Acheter un fichier d'entreprises pour lancer une campagne de prospection par e-mail reste une pratique courante en B2B. L'argument est simple : des milliers de contacts, livrés en quelques heures, pour quelques centaines ou milliers d'euros. La réalité est moins confortable. Le cadre juridique français est plus souple en B2B qu'en B2C, mais il ne dispense pas l'acheteur de vérifier d'où viennent les données, et la CNIL l'a rappelé à plusieurs reprises depuis 2024.
Cet article fait le point sur ce que vous pouvez faire, ce que vous devez vérifier avant d'acheter, pourquoi un fichier perd de sa valeur en quelques mois, et quelles alternatives permettent de construire une base de prospects que vous maîtrisez.
Ce que le droit autorise en prospection B2B
Un régime d'information et d'opposition, pas de consentement
Contrairement au B2C, la prospection par e-mail vers des professionnels ne nécessite pas de consentement préalable. La CNIL admet que le traitement repose sur l'intérêt légitime de l'entreprise, à trois conditions cumulatives :
- le message est en rapport avec la profession du destinataire (présenter un logiciel de gestion à un directeur administratif, par exemple) ;
- la personne a été informée que ses coordonnées pouvaient servir à de la prospection, et a pu s'y opposer dès la collecte ;
- chaque envoi indique clairement l'identité de l'expéditeur et propose un moyen simple de refuser les sollicitations suivantes.
Les adresses génériques du type contact@, info@ ou commande@ désignent une personne morale : elles ne sont pas des données personnelles et échappent à ces règles. Une adresse nominative (prenom.nom@societe.fr) est en revanche une donnée personnelle, même si elle est professionnelle.
Fichiers achetés : la responsabilité reste la vôtre
Le point qui piège les acheteurs est le suivant : quand les données proviennent d'un tiers, la CNIL demande à l'utilisateur du fichier de s'assurer que la personne a bien été informée de la possible utilisation de son adresse pour de la prospection et qu'elle a pu s'y opposer. Une clause contractuelle « fichier conforme RGPD » signée par le vendeur ne suffit pas.
Les décisions récentes le confirment. Le 15 mai 2025, la CNIL a infligé 900 000 euros d'amende à Solocal Marketing Services, notamment pour avoir utilisé des données de prospects dont le consentement n'était pas démontré et les avoir transmises à ses clients sans base légale ; les vérifications contractuelles ont été jugées « manifestement insuffisantes ». Le 31 janvier 2024, la société Foriou avait écopé de 310 000 euros pour avoir prospecté à partir de fichiers achetés à des courtiers sans vérifier la validité du consentement collecté. Ces affaires concernent des consommateurs, mais la logique est identique en B2B : l'acheteur doit pouvoir prouver que l'information et la possibilité d'opposition ont existé à la source.
Le cas Kaspr (240 000 euros, 5 décembre 2024) vise directement les outils B2B : l'extension collectait sur LinkedIn les coordonnées de personnes ayant restreint la visibilité de leur profil, les conservait cinq ans et informait mal les intéressés, pour une base d'environ 160 millions de contacts. Si vous utilisez ce type d'outil, vous héritez de la qualité de sa collecte.
Pour l'ordre de grandeur : dans son bilan 2025 publié le 9 février 2026, la CNIL recense 83 sanctions pour un total de 486,8 millions d'euros, dont dix décisions liées à la prospection commerciale.
Ce qui a changé en 2026, et ce qui n'a pas changé
Depuis le 11 août 2026, le démarchage téléphonique des consommateurs exige leur consentement préalable (loi du 30 juin 2025) ; Bloctel disparaît. Cette réforme ne concerne pas les appels vers des professionnels dans le cadre de leur activité. Au niveau européen, le volet « données personnelles » du paquet Digital Omnibus était encore en négociation au printemps 2026 et ne modifie pas, en l'état, les règles de la prospection commerciale.
Pourquoi un fichier acheté perd vite de sa valeur
Au-delà du droit, un fichier d'entreprises est un instantané qui se périme.
- Le tissu économique bouge en permanence. La Banque de France comptait 68 564 défaillances d'entreprises sur les douze mois à fin décembre 2025 (+3,5 % sur un an, +15,5 % par rapport à la moyenne 2010-2019). Un fichier vieux d'un an contient donc mécaniquement des sociétés disparues, sans parler des changements de poste.
