Scraping de donnees B2B : collecter des emails professionnels sur LinkedIn est-il legal au regard du RGPD ?
Publie le 08/11/2026 · Temps de lecture : 10 min
En octobre 2022, la CNIL a inflige une amende de 20 millions d'euros a la societe americaine Clearview AI, qui avait constitue une base de donnees biometriques a partir de milliards de photos collectees automatiquement sur internet (reseaux sociaux, sites publics), sans information des personnes concernees ni base legale valable. Cette affaire, qui concerne des photos et non des contacts B2B, illustre un principe simple que beaucoup de TPE et de PME ignorent : moissonner des donnees publiquement accessibles sur LinkedIn, un annuaire professionnel ou un site d'entreprise reste une collecte de donnees personnelles au sens du RGPD, avec toutes les obligations que cela implique.
Beaucoup d'entreprises partent du principe qu'une information deja publique peut etre reutilisee librement. C'est une erreur juridique frequente : la publicite d'une donnee ne la fait pas sortir du champ du RGPD, elle ne fait que faciliter sa collecte. Voici ce que le RGPD impose reellement avant d'utiliser un outil d'extraction automatisee de contacts professionnels a des fins de prospection B2B.
Sommaire
- 1. Une donnee publique reste une donnee personnelle
- 2. Email nominatif ou generique : une distinction qui change tout
- 3. Quelle base legale pour scraper des profils LinkedIn ou un annuaire ?
- 4. L'obligation d'information meme sans contact direct
- 5. Le droit d'opposition : une porte de sortie obligatoire
- 6. Le risque contractuel, distinct du RGPD
- 7. Les bonnes pratiques pour une prospection B2B conforme
- Questions frequentes
1. Une donnee publique reste une donnee personnelle
L'article 4.1 du RGPD definit une donnee a caractere personnel comme toute information se rapportant a une personne physique identifiee ou identifiable. Rien dans ce texte n'exclut les informations que la personne a elle-meme rendues publiques : un profil LinkedIn visible par tous, un nom affiche sur la page « equipe » d'un site d'entreprise ou un email indique dans un annuaire professionnel restent des donnees personnelles. Le fait qu'elles soient accessibles sans authentification change seulement la facilite de collecte, pas la qualification juridique.
Concretement, un outil qui parcourt automatiquement des milliers de profils LinkedIn pour en extraire noms, fonctions et emails realise un « traitement de donnees a caractere personnel » au sens de l'article 4.2 du RGPD des la phase de collecte, meme avant tout envoi de message. Cela declenche immediatement les obligations de licieite, de loyaute et de transparence posees par l'article 5.1.a du RGPD.
2. Email nominatif ou generique : une distinction qui change tout
Toutes les adresses collectees ne se valent pas au regard du RGPD. Une adresse generique comme contact@entreprise.fr ou info@entreprise.fr ne permet pas d'identifier une personne physique precise : elle n'entre donc pas dans le champ du RGPD, meme si son usage pour de la prospection reste encadre par d'autres textes (notamment le Code des postes et des communications electroniques).
A l'inverse, une adresse nominative comme prenom.nom@entreprise.fr identifie directement une personne physique. C'est une donnee personnelle a part entiere, meme si elle est utilisee dans un cadre strictement professionnel : le RGPD ne distingue pas les donnees « privees » des donnees « professionnelles », il protege la personne physique derriere l'information. La grande majorite des contacts extraits de LinkedIn ou d'un annuaire professionnel entrent dans cette seconde categorie.
3. Quelle base legale pour scraper des profils LinkedIn ou un annuaire ?
Comme tout traitement, le moissonnage de contacts B2B doit reposer sur l'une des six bases legales de l'article 6 du RGPD. Le consentement prealable de chaque personne scrapee est par definition impossible a recueillir avant la collecte. En pratique, la base legale invoquee par les entreprises qui pratiquent cette activite est l'interet legitime (article 6.1.f), a condition de passer un test rigoureux en trois etapes, formalise par la CNIL et le Comite europeen de la protection des donnees :
- Identifier l'interet legitime poursuivi : par exemple, developper une activite commerciale B2B en identifiant des interlocuteurs pertinents dans des entreprises cibles.
- Verifier la necessite du traitement : la collecte automatisee et massive est-elle vraiment necessaire, ou une recherche manuelle et cibleee suffirait-elle a atteindre le meme objectif avec moins de donnees collectees ?
- Mettre en balance cet interet avec les droits des personnes concernees : un salarie qui renseigne son poste sur LinkedIn pour son reseau professionnel s'attend-il raisonnablement a voir son contact integre dans une base de prospection commerciale externe a son entreprise ? Plus le volume de donnees collectees est important et plus le traitement est automatise, plus cette balance penche en faveur des droits de la personne.
4. L'obligation d'information meme sans contact direct
Quand les donnees ne sont pas collectees directement aupres de la personne concernee, c'est le cas de figure exact du scraping, l'article 14 du RGPD impose neanmoins d'informer chaque personne : identite du responsable de traitement, finalite de la collecte, base legale invoquee, duree de conservation et existence des droits (acces, rectification, opposition, effacement). Cette information doit intervenir dans un delai raisonnable apres la collecte, qui ne peut depasser un mois, ou au plus tard lors du premier contact avec la personne si celui-ci survient avant.
En pratique, cela signifie qu'un premier email de prospection envoye a partir d'un contact scrape doit explicitement mentionner d'ou provient l'adresse, quelle entite l'a collectee et comment s'opposer a tout traitement ulterieur. Un email de prospection silencieux sur son origine, qui ne fournit aucun moyen de s'opposer ou de demander la suppression des donnees, ne respecte pas cette obligation.
