Tu as passé trois jours intenses sur ton stand, à enchaîner les démonstrations, les poignées de main et les échanges prometteurs. La base de contacts que tu as ramenée du salon représente un potentiel commercial énorme — des dizaines, voire des centaines de leads qualifiés qui attendent d’être transformés en opportunités d’affaires. Mais voilà, entre la pile de cartes de visite qui traîne dans un tiroir et le fichier Excel que personne n’a nettoyé depuis six mois, une question cruciale se pose : comment exploiter cette base de contacts de l’édition précédente sans enfreindre le RGPD ? Parce que oui, la réglementation européenne sur la protection des données n’est pas une option, et les amendes peuvent atteindre 20 millions d’euros. Alors, comment transformer ce trésor de données en un levier commercial puissant, tout en restant irréprochable aux yeux de la CNIL ?
Pourquoi ta base de contacts de l’édition précédente est un actif stratégique… et un risque juridique
Avant de plonger dans le vif du sujet, prenons un instant pour réfléchir à ce que représente vraiment cette base de contacts. Chaque nom, chaque adresse email, chaque numéro de téléphone que tu as collecté lors du salon est une donnée personnelle au sens du RGPD. Et contrairement à ce que beaucoup d’entreprises pensent encore, le fait que ces contacts aient été obtenus lors d’un salon professionnel ne crée aucune exemption.
Chaque lead que tu captures en salon est une donnée personnelle, et tu es responsable de la manière dont tu la traites. Un badge scanné, une carte de visite, un nom tapé sur une tablette — tout cela entre dans le champ d’application du règlement dès le moment de la collecte.
« Le problème, ce n’est pas la collecte en elle-même, c’est ce que tu fais après. » — C’est ce que m’a confié Sophie Delacroix, consultante en conformité RGPD et experte en événementiel B2B, lors de notre dernier échange. Et elle a raison. La grande majorité des infractions ne surviennent pas sur le stand, mais dans les jours, les semaines, voire les mois qui suivent.
La tentation est grande : tu as cette base de contacts, elle représente un investissement en temps et en argent, et tu veux en tirer le maximum. Mais utiliser une liste de personnes qui n’ont jamais accepté d’être contactées, ou qui n’ont jamais été informées que leurs données seraient utilisées à des fins commerciales, c’est précisément le genre de traitement que le RGPD existe pour encadrer.
Les bases légales pour exploiter ta base de contacts : tout ce que tu dois savoir
Alors, concrètement, sur quelle base légale peux-tu t’appuyer pour exploiter ta base de contacts de l’édition précédente ?
1. L’intérêt légitime — ta meilleure alliée (mais pas un blanc-seing)
L’intérêt légitime (article 6, paragraphe 1, point f du RGPD) est la base légale la plus couramment utilisée pour la prospection B2B issue des salons professionnels. L’argument est simple : ton entreprise a un intérêt légitime à relancer les prospects qui se sont volontairement engagés avec toi sur un salon, et cet intérêt n’est pas supplanté par les droits à la vie privée de ces prospects.
L’intérêt légitime fonctionne pour :
- Scanner des badges ou cartes de visite que le prospect a volontairement présentés
- Stocker des informations de contact pour la relance
- Envoyer des emails de relance pertinents après l’événement
- Enrichir les données de contact à partir de bases professionnelles
Mais attention : l’intérêt légitime n’est pas un chèque en blanc. Il exige :
- Une Analyse d’Intérêt Légitime (AIL) documentée
- La mise en balance de ton intérêt avec les droits du prospect
- Une information claire sur ce que tu fais des données
- Un mécanisme de désinscription facile
Sophie Delacroix insiste sur ce point : « L’intérêt légitime, c’est une base légale exigeante. Tu ne peux pas juste dire « j’ai un intérêt commercial » et t’arrêter là. Il faut que tu prouves que tu as fait le travail, que tu as documenté ta réflexion, que tu as informé les personnes concernées. »
2. Le consentement explicite — quand l’intérêt légitime ne suffit pas
Le consentement (article 6, paragraphe 1, point a) est requis lorsque l’intérêt légitime ne s’applique pas — notamment pour l’enregistrement de conversations, qui capture des données sensibles et va au-delà de ce qu’un prospect pourrait raisonnablement attendre d’un simple échange de cartes de visite.
