Cold calling B2B et RGPD : ce que vous avez le droit de faire en 2026

Cet article fait le point sur ce que vous pouvez faire, ce que vous devez faire, et ce qui vous expose. Il s'adresse aux entreprises qui prospectent d'autres entreprises par téléphone, en interne ou via un prestataire. Il ne constitue pas un conseil juridique : pour une situation particulière, consultez votre DPO ou un avocat.

Le cadre en 2026 : B2C interdit sans consentement, B2B autorisé

Deux régimes coexistent, et les confondre est la première source d'erreur.

Le démarchage des particuliers

La loi du 30 juin 2025 a renversé la logique : depuis le 11 août 2026, un consommateur ne peut plus être démarché par téléphone s'il n'a pas donné son accord au préalable. Le système Bloctel, qui reposait sur l'opposition, laisse place à un régime de consentement. Les horaires autorisés et la limite du nombre de sollicitations, déjà en vigueur depuis 2023, restent applicables aux appels permis.

La prospection entre entreprises

Rien de tout cela ne s'applique à un appel passé à un professionnel, sur sa ligne professionnelle, au sujet de son activité professionnelle. La CNIL l'a toujours admis : la prospection B2B peut reposer sur l'intérêt légitime de l'entreprise qui prospecte, sans consentement préalable, à condition que le message soit en rapport avec la fonction de la personne appelée et qu'elle puisse s'y opposer.

Autrement dit, appeler le directeur des achats d'une ETI pour lui proposer une solution de gestion des achats est licite. Appeler le même homme sur son mobile personnel pour lui vendre une assurance auto ne l'est pas.

Le RGPD s'applique aussi aux données des professionnels

Deuxième confusion fréquente : « nous faisons du B2B, le RGPD ne nous concerne pas ». C'est faux. Le nom, le prénom, la fonction, l'adresse email nominative et la ligne directe d'un salarié sont des données personnelles. Dès que vous les collectez, les stockez ou les transmettez à un prestataire, vous êtes responsable de traitement.

Concrètement, vous devez pouvoir répondre à cinq questions pour votre fichier de prospection.

• Sur quelle base légale traitez-vous ces données ? Pour la prospection B2B, c'est en général l'intérêt légitime, et vous devez pouvoir le justifier.
• D'où viennent-elles ? Sourcing interne, partenaire data, réseau social professionnel. Vous devez le savoir et pouvoir le dire.
• Combien de temps les conservez-vous ? Une durée doit être définie et appliquée.
• Qui y a accès ? Vos équipes, vos prestataires, vos outils. Chacun doit être identifié.
• Comment une personne peut-elle s'y opposer ? Le mécanisme doit exister et fonctionner.

Si l'une de ces réponses manque, votre campagne est exposée, quelle que soit la qualité de vos appels.

Bloctel et les lignes professionnelles

Bloctel était la liste d'opposition au démarchage téléphonique des consommateurs. Elle concerne les particuliers, pas les numéros professionnels d'une entreprise. Un décideur joint sur le standard de sa société ou sur sa ligne directe de bureau n'est pas protégé par Bloctel, et la réforme de 2026 ne change rien pour lui.

Deux cas méritent cependant de la prudence.

• Les indépendants et les très petites entreprises. Un artisan, un consultant ou un professionnel libéral utilise souvent le même numéro à titre personnel et professionnel. S'il est inscrit sur Bloctel et que l'objet de l'appel n'est pas lié à son activité, vous êtes en infraction.
• Les mobiles personnels. Un numéro de mobile récupéré dans une base de données n'est pas une ligne professionnelle parce qu'il figure sur une fiche d'entreprise. Si vous ne pouvez pas établir qu'il s'agit d'une ligne fournie par l'employeur, traitez-le comme un numéro personnel.

Notre pratique : nous appelons les standards et les lignes directes professionnelles. Nous ne prospectons pas sur des mobiles dont l'usage professionnel n'est pas établi.

L'information du prospect : ce que vous devez dire, et quand

Lorsque vous n'avez pas collecté les données directement auprès de la personne, ce qui est le cas de toute liste de prospection, le RGPD vous impose de l'informer au plus tard lors du premier contact. Un appel à froid est ce premier contact.

En pratique, cela signifie que votre SDR doit pouvoir, dès que le prospect le demande, lui indiquer :

• qui est l'entreprise qui appelle et pour le compte de qui ;
• pourquoi il est appelé, c'est-à-dire la finalité commerciale ;
• d'où viennent ses coordonnées ;
• qu'il peut s'opposer à tout nouveau contact, et comment.

Il n'est pas nécessaire de réciter un paragraphe juridique en début d'appel. Il est nécessaire de répondre honnêtement et complètement à la question « comment avez-vous eu mon numéro ? ». Une réponse évasive est à la fois une faute réglementaire et une erreur commerciale : le prospect raccroche.