5. Le droit d'opposition : une porte de sortie obligatoire
L'article 21 du RGPD accorde a toute personne un droit d'opposition specifique a la prospection, exercable a tout moment et sans avoir a se justifier. Des qu'une personne scrapee s'oppose, le responsable de traitement doit cesser immediatement tout traitement de ses donnees a cette fin, y compris sa presence dans un fichier ou un outil CRM constitue a partir du moissonnage initial.
Ce droit doit etre facilement accessible : un lien de desinscription fonctionnel dans chaque email, ou une adresse de contact clairement indiquee. L'absence de mecanisme d'opposition est l'un des manquements les plus frequemment releves lors des controles de la CNIL sur des pratiques de prospection a grande echelle.
6. Le risque contractuel, distinct du RGPD
Au-dela du RGPD, le scraping automatise de LinkedIn ou d'une autre plateforme expose a un second risque, purement contractuel : les conditions d'utilisation de la plupart des reseaux professionnels interdisent explicitement l'extraction automatisee de donnees. Aux Etats-Unis, l'affaire hiQ Labs contre LinkedIn a longuement oppose les deux societes devant la Cour d'appel du neuvieme circuit sur la question de savoir si le scraping de profils publics violait la loi federale sur la fraude informatique ; les juridictions americaines ont finalement privilegie l'acces a des donnees publiques, mais ce contentieux ne concerne que le droit americain et ne neutralise en rien les obligations du RGPD applicables en France et dans l'Union europeenne.
Une entreprise francaise qui utilise un outil de scraping s'expose donc a un cumul de risques independants : une violation du RGPD d'un cote, et une violation des conditions d'utilisation de la plateforme source de l'autre, pouvant entrainer la suspension du compte utilise pour la prospection.
7. Les bonnes pratiques pour une prospection B2B conforme
Prospecter des contacts professionnels identifies sur LinkedIn ou un annuaire n'est pas interdit en soi. Quelques principes permettent de limiter sensiblement le risque :
- Privilegier une selection manuelle et ciblee des contacts plutot qu'une extraction automatisee massive et indifferenciee ;
- Documenter le test de mise en balance de l'interet legitime avant de lancer une campagne de prospection a partir de donnees collectees indirectement ;
- Inclure, des le premier message, l'origine des donnees et un moyen simple de s'opposer ou de demander leur suppression ;
- Fixer une duree de conservation limitee pour les contacts qui ne repondent jamais aux sollicitations, plutot que de les conserver indefiniment dans un CRM ;
- Tenir un registre des traitements incluant cette activite de prospection B2B, comme l'exige l'article 30 du RGPD.
Ces regles s'articulent avec celles qui encadrent l'envoi lui-meme des emails de prospection, deja detaillees dans notre article sur l'e-mailing et le RGPD en B2B comme en B2C. La collecte des contacts et leur sollicitation sont deux etapes distinctes, chacune soumise a ses propres conditions.
Documentez votre prospection B2B sans y passer des heures
ConformiteFacile vous aide a tenir un registre des traitements a jour, y compris pour vos activites de prospection commerciale, et a generer les mentions d'information requises par le RGPD.
Decouvrir nos offresQuestions frequentes
Un email du type contact@entreprise.fr recupere par scraping est-il une donnee personnelle ?
Non, en principe. Une adresse generique qui ne designe pas une personne physique identifiable (contact@, info@, commercial@) n'est pas une donnee a caractere personnel au sens de l'article 4.1 du RGPD, et son utilisation echappe donc au RGPD (meme si le Code des postes et des communications electroniques peut s'appliquer separement). En revanche, prenom.nom@entreprise.fr identifie une personne physique precise et constitue bien une donnee personnelle, meme dans un contexte professionnel.
Le scraping de LinkedIn est-il interdit par la CNIL ?
Le RGPD n'interdit pas le principe de la collecte automatisee de donnees publiques, mais il l'encadre : il faut une base legale valable (le plus souvent l'interet legitime, apres un test de mise en balance), informer les personnes concernees et respecter leur droit d'opposition. La CNIL a sanctionne des pratiques de moissonnage massif sans base legale ni information, notamment Clearview AI a hauteur de 20 millions d'euros en octobre 2022 pour avoir constitue une base de donnees biometriques a partir de photos collectees sur internet sans aucune des garanties exigees par le RGPD.
Puis-je utiliser un outil comme Sales Navigator ou un extracteur de contacts sans risque ?
L'outil en lui-meme n'est pas le probleme : c'est l'usage qui en est fait. Une recherche manuelle via Sales Navigator pour identifier des interlocuteurs pertinents, suivie d'un contact individualise, pose moins de difficultes qu'une extraction automatisee en masse de milliers de profils stockes dans une base de prospection sans information ni mecanisme de desinscription. Le volume, l'automatisation et l'absence de transparence sont les criteres qui aggravent le risque.
Que risque une TPE ou une PME qui scrape des contacts B2B sans respecter ces regles ?
Le RGPD s'applique quelle que soit la taille de l'entreprise. En cas de plainte ou de controle, la CNIL commence generalement par une mise en demeure demandant une mise en conformite sous un delai donne. Le non-respect de cette mise en demeure, ou la gravite du manquement (absence totale de base legale, opposition aux demandes de suppression), peut conduire a une sanction financiere proportionnee a l'activite de l'entreprise. Il existe aussi un risque contractuel distinct : LinkedIn et la plupart des plateformes interdisent le scraping automatise dans leurs conditions d'utilisation et peuvent suspendre un compte ou engager une action independamment du RGPD.
A lire aussi
Decision automatisee et profilage (article 22 du RGPD) : ce qu'une TPE ou PME doit savoir
Lire
Achat ou location de fichiers de prospection : ce que le RGPD exige avant d'utiliser une base de contacts achetee
Lire