La base légale n’est pas le consentement, et c’est une bonne nouvelle.
En B2B, la CNIL admet qu’on écrive à une adresse professionnelle sans consentement préalable, à condition que le message concerne la fonction de la personne, qu’elle soit informée de l’origine de ses données et qu’elle puisse s’opposer simplement, gratuitement, à chaque envoi.
Le fondement juridique s’appelle l’intérêt légitime, à l’article 6 du RGPD. Il n’a rien d’un passe-droit. Il dit que votre intérêt à prospecter existe, et qu’il doit être mis en balance avec ce que la personne peut raisonnablement attendre. Un directeur des achats s’attend à recevoir des propositions de fournisseurs. Un salarié dont l’adresse a été devinée ne s’attend à rien.
Ce que « pouvoir montrer » veut dire concrètement.
L’intérêt légitime se documente. Pas dans un contrat de cinquante pages, mais dans une note d’une page qui répond à quatre questions, et qu’on peut sortir en dix minutes si la CNIL ou un prospect la demande.
- Quel est l’intérêt ? Vendre une prestation à des entreprises qui en ont l’usage. Dit comme ça, avec le type d’entreprise et la fonction visée.
- Pourquoi ces personnes ? Le lien entre leur fonction et votre offre. Écrire à un DRH pour un logiciel de paie se justifie. Écrire à tout l’organigramme, non.
- D’où viennent les données ? La source de chaque adresse, datée. C’est la question qu’on vous posera en premier.
- Qu’est-ce qui protège la personne ? L’information dès le premier message, l’opposition en un clic, la suppression effective, la durée de conservation.
Nous n’écrivons jamais à une adresse dont nous ne pouvons pas dire d’où elle vient. Une adresse sans origine, c’est une adresse qu’on ne peut pas défendre, et donc une adresse qu’on n’utilise pas. Ça élimine les fichiers achetés, presque sans exception.
Le premier message porte l’information.
L’article 14 du RGPD impose d’informer la personne quand ses données n’ont pas été collectées auprès d’elle, au plus tard au premier contact. En prospection, ça se traduit par deux lignes en bas du premier email : d’où vient l’adresse, et comment ne plus rien recevoir.
Ces deux lignes ne font pas baisser les réponses. Elles rassurent, parce qu’elles disent que l’expéditeur sait ce qu’il fait. Ce qui fait baisser les réponses, c’est un message qui n’a rien à voir avec la fonction de la personne, et là, aucune mention légale ne rattrape rien.
Le cadre complet, avec ce qui est permis et ce qui ne l’est pas, est sur notre page consacrée au cold email et au RGPD. Cet article ne parle que de la pièce que tout le monde oublie : la preuve.