- Les messageries filtrent plus durement. Depuis février 2024, Google impose aux expéditeurs de plus de 5 000 messages par jour l'authentification SPF, DKIM et DMARC, un désabonnement en un clic, et un taux de signalement comme spam maintenu sous 0,10 % (0,30 % étant le seuil critique). Microsoft applique des exigences comparables sur Outlook.com depuis mai 2025. Un fichier acheté génère précisément ce que ces seuils sanctionnent : des plaintes de destinataires qui ne vous connaissent pas.
- La donnée publique de référence est gratuite. La base Sirene de l'INSEE recense environ 25 millions d'entreprises et 36 millions d'établissements, mise à jour quotidiennement et accessible librement. Une partie de ce que vendent les courtiers en est une reprise enrichie.
Le taux d'ouverture n'est plus un indicateur fiable depuis que Gmail et Apple Mail préchargent les images. Pour juger une campagne B2B, suivez plutôt le taux de réponse, le taux de plaintes dans Google Postmaster Tools et le nombre de rendez-vous obtenus. Nous détaillons ces repères dans notre article sur l'email marketing.
Avant d'acheter : les questions à poser au vendeur
Si vous envisagez tout de même un achat ou une location de fichier, voici les points à obtenir par écrit.
| Question | Réponse attendue | Signal d'alerte |
|---|---|---|
| D'où viennent les adresses nominatives ? | Source précise (formulaire, annuaire, registre) avec la mention d'information affichée lors de la collecte | « Sources multiples », « données publiques » sans détail |
| Les personnes ont-elles été informées d'un usage par des tiers ? | Copie de la mention d'information et de la politique de confidentialité | Aucun document, ou clause générale « conforme RGPD » |
| Comment sont gérées les oppositions ? | Liste d'opposition mise à jour et transmise à chaque livraison | Oppositions non répercutées, fichier livré une fois pour toutes |
| De quand date la dernière vérification ? | Date de mise à jour par enregistrement, taux d'adresses invalides mesuré | Pas de date, ou fichier « nettoyé » sans méthode |
| Les contacts ont-ils été extraits de LinkedIn ou d'un réseau social ? | Non, ou collecte limitée aux profils publics avec information des personnes | Extraction automatisée sans information (voir décision Kaspr) |
Si le vendeur ne peut pas documenter l'origine et l'information des personnes, le fichier n'est pas utilisable pour des adresses nominatives. Il peut l'être pour des adresses génériques d'entreprises, avec une efficacité commerciale généralement plus faible. Nous avions déjà détaillé ces arbitrages dans faut-il acheter un fichier email client ?
Construire une base que vous maîtrisez
Partir des sources publiques et de vos propres canaux
La méthode la plus sûre consiste à assembler votre base à partir de sources dont vous connaissez l'origine, puis à l'enrichir progressivement.
- Sirene et les registres : sélection par code NAF, taille, localisation, date de création. La base contient des données personnelles (dirigeants, entrepreneurs individuels) et l'INSEE rappelle que le statut de diffusion de chaque personne physique doit être respecté.
- Sites des entreprises cibles : pages équipe et contact, souvent avec des adresses génériques que vous pouvez solliciter sans contrainte RGPD.
- Vos clients, vos partenaires, vos événements : recommandations, co-marketing, participants à vos webinaires ou rencontrés sur un salon, à qui vous pouvez rappeler ce contexte dans le premier message.
- LinkedIn et Sales Navigator : ciblage par fonction et secteur, prise de contact personnalisée. LinkedIn plafonne les invitations hebdomadaires, ce qui impose une prospection sélective. Évitez les extensions d'extraction massive.
Cette approche demande du temps. Elle produit en contrepartie une base documentée (source, date, mention d'information) que vous pourrez justifier en cas de contrôle. Le guide comment créer votre fichier de prospection décrit la méthode étape par étape.
Faire venir les prospects à vous
La prospection sortante ne remplace pas l'entrant. Un contenu qui répond aux questions de vos prospects (comparatifs, études de cas, guides pratiques) et se positionne sur leurs requêtes métier alimente une base constituée avec leur accord. Sur des cycles de vente longs, c'est souvent le canal dont le coût par rendez-vous se dégrade le moins avec le temps. Il suppose de mesurer l'origine des leads pour comparer les canaux ; c'est l'objet de notre prestation de mesure et pilotage webmarketing.