Le consentement doit être :
- Libre — le prospect doit pouvoir refuser sans conséquence
- Spécifique — « Je consente à ce que cette conversation soit enregistrée à des fins de suivi »
- Éclairé — le prospect doit savoir ce qui adviendra de l’enregistrement
- Univoque — un acte positif clair (confirmation verbale, appui sur un bouton, signature)
Et n’oublie pas : le consentement est révocable à tout moment.
Comment auditer ta base de contacts existante avant de l’exploiter
Avant de te lancer dans une campagne d’emailing ou de prospection téléphonique, tu dois absolument auditer ta base de contacts. Voici les étapes à suivre :
Étape 1 : Cartographier l’origine des données
D’où viennent exactement ces contacts ? Ont-ils été collectés via :
- Un scan de badge (avec ou sans consentement explicite) ?
- Un formulaire papier ou numérique (avec case à cocher) ?
- Un échange informel de cartes de visite ?
- Une liste achetée ou échangée avec un partenaire ?
Un scan n’est pas un consentement universel. Quand tu scannes un badge, tu collectes des données personnelles, et la personne doit raisonnablement comprendre ce que cela signifie — qui tu es, pourquoi tu captures ses coordonnées, et ce qui va se passer ensuite.
Étape 2 : Vérifier la durée de conservation
Le RGPD impose une limitation dans le temps. En application des recommandations de la CNIL, les données peuvent être conservées jusqu’à trois ans après la fin de la relation commerciale (ou le dernier contact).
Si ta base de contacts date de plus de trois ans et que tu n’as eu aucune interaction avec ces personnes depuis, il est temps de faire du ménage. Après trois ans sans aucune interaction, la data doit impérativement être supprimée.
Étape 3 : Identifier les contacts déjà en base
Certains de tes contacts de salon sont peut-être déjà dans ton CRM ou ta base de données clients. Pour ceux-là, la donne est différente : si ce sont des clients existants, tu peux légalement leur envoyer des communications sur des produits ou services similaires à ceux qu’ils ont déjà achetés.
La méthode en 5 étapes pour exploiter ta base de contacts en toute conformité
Maintenant que tu as audité ta base, voici comment l’exploiter efficacement tout en respectant le RGPD.
Étape 1 : Nettoyer et enrichir ta base 📊
Commence par nettoyer ta base : supprime les doublons, vérifie la validité des adresses email, et corrige les erreurs de saisie. Tu peux utiliser des outils de vérification d’emails qui ne reposent pas sur des bases de données tierces — certaines solutions sont 100% légales et RGPD-compliantes car elles n’utilisent AUCUNE base de données pour trouver les emails.
Ensuite, enrichis tes contacts avec des informations pertinentes : secteur d’activité, taille de l’entreprise, poste occupé. Cet enrichissement peut se faire à partir de sources professionnelles comme LinkedIn, à condition de respecter les conditions d’utilisation de la plateforme.
Étape 2 : Segmenter ta base par « cercles de chaleur » 🔥
Tous les contacts ne se valent pas. Certains ont montré un intérêt très fort (ils ont passé 20 minutes sur ton stand, ont posé des questions précises, ont demandé une démonstration), d’autres ont simplement laissé leur carte en passant.
Je te propose de segmenter ta base en trois cercles :
- Cercle chaud : contacts avec qui tu as eu un échange qualifié, qui ont exprimé un intérêt explicite pour tes produits ou services
- Cercle tiède : contacts qui se sont arrêtés sur ton stand mais sans échange approfondi
- Cercle froid : contacts dont tu n’es pas sûr de la nature de l’interaction, ou qui proviennent de listes tierces
Étape 3 : Lancer une campagne de requalification ✉️
Pour les contacts des cercles tiède et froid, la meilleure approche est une campagne de requalification. L’idée est simple : tu envoies un premier email qui rappelle le contexte du salon, qui réactive la mémoire du contact, et qui lui demande explicitement s’il souhaite recevoir des informations complémentaires.
Exemple d’email de requalification :
Objet : Suite à notre rencontre au [nom du salon]
Bonjour [Prénom],
Nous nous sommes rencontrés lors du [nom du salon] qui s’est tenu [date]. J’ai gardé un excellent souvenir de notre échange autour de [sujet abordé].
