Les coordonnées professionnelles sont-elles des données personnelles ?

Dernière mise à jour : 26 août 2026.

Les coordonnées professionnelles sont des données personnelles lorsqu’elles identifient une personne physique, même si elles figurent sur un domaine d’entreprise ou dans une liste B2B. Les informations qui concernent uniquement une personne morale suivent une autre branche. Une seule ligne peut contenir les deux, puis exiger une analyse marketing séparée.

Réponse rapide Une coordonnée professionnelle est une donnée personnelle si elle identifie une personne physique, seule ou en contexte. Le domaine d’entreprise et l’étiquette B2B ne changent pas ce test. Classez le champ, vérifiez la forme au regard du droit national, puis analysez la finalité RGPD et les règles ePrivacy du marché et du canal.

L’étiquette B2B ne qualifie pas la ligne

Le RGPD protège les informations se rapportant à une personne physique identifiée ou identifiable. Il ne s’applique pas, en tant que tel, aux données concernant les personnes morales, notamment leur forme juridique et leurs coordonnées, selon la limite exprimée au considérant 14 ¹. La question n’est donc pas de savoir si le fichier est « professionnel », mais qui chaque élément permet d’identifier.

Une ligne commerciale mélange souvent plusieurs sujets. La raison sociale, le numéro d’immatriculation et le standard peuvent décrire l’entité. Le nom du contact, son adresse nominative, son numéro direct et une note sur ses préférences décrivent une personne physique. Appliquer un seul statut à la ligne entière rend invisibles les obligations attachées aux champs nominatifs et complique inutilement les champs purement organisationnels.

La formule « les données B2B sont exemptées du RGPD » est donc fausse. Le règlement ne crée pas une exemption générale pour le contexte professionnel. La Commission européenne donne d’ailleurs comme exemple d’information personnelle une adresse électronique du type [email protected], tout en distinguant une adresse générique comme [email protected] ². Le domaine indique le cadre de travail, pas l’absence d’une personne.

L’erreur vient souvent d’un souvenir partiel des règles de prospection électronique. Certaines distinctions portent sur le canal, le marché ou la catégorie d’abonné, mais elles ne reclassent pas une donnée personnelle en donnée d’entité. Gardez deux analyses : d’abord le RGPD pour les données et leur utilisation, ensuite ePrivacy pour le message ou l’appel envisagé.

Commencer par le sujet, puis examiner le champ et son contexte

La classification se fait au niveau du champ dans son dossier réel. Demandez d’abord si le sujet est une personne physique ou une entité qui ne l’est pas. Examinez ensuite ce que le champ révèle seul, puis ce qu’il révèle lorsqu’il est rapproché des autres informations raisonnablement disponibles.

« Qualification de départ » ne signifie pas verdict irrévocable. Une boîte générique peut devenir personnelle lorsqu’un historique montre qu’une seule personne l’utilise et que les messages la nomment. Un numéro direct peut être réattribué à une équipe. Conservez le contexte et une date de vérification afin que le classement puisse évoluer avec le dossier.

Ne déduisez pas une permission de la colonne. Une adresse peut être une donnée personnelle et être utilisée licitement pour une finalité déterminée ; elle peut aussi être personnelle et ne pas devoir être utilisée pour la prospection envisagée. À l’inverse, une adresse générique hors du champ matériel du RGPD n’est pas automatiquement libre de toute règle de marketing, de confidentialité ou de concurrence.

Lorsque le résultat est incertain, marquez-le « non résolu » et limitez l’utilisation pendant la vérification. Forcer un choix binaire sans savoir quelle forme juridique ou quel routage se cache derrière le champ ne produit pas une meilleure décision ; cela supprime simplement la trace de l’incertitude.

Les coordonnées nominatives de travail identifient généralement une personne

Une adresse comme [email protected] est une donnée personnelle parce qu’elle pointe vers un individu. Le fait qu’elle soit créée par l’employeur, publiée sur un site ou utilisée uniquement au bureau n’altère pas la définition. Il en va de même d’un numéro direct, d’un identifiant de compte attribué à un salarié ou d’une note qui décrit ses décisions et interactions ^{1 2}.

La disponibilité publique n’est pas une base juridique. Elle peut influencer les attentes raisonnables dans une analyse donnée, mais elle ne supprime pas les exigences de finalité, de licéité, de transparence, de minimisation, d’exactitude, de conservation et de droits. Enregistrer toute une page de contacts « parce qu’elle est publique » reste un choix de traitement à justifier.

Une mention fournie par un vendeur, telle que « liste conforme », ne remplace pas cette analyse. Demandez la source, la date, les champs collectés, les informations données aux personnes, la route de mise à jour et les restrictions promises. L’acheteur détermine encore sa propre finalité et doit pouvoir expliquer ce qu’il fait avec la liste.

