Les règles de la prospection B2B

Écrire à une entreprise avec laquelle on souhaite travailler relève des affaires courantes. En écrire à mille, c’est une campagne, et une campagne tombe sous des règles qui diffèrent selon le pays et le canal. Une adresse nominative dans une entreprise constitue, dans la plupart des endroits, une donnée personnelle, et l’e-mail, les appels et LinkedIn obéissent chacun à leurs propres règles.

Voici un aperçu de l’état de ces règles, pour une entreprise qui vend à d’autres entreprises. Il ne s’agit pas d’un conseil juridique.

La Suisse

En Suisse, la loi contre la concurrence déloyale (LCD) fixe les règles de la publicité, et le PFPDT les résume. La publicité par e-mail est possible lorsque les personnes ont explicitement donné leur consentement, et l’acceptation de conditions générales ne suffit pas. Il existe une exception : une entreprise qui a vendu quelque chose à un client peut lui écrire au sujet de ses propres produits similaires, pour autant que le client puisse refuser. Chaque message doit nommer l’expéditeur et offrir un moyen simple et gratuit d’arrêter.

Les appels et les courriers postaux obéissent à une autre logique. Ils sont en général autorisés si une personne a rendu son numéro ou son adresse publics et n’a pas exclu la publicité. Les appels publicitaires vers des numéros marqués d’un astérisque dans l’annuaire, ou pas répertoriés du tout, sont interdits, sauf relation d’affaires existante. Les infractions manifestes relèvent de la concurrence déloyale, avec des conséquences civiles ou pénales, et les plaintes sont adressées au SECO.

La protection des données ajoute une obligation qui compte pour les listes achetées : toute personne peut demander à une entreprise où elle a obtenu ses données. Les recommandations du PFPDT ne tracent aucune limite distincte pour les destinataires professionnels, si bien qu’une entreprise rigoureuse les leur applique aussi.

L’UE et ses États membres

Dans l’UE, deux ensembles de règles s’appliquent ensemble. Le RGPD régit les données personnelles, et la directive ePrivacy régit le canal.

Le RGPD dit que le marketing direct peut relever d’un intérêt légitime. Le Comité européen de la protection des données (CEPD) avertit, dans ses lignes directrices de 2024, que ce n’est pas automatique. L’intérêt doit être légitime, le traitement nécessaire, et les droits de la personne ne doivent pas prévaloir, condition qui n’est pas remplie lorsque les personnes ne peuvent raisonnablement pas s’attendre à être contactées. Le droit d’opposition au marketing direct est inconditionnel : nul n’a à donner de raison, et une opposition aboutit dès qu’elle est formulée.

Pour le canal, le Comité lit la directive ePrivacy de manière stricte. Les e-mails de marketing non sollicités adressés à des particuliers exigent leur consentement préalable, avec la même exception pour les clients de l’entreprise elle-même et les produits similaires. Le marketing à destination d’entreprises en tant que personnes morales relève des seules règles ePrivacy, et c’est là que les États membres divergent.

La France est relativement ouverte. La CNIL autorise la prospection de professionnels sur la base de l’intérêt légitime lorsque le message se rapporte à la fonction de la personne, qu’elle a été informée et qu’elle peut s’opposer simplement et gratuitement. Les adresses génériques comme info@ ne relèvent pas de ces règles.

L’Allemagne est stricte. Selon l’article 7 de sa loi contre la concurrence déloyale, la publicité par e-mail sans le consentement exprès préalable du destinataire constitue toujours une gêne inacceptable, et la loi ne prévoit aucune exception générale pour les entreprises. Les appels publicitaires aux consommateurs exigent leur consentement exprès préalable, et les appels à d’autres entreprises au moins leur consentement présumé.

