Base légale: intérêt légitime et limites pour le courrier
La prospection postale B2B nominative peut reposer sur l’intérêt légitime prévu par l’article 6, paragraphe 1, point f (source: Règlement (UE) 2016/679 (RGPD)). Cette base exige un objectif commercial précis, une information claire dans le courrier et un droit d’opposition effectif (source: CNIL - Prospection commerciale (consulté 2026-07)).
| Cas | Règle applicable |
|---|---|
| Courrier postal nominatif | Consentement préalable non requis si l’intérêt légitime est documenté et si l’opposition est possible (source: CNIL - Prospection commerciale (consulté 2026-07)). |
| E-mail, SMS, automate d’appel | Canaux soumis aux règles spécifiques de l’article L34-5 (source: Légifrance - Code des postes et des communications électroniques, art. L34-5 (consulté 2026-07)). |
| Courrier à une fonction générique | Usage réduit de données personnelles: écrire à « Service achats » évite de cibler un nom individuel. |
Exemple: « Responsable achats » ou « Service comptabilité » réduit le volume de données traitées par rapport à un nom, un prénom et une fonction.
Formalisez un test de mise en balance avant l’envoi: finalité commerciale, catégorie de destinataires, données utilisées, attente raisonnable du contact, information imprimée et procédure d’opposition. Ce document prouve pourquoi l’intérêt légitime a été retenu (source: Règlement (UE) 2016/679 (RGPD)).
Mentions à imprimer et droit d’opposition: le minimum légal
La mention imprimée doit identifier le responsable du traitement, la finalité de prospection B2B, la base légale, les droits applicables et le contact utile, dont le DPO s’il existe (source: Règlement (UE) 2016/679 (RGPD)).
Rédiger la mention courte
Formulation utilisable: Société nom, adresse, traite vos données professionnelles pour vous adresser une offre B2B par courrier, sur la base de son intérêt légitime. Vous pouvez exercer vos droits, dont l’opposition, auprès de e-mail générique ou adresse postale. Contact DPO: coordonnées, le cas échéant.
Indiquer la source du fichier
Si les données viennent d’un tiers ou d’une base comme Sirene, la mention doit citer cette source. L’information doit être fournie au plus tard lors de la première communication (source: Règlement (UE) 2016/679 (RGPD)).
Rendre l’opposition simple
Ajoutez au courrier une URL courte ou un QR code vers une page dédiée, une adresse e-mail générique et une adresse postale. La CNIL demande un moyen simple de s’opposer à la prospection commerciale (source: CNIL - Prospection commerciale (consulté 2026-07)).
Bloquer les prochains envois
Chaque opposition doit alimenter une liste interne d’exclusion. Avant tout routage, comparez le fichier d’envoi à cette liste et retirez les personnes inscrites.
Minimisation des données et durée de conservation
Le fichier de prospection postale doit se limiter à l’identité professionnelle, la fonction, l’entreprise et l’adresse professionnelle. Écartez les données sensibles et les champs sans lien direct avec l’envoi, car le RGPD impose de traiter des données adéquates, pertinentes et limitées à la finalité (source: Règlement (UE) 2016/679 (RGPD)).
Traitez séparément les entrepreneurs individuels lorsque l’adresse déclarée peut aussi être personnelle. Le courrier doit rendre l’opposition visible, par exemple avec une ligne dédiée indiquant comment ne plus recevoir de prospection.
Organisez des purges régulières. Pour chaque suppression ou anonymisation, conservez une trace opérationnelle: date, fichier concerné, action réalisée et motif lié à la conservation ou à l’opposition.
Un contact actif correspond à une interaction vérifiable du prospect avec l’organisation, et non au simple envoi d’un courrier resté sans réponse (source: CNIL - Prospection commerciale (consulté 2026-07)).
Constituer et partager le fichier en conformité (Sirene, prestataires)
Les données d’entreprises issues de sources ouvertes, comme un fichier Sirene utilisé pour identifier des établissements, se réutilisent selon la Licence Ouverte/Etalab: mention de la source, indication de mise à jour utile et absence de présentation trompeuse (source: Licence Ouverte / Etalab 2.0 (consulté 2026-07)).
Dès qu’une ligne permet d’identifier une personne physique, par exemple un dirigeant nommé ou un contact professionnel nominatif, le RGPD s’applique au traitement postal (source: Règlement (UE) 2016/679 (RGPD)).
Tracer la collecte indirecte
Pour une collecte indirecte, prévoyez l’information correspondante: origine du fichier, finalité de prospection postale, responsable du traitement et moyen d’opposition (source: Règlement (UE) 2016/679 (RGPD)). Avant l’envoi, contrôlez l’exactitude des adresses: retrait des doublons, correction des retours NPAI connus, cohérence entre raison sociale et adresse.
Encadrer le prestataire
Le routeur ou l’imprimeur agit comme sous-traitant s’il reçoit le fichier pour imprimer, mettre sous pli ou expédier. Le contrat doit préciser vos instructions documentées, la confidentialité du personnel habilité et les mesures de sécurité applicables (source: Règlement (UE) 2016/679 (RGPD)).
Limiter et sécuriser le partage
Transmettez seulement les champs nécessaires au routage: raison sociale, adresse postale et éventuelle civilité si elle figure sur le courrier. Chiffrez le fichier, envoyez le mot de passe par un canal séparé et réservez l’accès aux personnes chargées de l’opération.
Preuves de conformité à conserver avant et après l’envoi
Le dossier de conformité doit permettre de relier chaque campagne postale à sa finalité, sa base légale, ses données utilisées et ses destinataires. Le registre des traitements contient au minimum la finalité de prospection B2B, la base légale retenue, les catégories de données, les durées de conservation et les destinataires du fichier (source: Règlement (UE) 2016/679 (RGPD)).
Archivez la preuve dans la version applicable au jour de l’envoi: registre, test de mise en balance, courrier imprimé, mentions d’information et liste d’opposition utilisée.
Conservez le test de mise en balance qui justifie l’intérêt légitime, avec les garanties prévues: ciblage professionnel, données limitées et droit d’opposition visible. Ajoutez l’exemplaire du courrier et la version exacte des mentions légales imprimées.
Journalisez chaque campagne avec l’identifiant du fichier, la date d’expédition, les retours NPAI et les oppositions reçues. Le journal doit montrer que chaque opt-out a été intégré avant toute nouvelle extraction.
Évaluez si une AIPD est nécessaire avec les critères CNIL: volume, croisement de données, ciblage, vulnérabilité des personnes ou effets potentiels. Documentez la décision; si l’AIPD est requise, archivez les mesures d’atténuation retenues (source: CNIL - AIPD: faut-il réaliser une analyse d'impact ? (consulté 2026-07)).