Lead generation et RGPD : du formulaire au CRM

Un contact collecté n’est pas automatiquement un contact exploitable dans toutes les campagnes. Une demande de devis, un téléchargement, une participation à un webinaire et un accord à la prospection correspondent à des événements différents. La conformité de la génération de leads consiste à garder cette distinction jusqu’au CRM et aux partenaires.

Définir l’étape que la personne demande

Commencez par un objectif précis : recevoir un document, organiser une démonstration, répondre à une demande ou proposer des offres. L’Art. 6(1) du RGPD impose une base légale appropriée à chaque traitement. Une mesure précontractuelle peut relever de l’Art. 6(1)(b) lorsqu’elle est prise à la demande de la personne et réellement nécessaire ; l’intérêt légitime de l’Art. 6(1)(f) exige une mise en balance ; le consentement doit être démontrable lorsqu’il est retenu. RGPD, chapitre II.

Le téléchargement d’un contenu professionnel n’est pas, par nature, une mesure précontractuelle ni une inscription à toutes les offres. Faites correspondre le formulaire et l’automatisation à la promesse réelle. Le guide livre blanc et newsletter obligatoire examine ce point de friction.

Pour un événement organisé avec des partenaires, séparez inscription, gestion de la session et prospection ultérieure. La grille webinaire et partage de la liste des participants aide à attribuer les rôles et à préparer l’information avant l’ouverture des inscriptions.

Séparer les règles de collecte et de prospection

La prospection électronique auprès des particuliers nécessite en principe un accord préalable, avec une exception encadrée pour les clients et des produits ou services analogues. La prospection vers une adresse professionnelle peut relever de l’intérêt légitime si elle est en rapport avec la profession et respecte l’information et l’opposition. Règles CNIL de prospection électronique.

La réponse à une demande n’autorise pas à changer librement de canal. Pour les consommateurs, les campagnes téléphoniques relèvent depuis août 2026 d’un régime spécifique : vérifiez le guide du démarchage téléphonique avant de transformer un numéro demandé pour la livraison en numéro de prospection.

Concevoir les champs et l’information

Un champ facultatif reste une collecte à justifier. Évitez de demander systématiquement chiffre d’affaires, téléphone et effectif lorsqu’ils ne servent pas à l’objectif annoncé. Si un commercial a besoin d’une information plus tard, il peut la demander dans le contexte de cet échange, sans enrichissement systématique caché.

L’Art. 13(1) et (2) s’applique aux données collectées directement. L’Art. 14(3) prévoit les délais d’information en collecte indirecte, notamment au plus tard lors de la première communication ou transmission si elle précède le délai d’un mois. Les droits à expliquer dépendent des bases et opérations concernées. RGPD, chapitre III.

Dans votre fiche de lancement, décrivez les informations affichées, les champs obligatoires, la finalité de chaque choix et la version du formulaire. Ne demandez pas un consentement « obligatoire » pour une réponse qui repose en réalité sur une autre base légale.

Transmettre les bons statuts au CRM

Préparez une règle d’import qui refuse les statuts ambigus :

Le responsable marketing valide la destination des contacts ; le DPO vérifie les règles ; l’administrateur CRM contrôle leur traduction. L’absence de preuve ne doit pas être remplacée automatiquement par une valeur « oui ».

Encadrer partenaires et qualification

Quand des coordonnées de particuliers sont transmises pour une prospection exigeant le consentement, la CNIL exige un accord pour cette transmission et recommande de recueillir aussi l’accord à la prospection des partenaires dès la collecte. Les destinataires doivent être identifiables ; une formule vague ne suffit pas. Transmission de données aux partenaires : règles CNIL.

Pour les fichiers achetés, le dossier d’audit des fournisseurs de leads aide à vérifier les formulaires et preuves. Distinguez le CRM qui agit sur instruction du partenaire qui choisit sa propre prospection.

Un score commercial constitue parfois un profilage. Il n’entre dans l’Art. 22(1) que si les conditions de décision exclusivement automatisée et d’effet juridique ou significatif sont réunies. Une priorité donnée à un commercial et une exclusion automatique d’un service ne présentent pas les mêmes enjeux.

Fixer une sortie du fichier

La CNIL recommande généralement trois ans à compter de la collecte ou du dernier contact émanant du prospect pour les données de prospection. Ce repère doit être adapté aux traitements et ne transforme pas chaque signal technique en nouveau contact. FAQ CNIL sur les activités commerciales.

La simple ouverture d’un email ne relance pas cette durée. Définissez les événements entrants admissibles, la suppression des données devenues inutiles et la conservation séparée des éléments nécessaires à l’opposition ou à la preuve.

Cas rempli : un guide technique transforme trop vite les lecteurs en prospects

Exemple hypothétique. Une PME française fabrique des pompes industrielles. Elle propose un guide de maintenance aux responsables d’atelier. Son agence a préparé un parcours unique : téléchargement, création d’un contact commercial, affectation à un distributeur régional, puis relances par email et téléphone. Pourtant, le formulaire promet seulement l’envoi du guide. Une demande de document ne suffit pas à justifier ce parcours complet.

