Comment trouver des leads B2B sur LinkedIn légalement en 2026 (guide RGPD)

En décembre 2024, la CNIL a infligé une amende de 240 000 € à Kaspr. La nouvelle a circulé dans tous les cercles commerciaux et les groupes Slack de startups. Beaucoup en ont tiré la même conclusion : il faut arrêter la prospection B2B par email. C'est une erreur d'interprétation.

La CNIL n'a pas sanctionné Kaspr pour avoir aidé des commerciaux à prospecter. Elle l'a sanctionné pour une pratique précise : le scraping illicite de données personnelles depuis LinkedIn, sans base légale valide. La prospection elle-même, quand elle respecte un cadre précis, reste parfaitement légale en 2026.

Ce guide vous explique ce cadre, sans alarmisme.

B2B vs B2C : une différence fondamentale que personne ne vous explique

La plupart des professionnels pensent que le RGPD impose un consentement préalable avant tout email commercial. C'est vrai, mais uniquement en B2C.

En B2B, la règle est différente. Le cadre applicable en France est défini par l'article L34-5 du Code des postes et des communications électroniques (CPCE), complété par l'article 6§1(f) du RGPD sur l'intérêt légitime. Ces deux textes établissent clairement un modèle opt-out pour les communications professionnelles, et non un modèle opt-in.

Traduction concrète : vous n'avez pas besoin de demander la permission avant d'envoyer un premier email à un directeur commercial si votre message est lié à son activité professionnelle. Vous devez simplement lui laisser la possibilité de se désinscrire facilement.

Les 4 conditions cumulatives du cold email B2B légal

La CNIL a posé quatre conditions cumulatives pour qu'un email de prospection B2B soit légal. Toutes les quatre doivent être remplies simultanément.

1. Le destinataire est une personne physique en capacité professionnelle

Vous contactez un individu dans le cadre de son rôle professionnel (directeur, fondateur, responsable achat), pas en tant que personne privée.

2. Le contenu est lié à sa profession

Votre message doit porter sur un sujet en lien direct avec ce que fait cette personne dans son travail. Proposer un logiciel de gestion RH à un DRH : oui. Lui proposer une mutuelle santé personnelle : non.

3. Elle a été informée lors de la collecte

Au moment où ses coordonnées ont été collectées, la personne devait pouvoir savoir qu'elles pourraient être utilisées à des fins de prospection. C'est ici que le scraping pose problème, comme on le verra.

4. Un mécanisme d'opt-out simple est toujours disponible

Chaque email doit inclure un lien ou une méthode claire pour se désinscrire, et cette demande doit être honorée immédiatement.

Ce qui est légal vs ce qui ne l'est pas

La question n'est pas « est-ce que je peux prospecter par email ? » : la réponse est oui. La vraie question est : d'où viennent les données que vous utilisez ?

Légal :

• Données collectées via un formulaire sur votre site, avec mention de l'usage prospection
• Données achetées auprès d'un fournisseur qui documente sa base légale et son mode de collecte
• Contacts issus d'événements professionnels (salons, conférences) où l'échange de coordonnées est attendu
• Profils LinkedIn utilisés manuellement, avec discernement et pertinence démontrée

Zone grise ou illégal :

• Scraping automatisé de LinkedIn ou d'autres plateformes qui l'interdisent dans leurs CGU : c'est exactement ce que la CNIL a sanctionné chez Kaspr le 5 décembre 2024
• Achat de bases de données sans traçabilité de leur origine ni de leur mode de collecte
• Extraction massive de profils sans lien démontrable entre les contacts ciblés et votre offre

L'affaire Nestor (2020) illustre bien ce dernier cas : 20 000 € d'amende pour avoir scrapé 635 033 prospects sans pouvoir démontrer un lien suffisant entre ces profils et l'activité du service proposé.

Bonnes pratiques pour le premier email

Même quand la collecte est légale, la rédaction du premier email a son importance. Trois éléments sont indispensables.

La mention de source. Indiquez brièvement d'où vous vient le contact. « J'ai trouvé votre profil LinkedIn en cherchant des responsables RH dans le secteur industriel » est transparent et crédible. C'est aussi une preuve utile en cas de litige.

La pertinence professionnelle visible. Votre message doit montrer en deux lignes que vous vous adressez à cette personne pour une raison liée à son rôle, pas un email générique envoyé à 10 000 contacts.

Le lien de désinscription. Pas optionnel, pas caché en corps 8 dans le footer. Un lien clair, fonctionnel, qui déclenche une suppression réelle de la base. Un email qui respecte ces trois points est juridiquement solide, et en prime, il convertit mieux, parce que les destinataires qui reçoivent un message pertinent et transparent sont moins enclins à le signaler comme spam.

Les adresses info@ : une exception peu connue

Il existe une exception que peu de commerciaux connaissent : les adresses génériques de type info@, contact@ ou commande@, ciblant une personne morale, sont explicitement exemptées des règles de consentement par la CNIL.

Ces adresses ne correspondent pas à une personne physique identifiable : elles appartiennent à l'entreprise en tant qu'entité juridique. Le RGPD ne s'applique qu'aux données personnelles, et une adresse générique n'en est pas une au sens réglementaire.

Pratiquement : si vous ne disposez que de l'adresse contact@ d'une PME cible, vous pouvez l'utiliser sans vous soucier des quatre conditions listées plus haut. Ce point est régulièrement ignoré, y compris par des juristes peu familiers du droit de la prospection commerciale.

Pourquoi la collecte reste le vrai problème

La confusion vient de là : beaucoup pensent que le problème, c'est la prospection. Ce n'est pas le cas. Le problème, c'est la collecte illicite des données.

LinkedIn a interdit les scrapers automatisés dans ses CGU depuis longtemps. En juin 2025, la CNIL a précisé que le robots.txt de LinkedIn invalide l'intérêt légitime comme base légale pour le scraping. En clair : même si votre outil revendique l'intérêt légitime pour justifier l'extraction automatisée de profils, cette base ne tient pas face aux conditions d'utilisation de la plateforme.

C'est exactement ce qu'a payé Kaspr le 5 décembre 2024 : pas sa clientèle de commerciaux, pas leurs campagnes d'emailing, son propre mécanisme de collecte de données, qui extrayait massivement des profils LinkedIn sans base légale valide.

La distinction est importante. Un directeur commercial qui utilisait Kaspr pour trouver des leads n'a pas été sanctionné. Kaspr, en tant qu'opérateur qui scrappe pour alimenter sa base de données commerciale, l'a été.

En résumé

• La prospection B2B par email est légale en France en 2026 : l'affaire Kaspr n'a pas changé ça
• Le modèle applicable est l'opt-out, fondé sur l'art. L34-5 CPCE et l'art. 6§1(f) RGPD
• Quatre conditions cumulatives s'appliquent : capacité professionnelle, lien métier, information lors de la collecte, mécanisme d'opt-out disponible
• Les adresses génériques (info@, contact@) ciblant des personnes morales sont exemptées de ces règles
• Le vrai risque juridique est dans la collecte, pas dans la prospection : Kaspr (240 000 €, déc. 2024) et Nestor (20 000 €, 2020) en sont la preuve
• Externaliser la collecte à un service comme Snapleads, c'est aussi déléguer ce risque juridique

Sources : CNIL SAN-2024-020 (Légifrance), art. L34-5 CPCE, art. 6§1(f) RGPD, CNIL délibération Nestor 2020, CNIL fiche moissonnage juin 2025, LinkedIn User Agreement Section 8.2.2