Outils : ce qui a changé
Le marché des outils s'est concentré. Clearbit a été racheté par HubSpot et s'appelle désormais Breeze Intelligence ; Leadfeeder a fusionné avec Echobot au sein de Dealfront. Apollo.io, ZoomInfo, Hunter.io, Lemlist ou Reply.io existent toujours. Quel que soit l'outil, posez-lui les mêmes questions qu'à un vendeur de fichiers : origine des données nominatives, information des personnes, répercussion des oppositions. Un outil hébergé hors de l'Union européenne ajoute une question de transfert de données à traiter avec votre DPO ou votre conseil.
Décider : quand l'achat de fichier peut se justifier
L'achat de fichier n'est pas interdit. Il se justifie dans un périmètre étroit :
- une cible bien définie que vous ne pouvez pas atteindre autrement dans le délai imparti ;
- un vendeur capable de documenter l'origine des données et l'information des personnes, ou un fichier limité aux adresses génériques ;
- un volume que votre infrastructure d'envoi peut absorber sans dégrader votre réputation (authentification en place, montée en charge progressive, domaine d'envoi distinct du domaine principal) ;
- un message réellement lié à l'activité du destinataire, avec un moyen de refus visible dès le premier envoi.
Dans les autres cas, le fichier acheté coûte plus qu'il ne rapporte : en plaintes, en réputation d'expéditeur et en risque juridique porté par votre entreprise plutôt que par le vendeur. La question n'est pas « combien de contacts pour ce budget ? », mais « combien de contacts puis-je justifier et exploiter correctement ? ».
Questions fréquentes
Faut-il le consentement d'un professionnel pour lui envoyer un e-mail de prospection ?
Non, en France la prospection par e-mail vers un professionnel repose sur l'intérêt légitime. Trois conditions s'appliquent : le message concerne son activité professionnelle, la personne a été informée de cet usage et a pu s'y opposer lors de la collecte, et chaque envoi permet de refuser simplement les messages suivants.
Les adresses génériques comme contact@ sont-elles soumises au RGPD ?
Non. Les adresses du type contact@, info@ ou commande@ désignent une personne morale et ne sont pas des données personnelles selon la CNIL. Elles peuvent être sollicitées sans les contraintes applicables aux adresses nominatives, à condition de rester dans une prospection loyale et d'honorer les demandes d'arrêt.
Un fichier vendu comme « conforme RGPD » me protège-t-il en cas de contrôle ?
Non. La CNIL considère que l'utilisateur d'un fichier acheté doit lui-même vérifier que les personnes ont été informées et ont pu s'opposer. En 2024 et 2025, plusieurs entreprises ont été sanctionnées pour avoir fait confiance aux garanties contractuelles de leurs fournisseurs sans contrôle réel.
Peut-on extraire des contacts de LinkedIn pour prospecter ?
Avec prudence. En décembre 2024, la CNIL a sanctionné l'éditeur d'une extension qui collectait les coordonnées de membres ayant restreint la visibilité de leur profil, les conservait trop longtemps et informait mal les personnes. Une prise de contact manuelle et personnalisée sur la plateforme reste possible ; l'extraction automatisée en masse expose l'utilisateur.
Combien d'e-mails de prospection puis-je envoyer par jour ?
La loi ne fixe pas de plafond, mais les messageries en imposent un de fait. Au-delà de 5 000 messages par jour vers Gmail, Google exige SPF, DKIM et DMARC, un désabonnement en un clic et un taux de plaintes inférieur à 0,10 %. En pratique, une montée en charge progressive sur un domaine d'envoi dédié protège votre domaine principal.
La base Sirene peut-elle servir de fichier de prospection ?
Oui, avec des limites. Sirene est gratuite, mise à jour quotidiennement et couvre l'ensemble des entreprises françaises, mais elle ne contient pas d'adresses e-mail et inclut des données personnelles de dirigeants dont certains ont exercé leur droit d'opposition à la diffusion. Elle sert surtout à construire le ciblage, que vous enrichissez ensuite par vos propres canaux.