La responsable marketing redessine le dispositif avec le commercial et la personne chargée du RGPD. Le guide devient accessible directement. Un formulaire séparé permet de demander une réponse technique, avec l’email et la question ; le téléphone n’apparaît que pour choisir un rappel demandé. L’entreprise cesse ainsi de collecter une identité pour une simple lecture qui n’en a pas besoin. Ce choix de conception applique la minimisation de l’Art. 5(1)(c) ; le RGPD n’impose pas à tout livre blanc de fonctionner exactement ainsi.

Pour sa prospection professionnelle, la PME décrit séparément son intérêt commercial, la pertinence des offres pour les fonctions visées et les effets possibles sur les personnes. Elle prévoit une information visible et une opposition simple dès la collecte, puis dans chaque message. Le document interne conclut à une campagne limitée aux équipements professionnels concernés, sans enrichissement de la vie privée ni transfert automatique aux distributeurs. Cette analyse doit être refaite si le projet change ; inscrire « intérêt légitime » dans le CRM ne la remplace pas. RGPD, Art. 5(2) et 6(1)(f) ; Art. 21(2) à (4).

La règle d’affectation remise à l’administrateur CRM

Ces statuts répondent à deux questions différentes : « devons-nous traiter une demande ? » et « pouvons-nous envoyer cette campagne ? ». Un contact peut recevoir une réponse utile sans devenir prospect. Inversement, un dossier commercial ne donne pas accès à tous les messages du support : une remarque personnelle sans utilité pour la vente n’a pas à circuler dans les notes visibles par chaque distributeur.

Pour une transmission ultérieure, le responsable du projet doit préciser qui décide de l’usage, ce que le destinataire reçoit et comment la personne est informée. Il ne suffit pas d’ajouter le distributeur dans la catégorie « prestataires » : celui qui choisit ses offres et ses relances pour son propre compte n’est pas, pour cet usage, un simple opérateur du CRM.

Faire une recette qui vérifie les décisions, pas seulement l’import

L’administrateur prépare des contacts fictifs correspondant aux lignes du tableau. Il suit chacun du formulaire à la campagne, puis à l’export destiné aux commerciaux. La preuve attendue n’est pas une capture montrant que le contact existe : elle montre dans quelle liste il entre, quelle action est déclenchée et laquelle reste interdite.

Dans ce cas, le contact ayant posé une question et refusé les offres doit recevoir uniquement la réponse à sa demande. Le contact au contexte inconnu doit rester hors campagne. Le téléchargement anonyme ne doit pas créer discrètement une fiche personnelle grâce à un autre module du site. La responsable marketing examine les destinataires et le contenu des messages de recette ; l’administrateur conserve la version des règles appliquées.

Supposons qu’un connecteur transforme une valeur vide en « prospection autorisée ». L’équipe suspend l’automatisation commerciale concernée, corrige la correspondance des champs et recherche les contacts déjà affectés par cette erreur. Elle ne supprime pas indistinctement les demandes techniques encore ouvertes. Elle remet chaque fiche au statut démontré par sa source ; les preuves manquantes restent manquantes. Un nouvel import du même fichier doit conserver l’opposition déjà enregistrée. La reprise intervient après vérification de ces parcours et validation du périmètre par le responsable marketing.

La même prudence vaut pour un fichier externe : si le fournisseur livre seulement une colonne « accord », le lot reste hors campagne pendant l’examen des preuves. Relancer toutes les personnes pour leur demander un accord ne constitue pas une réparation automatique ; le message envisagé peut lui-même être une prospection soumise à l’article L. 34-5 du CPCE. Texte de la prospection électronique.

Enfin, le bilan commercial distingue les documents consultés, les demandes reçues, les contacts autorisés pour une campagne et les opportunités réellement qualifiées. Un gros fichier dont la provenance reste inconnue n’est pas un succès exploitable. Ce suivi évite que la pression sur le volume pousse les équipes à effacer les restrictions qui rendent précisément le fichier utilisable.

Ce qu’il faut retenir

• Une collecte, une demande et un accord commercial sont trois événements distincts.
• Les règles dépendent de la cible, du canal et de la finalité.
• Les preuves et restrictions doivent suivre le contact jusqu’au CRM.
• Prévoyez les partenaires, les retraits et la sortie du fichier avant le lancement.

FAQ

Peut-on utiliser tous les contacts d’un webinaire ?

Pas pour toutes les finalités. La gestion de l’événement, la prospection de l’organisateur et celle d’un partenaire nécessitent des analyses distinctes.

Un champ facultatif échappe-t-il à la minimisation ?

Non. Il faut pouvoir expliquer son utilité et son usage, même si la personne peut le laisser vide.

Un fournisseur promet des leads conformes : est-ce suffisant ?

Non. Demandez les conditions de collecte et vérifiez des preuves correspondant aux personnes et à la prospection réellement envisagée.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.