Enrichissement de contacts et RGPD : ce qu'on doit savoir

Enrichir un fichier de prospects, c'est compléter une fiche avec des informations venues d'ailleurs qu'un formulaire : le poste d'une personne, la taille de son entreprise, une adresse e-mail professionnelle, un numéro de téléphone, le site de la société. Ces données peuvent venir d'une source publique, d'un fournisseur de fichiers ou d'un outil qui les rassemble automatiquement.

Chacune de ces données reste une donnée personnelle dès qu'elle concerne une personne physique. C'est le point de départ : le RGPD s'applique, même si la personne a rendu l'information publique.

Cette page ne donne pas d'avis juridique. Elle résume ce que les pages de la CNIL disent, lues le 15/11/2026, et ce qu'elles ne disent pas.

Ce que dit la CNIL

Les données publiques restent des données personnelles. La page de la CNIL sur la prospection commerciale l'écrit : « les données en question sont des données personnelles ». Leur réutilisation doit donc respecter le RGPD. Le fait qu'un profil soit visible sur internet ne dispense pas de cette obligation.

La personne doit être informée. Selon la même page, les personnes doivent être informées avant la prospection. Pour la prospection par courrier électronique entre professionnels, la page dédiée de la CNIL, datée du 10/06/2026, va plus loin : lorsque la société dispose déjà des données ou les a obtenues auprès de tiers, elle doit s'assurer que la personne a été informée de la possible utilisation de son adresse électronique, et que la personne peut s'opposer.

L'opposition doit être simple. La CNIL écrit que le droit d'opposition doit pouvoir s'exercer « simplement et gratuitement ». Une personne qui s'est opposée ne doit plus être sollicitée par l'organisme. La CNIL cite l'usage d'une liste d'opposition pour cela.

Vous avez le droit de savoir. La page de la CNIL sur les droits des personnes indique : « Un organisme qui collecte des informations sur vous doit vous proposer une information claire », portant sur l'utilisation des données et sur les droits. Elle ajoute : « Vous pouvez vous opposer à tout moment à ce qu'un organisme utilise certaines de vos données. »

Les données ne sont pas gardées indéfiniment. La page de la CNIL sur les durées de conservation, datée du 02/04/2026, rappelle que « les données personnelles ne peuvent pas être conservées indéfiniment ». La durée se fixe par le responsable du traitement, en fonction de la finalité de la collecte.

Ce que les pages lues ne disent pas

Il reste plusieurs points que les pages lues ne traitent pas :

• La collecte indirecte. Quand les données viennent d'un fournisseur ou d'un outil, et non de la personne elle-même, la page de la CNIL sur les droits ne traite pas explicitement ce cas. La page sur la prospection par courrier électronique en traite un volet, celui du fichier obtenu auprès de tiers pour envoyer des messages.
• La durée de conservation des prospects. La page sur la prospection ne fixe aucune durée. La page générale renvoie au principe, sans chiffre pour les prospects.
• Les obligations d'un outil qui enrichit automatiquement. Les pages lues ne parlent pas d'outils de ce type.

Pour ces points, la réponse dépend de votre situation. Adressez-vous au délégué à la protection des données de votre entreprise, ou à celui du prestataire, et gardez une trace écrite de sa réponse.

Les questions à poser au fournisseur

Avant de payer un service d'enrichissement, demandez par écrit :

1. D'où viennent les données ? Source publique, partenaire, saisie par une personne, réseau social ? La réponse doit nommer la source.
2. La personne est-elle informée, et comment ? Quelle est la mention, à quel moment, et par quel canal ?
3. Comment s'exerce l'opposition ? Quel est le lien ou l'adresse, et qui traite la demande ? Combien de temps prend le traitement ?
4. Quelle durée de conservation, et qui la fixe ? Les données sont-elles supprimées quand vous cessez le contrat ?
5. Le fournisseur agit-il comme sous-traitant ? Y a-t-il un contrat de sous-traitance, et où sont hébergées les données ?
6. Les données servent-elles à entraîner des modèles d'IA ? Pour les autres éditeurs, voir la page données clients et IA dans un CRM.

Un fournisseur qui ne répond pas à ces six questions par écrit n'est pas un bon choix pour un fichier de prospection, même si son prix est bas.

Ce qu'un commercial peut faire dès maintenant

• Ne garder que les champs utiles à la prise de contact : poste, entreprise, rôle dans la décision.
• Noter la source de chaque information dans la fiche, pour savoir d'où elle vient en cas de question.
• Supprimer ou mettre en opposition une personne qui le demande, et ne plus la recontacter, y compris depuis un autre fichier.
• Revoir le fichier une fois par an : ce qui n'a pas servi depuis longtemps n'a pas de raison d'être gardé.

Pour la façon d'écrire aux professionnels à partir d'un fichier, voir Prospection B2B : ce que dit la CNIL. Pour les règles générales du courrier électronique, la page du réseau sur la prospection par mail et la CNIL reprend les mêmes sources sous un autre angle.