Le Royaume-Uni et les États-Unis

Le Royaume-Uni est plus ouvert envers les entreprises. L’ICO indique que l’on peut envoyer un e-mail ou un SMS à n’importe quelle personne morale, tandis que les entrepreneurs individuels et certaines sociétés de personnes comptent comme des particuliers et exigent un consentement. Il ne faut pas cacher qui l’on est, il faut indiquer une adresse de contact valide, et l’ICO qualifie de bonne pratique la tenue d’une liste de non-sollicitation par e-mail. La protection des données s’applique toujours aux employés nommés, et les recommandations sont en cours de révision après le Data (Use and Access) Act.

Les États-Unis reposent sur l’opt out. Le CAN-SPAM Act ne prévoit aucune exception pour l’e-mail professionnel. Les messages ne doivent pas utiliser de faux en-têtes ni d’objets trompeurs, doivent s’identifier comme publicité, comporter une adresse postale et expliquer comment se désinscrire, et un opt out doit être respecté dans un délai de 10 jours ouvrables. Confier l’envoi à un tiers ne déplace pas la responsabilité, et chaque e-mail en infraction peut coûter jusqu’à 53'088 dollars.

Les appels sont plus stricts. En février 2024, la FCC a décidé à l’unanimité que les voix générées par l’IA sont des voix artificielles au sens du Telephone Consumer Protection Act. Un appel avec une voix clonée ou synthétique exige donc le consentement exprès préalable de la personne appelée, les appels automatisés de télémarketing exigent un consentement écrit, et la loi permet aux particuliers d’agir en justice.

L’Europe et la Suisse abordent les voix d’IA par la transparence. Depuis le 2 août 2026, le règlement européen sur l’IA (AI Act) exige que les personnes soient informées lorsqu’elles interagissent avec une machine, et le PFPDT affirme que les personnes ont le droit de savoir si elles parlent avec une machine.

LinkedIn a ses propres règles

LinkedIn est une plateforme privée avec ses propres règles. Son contrat d’utilisation, en vigueur depuis le 3 novembre 2025, interdit les bots et autres méthodes automatisées non autorisées, y compris l’automatisation qui ajoute des contacts ou envoie des messages, et il interdit le scraping. Ses pages d’aide indiquent que les membres qui utilisent de tels outils risquent de voir leur compte restreint ou fermé.

La plateforme laisse largement la place à ce qui fonctionne de toute façon : un vrai profil, des publications qui valent la peine d’être lues et des messages écrits à une seule personne. L’automatisation qui se fait passer pour une personne est le moyen le plus rapide de perdre le compte qui porte le nom d’une entreprise.

Ce que fait une entreprise rigoureuse

Sachez où se trouve chaque destinataire, appliquez les règles de ce pays et choisissez la plus stricte en cas de doute.

Écrivez aux personnes à propos de leur travail, avec une raison qui correspond à leur fonction, et dites qui vous êtes.

Consignez l’origine de chaque adresse, et soyez en mesure de l’indiquer sur demande.

Tenez une seule liste d’exclusion pour tous les canaux, et respectez un opt out dès la première réponse, où qu’elle arrive.

N’utilisez des voix d’IA qu’avec consentement, et dites qu’il s’agit d’une machine.

Gardez LinkedIn personnel, et faites lire et valider par une personne ce qui part.

Les machines peuvent trouver les entreprises, étudier les personnes et rédiger la première ligne, plus vite et mieux chaque mois. Le jugement sur qui aborder, et la conversation qui suit, restent humains, et c’est ce dont un acheteur se souvient.

Comment Lookout s’y prend

Lookout est construit sur ces règles. Il respecte les règles suisses et européennes, et un opt out est honoré dès la première réponse. Les clients valident le récit, les messages et les premiers lots avant que quoi que ce soit ne parte, chaque piste est suivie et chaque refus est respecté. Les e-mails partent des propres domaines du client, avec SPF, DKIM et DMARC configurés. Lorsqu’un appel utilise une voix clonée, notre produit vocal Timbre ne clone une voix qu’avec consentement.

Une prospection qui respecte un refus n’est pas plus lente. Elle garde le domaine propre, la marque intacte et la prochaine conversation possible.