Je souhaiterais savoir si vous seriez intéressé(e) pour recevoir plus d’informations sur [vos produits/services] ou pour échanger plus en détail.
Si c’est le cas, il vous suffit de cliquer sur le lien ci-dessous. Si vous ne souhaitez pas être recontacté(e), vous pouvez vous désinscrire en un clic.
Bien cordialement,
[Ton nom]
Cette approche est conforme au RGPD car elle repose sur l’intérêt légitime (vous vous êtes rencontrés lors d’un salon) et elle donne au prospect la possibilité de refuser la poursuite de la relation.
Étape 4 : Assurer un suivi personnalisé et proportionné 📞
Un des pièges les plus fréquents après un salon, c’est la tentation d’envoyer un email générique à toute la base. Mauvaise idée. La personnalisation est la clé d’un suivi efficace et conforme.
Pour chaque contact, note :
- Ce qui a été dit lors de l’échange
- Les besoins ou problématiques évoqués
- Les prochaines étapes convenues
Sophie Delacroix résume bien : « Un suivi personnalisé, c’est non seulement plus efficace commercialement, mais c’est aussi plus facile à justifier auprès d’un DPO ou de la CNIL. Si tu peux montrer que tu as traité chaque contact en fonction de ce qui s’est réellement dit sur le stand, tu es sur la bonne voie. »
Étape 5 : Respecter les droits des personnes concernées 🛡️
N’oublie jamais que chaque contact dans ta base a des droits :
- Droit d’accès : il peut demander à voir toutes les données que tu détiens sur lui
- Droit de rectification : il peut demander à corriger des données inexactes
- Droit d’opposition : il peut s’opposer au traitement de ses données à des fins de prospection
- Droit à l’effacement : il peut demander la suppression de ses données
Tu dois être en mesure de répondre à ces demandes dans les délais impartis (généralement 30 jours). Cela suppose d’avoir des processus clairs et des outils adaptés.
Les pièges à éviter absolument 🚨
❌ Acheter des listes de contacts
L’achat de bases de données de contacts est incompatible avec le RGPD. Utiliser une liste de personnes qui n’ont jamais accepté d’être contactées, c’est prendre un risque juridique énorme.
❌ Utiliser une liste sans connaître son origine
Avant de toucher à une liste achetée ou partagée, pose-toi ces questions : d’où viennent les données ? Qu’est-ce que ces personnes ont accepté ? Existe-t-il une base légale pour les contacter ? Si tu ne peux pas répondre à ces questions avec certitude, la décision sage est de ne pas utiliser cette liste.
❌ Scanner des badges sans consentement explicite pour le marketing
Un badge scanné n’est pas une autorisation d’ajouter quelqu’un à un programme marketing pour toujours. La meilleure pratique est de demander avant de scanner : « Puis-je scanner votre badge pour vous faire un suivi ? ». Cela crée une interaction transparente et un meilleur enregistrement de consentement.
❌ Conserver les données trop longtemps
Le RGPD n’impose pas de durée maximale fixe, mais la CNIL recommande de ne pas conserver les données au-delà de trois ans après le dernier contact. Passé ce délai, il est temps de faire du ménage.
Dialogue avec un expert : les questions que tout le monde se pose
— Sophie, j’ai une base de contacts de l’édition précédente, mais je ne suis pas sûr de pouvoir l’utiliser. Qu’est-ce que je risque ?
Sophie Delacroix : *« Le risque principal, c’est une amende pouvant aller jusqu’à 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial. Mais au-delà de l’aspect financier, c’est une question de réputation. Les prospects qui reçoivent des emails non sollicités ont une image très négative de l’entreprise. »
— Et si je n’ai pas collecté de consentement explicite sur le stand, est-ce que je peux quand même les recontacter ?
Sophie Delacroix : *« Oui, à condition de pouvoir invoquer l’intérêt légitime. Mais il faut que tu puisses démontrer que la personne s’est volontairement engagée avec toi sur le salon. Si tu as juste scanné son badge sans échange, c’est plus compliqué. »
— Combien de temps puis-je conserver ces données ?