Le droit d'opposition : la règle que tout le monde connaît et que peu appliquent

Toute personne peut s'opposer, sans avoir à se justifier, à l'utilisation de ses données à des fins de prospection. En cold calling, cela prend une forme très simple : « ne me rappelez plus ». À partir de cet instant, vous avez une obligation de résultat.

Ce que cela implique opérationnellement :

• Une liste d'opposition interne, tenue à jour, consultée avant chaque campagne et partagée avec tous vos prestataires.
• Une mention dans le CRM sur la fiche du contact, qui bloque tout nouvel appel, email ou courrier.
• Un délai de traitement court. Un prospect qui a demandé à ne plus être appelé et qui reçoit un nouvel appel deux semaines plus tard est en droit de saisir la CNIL.
• Une extension au compte quand c'est demandé. Si un dirigeant demande que son entreprise ne soit plus sollicitée, prenez-le au mot.

Sur nos campagnes, chaque refus explicite est enregistré le jour même et transmis au client, qui doit le répercuter dans ses propres outils. C'est aussi une information commerciale : un compte qui refuse clairement n'est pas un compte à travailler.

Durées de conservation : combien de temps garder un prospect

Un fichier de prospection n'est pas éternel. La CNIL recommande, pour les prospects qui n'ont pas répondu à une sollicitation, une durée de conservation de trois ans à compter du dernier contact. Un contact qui a répondu, même négativement, fait repartir le compteur ; un contact qui n'a jamais réagi doit être supprimé au terme du délai.

En pratique, prévoyez :

• une date de dernier contact sur chaque fiche, mise à jour à chaque appel ;
• une purge annuelle des contacts inactifs depuis plus de trois ans ;
• une règle écrite, consultable par vos équipes et vos prestataires.

Un fichier de 20 000 contacts jamais purgé est à la fois un risque juridique et un fichier de mauvaise qualité : les personnes ont changé de poste, les numéros ne répondent plus, les entreprises ont fusionné.

L'enregistrement des appels

Enregistrer les appels de prospection est courant, utile pour la formation et le contrôle qualité, et licite sous conditions.

• Les deux parties doivent être informées au début de l'appel que celui-ci peut être enregistré, et pour quelle finalité.
• L'enregistrement ne peut pas être systématique et permanent si une écoute ponctuelle suffit à l'objectif de formation.
• La durée de conservation doit être limitée. Six mois est la durée généralement retenue pour des enregistrements à finalité de formation et d'évaluation.
• L'accès doit être restreint aux personnes qui en ont besoin : responsables d'équipe, formateurs, pas l'ensemble de l'entreprise.

Si vous externalisez, demandez à votre prestataire comment il gère ces quatre points. S'il ne sait pas répondre, il n'enregistre probablement pas dans les règles, ou il n'enregistre pas du tout, et vous ne pourrez jamais écouter ce qui est dit en votre nom.

Le numéro présenté et les horaires

Depuis le 1er janvier 2023, les appels de prospection ne peuvent plus être passés depuis un numéro de mobile en 06 ou 07. Le numéro présenté doit être un numéro géographique ou un numéro en 09, et il doit être joignable : un prospect qui rappelle doit tomber sur l'entreprise, pas sur une ligne morte.

Les restrictions d'horaires et de fréquence introduites en 2023, du lundi au vendredi, de 10 h à 13 h et de 14 h à 20 h, avec un maximum de quatre sollicitations par mois, visent le démarchage des consommateurs. Elles ne s'imposent pas en B2B, mais elles correspondent à peu près aux créneaux où un décideur est disponible, et nous les appliquons par principe.

Si vous externalisez : ce que doit contenir le contrat

Votre prestataire de cold calling est un sous-traitant au sens du RGPD. Vous restez responsable des données, et vous devez encadrer la relation par écrit. Le contrat doit préciser au minimum :

• l'objet et la durée du traitement, la nature des données et les catégories de personnes concernées ;
• l'obligation pour le prestataire de ne traiter les données que sur vos instructions ;
• les mesures de sécurité mises en place ;
• le sort des données à la fin de la mission, restitution ou suppression ;
• la localisation des données et, si elles quittent l'Union européenne, les garanties associées.

Ce dernier point mérite une attention particulière. Confier un fichier de prospects à un centre d'appels hors de l'Union européenne est un transfert de données personnelles qui exige des garanties spécifiques. Nous détaillons ce point dans notre comparatif SDR en CDI, freelance ou call center offshore. Nos SDR sont basés en France, vos données ne quittent pas le territoire, et ce sujet ne se pose pas.

Ce que cela change dans la pratique d'un bon SDR

Le respect de ces règles n'est pas une contrainte qui s'ajoute au métier. C'est une partie du métier. Un SDR senior sait d'où vient sa liste, répond sans détour à « comment avez-vous eu mon numéro ? », note un refus le jour même et n'appelle pas un mobile personnel. Ce comportement est aussi ce qui le fait prendre au sérieux par un décideur.

Pour voir comment nous appliquons ces règles sur vos campagnes, découvrez notre offre de SDR externalisés ou notre page dédiée au cold calling B2B.