD), art. 5 (consulté 2026-07)).
Traitez accès, effacement et opposition sous un mois. Journalisez la demande, l’identité vérifiée, la réponse envoyée et la décision: acceptation, refus motivé ou restriction appliquée (source: Règlement (UE) 2016/679 (RGPD), art. 12 (consulté 2026-07)).
Sous‑traitants (imprimeur, routeur): clauses et contrôles clés
Avant tout envoi, l’imprimeur et le routeur doivent signer un contrat de sous-traitance couvrant l’objet, la durée, les finalités, les instructions documentées, la confidentialité, l’assistance aux droits, les sous-traitants ultérieurs et le sort des fichiers (source: Règlement (UE) 2016/679 (RGPD), art. 28 (consulté 2026-07)).
Le registre doit indiquer les prestataires et les lieux de traitement (source: Règlement (UE) 2016/679 (RGPD), art. 30 (consulté 2026-07)).
La prospection postale sans profilage poussé n’appelle pas automatiquement une AIPD; vérifiez toutefois la liste CNIL et archivez la décision d’AIPD ou de non-AIPD (source: CNIL — Liste des traitements nécessitant une AIPD (consulté 2026-07)).
Mentions d’information prêtes à fusionner dans vos lettres
Pour chaque lettre, fusionnez une mention attachée à la campagne. Elle indique l’identité et le contact du responsable, le contact du DPO lorsqu’il existe, les finalités, la base légale avec l’intérêt légitime, les destinataires, les transferts éventuels, la durée de conservation, les droits, dont l’opposition, et la source indirecte des données (source: Règlement (UE) 2016/679 (RGPD), art. 13 et 14 (consulté 2026-07); source: CNIL — Prospection commerciale: ce que dit la loi (consulté 2026-07)).
Placez en pied de page un résumé lisible: finalité de prospection, source, droit d’opposition, URL courte ou QR code vers la politique complète. Ajoutez un moyen d’opt-out gratuit et immédiat, par exemple une adresse dédiée ou un formulaire sans création de compte (source: CNIL — Prospection commerciale: ce que dit la loi (consulté 2026-07)).
Insérez la notice complète dès le premier courrier. Si le fichier vient de Sirene, écrivez: « Source: données publiques INSEE Sirene ». Archivez le texte exact fusionné, sa date d’usage et son identifiant de version pour prouver l’information fournie (source: INSEE Sirene 2026; source: Règlement (UE) 2016/679 (RGPD), art. 13 et 14 (consulté 2026-07)).
Pour les relances, utilisez un rappel bref: responsable, finalité, source, URL de la politique complète et droit d’opposition. Ne supprimez jamais le canal d’opposition; le destinataire doit pouvoir refuser la prospection sans frais et sans délai (source: CNIL — Prospection commerciale: ce que dit la loi (consulté 2026-07)).