Le titre professionnel peut aussi révéler plus qu’une simple coordonnée. Associé au nom d’une petite structure, à une zone et à des notes détaillées, il peut permettre un profil individuel. L’audit doit porter sur la combinaison réellement visible par l’utilisateur, pas seulement sur chaque colonne isolée dans un dictionnaire de données.

Enfin, la qualification peut subsister après un départ. Une ancienne adresse nominative reste liée à une personne, même si elle n’est plus active. L’action adaptée peut être de corriger ou supprimer le contact, tout en conservant dans une liste d’opposition le minimum nécessaire pour ne pas recommencer une sollicitation à laquelle la personne s’est opposée.

Les boîtes génériques dépendent du dossier qui les entoure

Une adresse générique comme [email protected] représente normalement une fonction ou une organisation. Si aucun élément ne permet de relier la boîte à une personne physique, l’adresse n’est généralement pas une donnée personnelle sur sa face. La même logique peut s’appliquer à un standard ou à une adresse de service partagée.

Le contexte peut renverser cette première lecture. Une boîte « contact@ » routée durablement vers une seule personne, une signature nominative dans l’historique ou une fiche qui associe l’adresse à un décideur identifié permet de relier le dossier à une personne physique. Le champ reste orthographié de la même manière ; c’est l’information disponible autour de lui qui change.

Le contexte change aussi dans le temps. Une boîte tenue par une personne peut devenir une file d’équipe, puis revenir à un titulaire unique. Enregistrez la date et la base du classement, particulièrement lorsque la décision sert à exclure un champ du périmètre d’un droit ou d’une opération de suppression.

Même lorsque la boîte reste organisationnelle, l’utilisation n’est pas sans limite. Les règles applicables au message électronique, aux secrets d’affaires, à la loyauté commerciale et à la gestion des oppositions doivent encore être examinées. « Hors RGPD » ne signifie jamais « libre de prospecter ».

Les formes d’entreprise imposent une vérification du droit national

La forme ne peut pas être aplatie au niveau de l’Union. Le droit national décide si la structure est une personne morale distincte, une personne physique exerçant une activité ou une autre forme avec des attributs propres. La dépendance au droit national est la réponse correcte, pas une réserve à cacher derrière une règle générale.

Après avoir établi la qualité du sujet, appliquez le test européen : le champ se rapporte-t-il à une personne physique identifiée ou identifiable ? La même étiquette traduite par « partenariat » peut couvrir des constructions différentes selon l’État membre. Il faut donc documenter la forme précise et la règle nationale pertinente, puis revenir au champ.

Ne remplacez pas cette étape par un raccourci lexical. « Société », « indépendant », « association » ou « partenariat » peuvent être des traductions commerciales, non le nom juridique de la forme. Demandez le pays d’établissement, l’intitulé enregistré et, lorsque la décision est importante, une source officielle ou un avis compétent sur la qualification.

Le résultat peut être mixte même après la vérification. Une société dotée de personnalité morale possède des données d’entité, mais sa fiche contient aussi le nom du dirigeant et son adresse directe. Une personne physique exerçant une activité peut utiliser une boîte générique qui, prise isolément, n’identifie personne. Le statut du sujet guide l’analyse ; il ne dispense pas de regarder le champ.

Cette dépendance doit apparaître dans le registre. Notez le pays, la forme, la conclusion, l’élément qui la soutient et la date. Si la liste couvre plusieurs États membres, évitez une règle de transformation unique qui classerait tous les « partenariats » de la même manière.

Le statut de donnée personnelle ne donne pas l’autorisation d’utiliser

La classification répond seulement à la question du champ matériel. Pour chaque finalité, le responsable doit encore déterminer une base juridique, fournir les informations requises, limiter les données à ce qui est nécessaire, maintenir leur exactitude, fixer une conservation et permettre l’exercice des droits ¹. Une donnée personnelle n’est ni interdite par nature, ni librement utilisable.

Décrivez la finalité avec assez de précision pour distinguer la gestion d’une relation existante, la sécurité, la facturation, l’assistance et la prospection. « Développement commercial » peut masquer plusieurs opérations, destinataires et durées. Une base évaluée pour répondre à une demande entrante ne couvre pas automatiquement l’enrichissement d’un profil destiné à des campagnes futures.

La transparence doit correspondre à la source. Si les coordonnées proviennent d’un tiers ou d’une source publique, examinez les obligations applicables à la collecte indirecte et les informations à fournir. Conservez la provenance et la date ; sans elles, l’entreprise ne peut ni vérifier l’exactitude, ni répondre clairement à une personne qui demande d’où vient son adresse.