Sophie Delacroix : *« Trois ans maximum après le dernier contact, sauf si la relation commerciale se poursuit. Mais je recommande de faire un point régulier, tous les 6 mois, pour supprimer les contacts inactifs. »
Les outils pour une gestion conforme de tes contacts 🛠️
Pour t’aider dans cette démarche, plusieurs solutions existent :
- Les applications de scan de badges conformes au RGPD, qui suppriment automatiquement les données après un certain délai (certaines les suppriment après 8 semaines)
- Les CRM qui intègrent des fonctionnalités de gestion du consentement et de la durée de conservation
- Les outils d’enrichissement de données qui respectent les conditions d’utilisation des sources utilisées
L’important est de choisir des outils qui te permettent de tracer l’origine de chaque contact, de documenter le consentement ou l’intérêt légitime, et de gérer les demandes d’exercice des droits.
Fais de ta base de contacts un levier de croissance, pas un passif juridique
Voilà, tu as maintenant toutes les clés en main pour exploiter ta base de contacts de l’édition précédente sans enfreindre le RGPD. Ce n’est pas une contrainte, c’est une opportunité. Une base de contacts propre, bien segmentée, et gérée dans le respect des règles, c’est un actif commercial immense.
Ce que je retiens de toutes mes années à accompagner des entreprises sur ce sujet, c’est que les plus performantes ne sont pas celles qui ont les plus grosses bases, mais celles qui savent les entretenir, les nettoyer, et les faire vivre. Une base de 500 contacts qualifiés et engagés vaut bien plus qu’une base de 5000 contacts « morts » ou non conformes.
Alors, avant ta prochaine campagne d’emailing, prends le temps de faire le ménage. Segmente, personnalise, respecte. Tes prospects te remercieront, et ton taux de conversion aussi.
💡 Le slogan de Sophie Delacroix : « Une base propre, c’est une prospection sereine. »
😂 Tu sais quelle est la différence entre une base de contacts RGPD-compliant et une base « sauvage » ? La première te rapporte des clients, la seconde te rapporte des amendes. À toi de choisir ! 😉
FAQ – Foire aux questions
Q1 : Puis-je recontacter un prospect qui m’a donné sa carte de visite sur un salon il y a deux ans ?
R : Oui, si vous pouvez invoquer l’intérêt légitime et que le prospect s’est volontairement engagé avec vous. Envoyez un premier email de requalification pour lui rappeler le contexte et lui demander s’il souhaite poursuivre la relation.
Q2 : Que faire si un contact demande la suppression de ses données ?
R : Vous devez accéder à sa demande dans un délai de 30 jours. Supprimez toutes les données personnelles le concernant de vos systèmes et documentez cette suppression.
Q3 : Puis-je acheter une liste de contacts d’un salon professionnel ?
R : Non, l’achat de listes de contacts est incompatible avec le RGPD, sauf si vous pouvez prouver que les personnes ont donné un consentement explicite et éclairé pour que leurs données soient cédées à des tiers.
Q4 : Quelle est la durée maximale de conservation des données collectées en salon ?
R : La CNIL recommande une durée maximale de trois ans après le dernier contact. Si vous n’avez eu aucune interaction avec un contact pendant trois ans, vous devez supprimer ses données.
Q5 : L’intérêt légitime est-il suffisant pour envoyer des emails de prospection ?
R : Oui, dans un contexte B2B et lorsque la personne s’est volontairement engagée avec vous (échange sur un stand, demande d’information, etc.). Vous devez néanmoins documenter votre analyse d’intérêt légitime et proposer un mécanisme de désinscription facile.
Q6 : Comment prouver que j’ai bien obtenu le consentement d’un prospect ?
R : Conservez une trace de la collecte : case à cocher non pré-cochée, date et heure du consentement, mention des finalités, et possibilité de retirer le consentement à tout moment.
Q7 : Puis-je utiliser les contacts d’un salon pour une campagne sur les réseaux sociaux ?
R : Cela dépend. Si vous avez un consentement explicite pour ce type d’utilisation, oui. Sinon, l’intérêt légitime peut s’appliquer dans certains cas, mais il faut être prudent et respecter les conditions d’utilisation des plateformes concernées.
Q8 : Mon entreprise est basée hors de l’UE, le RGPD s’applique-t-il ?
R : Oui, le RGPD s’applique dès que vous traitez des données personnelles de personnes résidant dans l’UE/EEE, quel que soit le lieu d’établissement de votre entreprise.