Traitez l’opposition comme un résultat opérationnel. Supprimer entièrement l’adresse peut provoquer sa réimportation lors du prochain achat de liste. Une liste d’opposition limitée peut être nécessaire pour reconnaître le contact et empêcher une nouvelle utilisation. Séparez ce minimum de suppression du fichier actif, restreignez les accès et définissez sa finalité et sa durée.

Pour être orientée vers le canal approprié en France, une organisation peut consulter la Commission nationale de l’informatique et des libertés (CNIL). Ce point de contact n’ajoute pas de règle française à cette analyse européenne et ne remplace pas la vérification du droit national lorsque la forme de l’entreprise en dépend.

La prospection électronique ajoute une deuxième couche

Une campagne ne reçoit pas un seul verdict « conforme ». Elle franchit d’abord le contrôle du RGPD pour les données à caractère personnel et leur finalité, puis un contrôle distinct pour la communication électronique. La directive 2002/58/CE traite notamment des communications non sollicitées à son article 13, mais sa mise en œuvre passe par le droit des États membres ³. Il n’existe donc pas d’exemption B2B uniforme à l’échelle de l’Union.

Ouvrez une fiche de campagne qui nomme le pays du destinataire, le canal exact et la catégorie que le droit national utilise. Une adresse nominative, une boîte générique et un standard peuvent suivre des branches différentes. Si l’un de ces trois éléments n’est pas établi, la fiche ne conclut pas « probablement autorisé » : elle place l’envoi concerné en attente et attribue la vérification.

Le dossier doit montrer la séquence des décisions. Premièrement, classez le sujet et les champs, avec la vérification nationale de la forme lorsque celle-ci décide qui est l’entité. Deuxièmement, documentez la finalité RGPD, la base, la transparence, la minimisation, la conservation et l’opposition pour les données personnelles utilisées. Troisièmement, appliquez la route nationale de prospection au marché, au canal et à la catégorie établis. Quatrièmement, traduisez le résultat en contrôle de campagne : envoyer, accomplir l’étape préalable requise ou bloquer.

Conservez la version de la règle consultée, la date, les conditions et la personne qui a validé la route. « B2B autorisé » n’est pas un enregistrement exploitable : cette formule ne dit ni quel champ, ni quel pays, ni quel canal, ni quelle catégorie ont été analysés. Une conclusion obtenue pour un courrier électronique dans un État membre ne devient pas une règle pour les appels ou pour les autres marchés.

La forme d’entreprise peut influencer la couche marketing sans la remplacer. Même si un champ décrit seulement une entité, le droit national de la communication peut encore imposer des conditions au canal. Inversement, une route d’envoi disponible ne dispense jamais des contrôles du RGPD lorsque le message utilise les données d’une personne physique. Les deux décisions restent reliées dans le dossier, mais aucune ne sert de raccourci pour l’autre.

Transformer la liste en décisions champ par champ

Un audit utile produit une action pour chaque champ et chaque finalité, pas un tampon global sur le fichier. Travaillez sur un échantillon représentatif, puis appliquez les règles vérifiées à des catégories réellement homogènes. Les dix lignes suivantes constituent le dossier minimal.

Les données non résolues suivent une route propre. Isolez-les du ciblage, attribuez la recherche manquante et fixez une échéance. Si la forme, la source ou le marché ne peut pas être établi, la bonne action peut être la suppression plutôt qu’une hypothèse permanente.

Automatisez seulement après avoir prouvé les règles sur des dossiers réels. Une règle « toute adresse générique est hors RGPD » échoue dès que l’historique nomme son utilisateur unique. Une règle « tout domaine d’entreprise est B2B autorisé » mélange deux couches et propage une erreur dans chaque campagne.

Le registre d’audit doit pouvoir expliquer un enregistrement à une personne concernée. Il doit montrer d’où vient le contact, pourquoi il est utilisé, comment la base et la route marketing ont été choisies, jusqu’à quand il reste actif et comment une opposition empêche sa réapparition.

Deux branches peuvent coexister dans un seul dossier

Imaginez une ligne contenant une raison sociale, un numéro d’immatriculation, une adresse [email protected], une boîte [email protected] et une note issue d’une demande d’assistance. La première branche concerne l’entité : vérifiez sa forme selon le droit national, puis classez les champs qui décrivent uniquement cette entité. La seconde concerne le contact nommé : son adresse et les notes qui le décrivent sont des données personnelles.

Pour la finalité de service, la demande d’assistance peut justifier l’utilisation des coordonnées nécessaires à la réponse, sous réserve de la base, de l’information, de la sécurité et de la conservation applicables. La boîte générique peut servir de route organisationnelle, mais son historique doit être examiné avant de conclure qu’aucune personne n’est identifiable.

Pour une finalité de prospection, repartez de zéro. Ne réutilisez pas automatiquement la base ou les attentes liées à l’assistance. Déterminez la finalité, les champs nécessaires, la base, l’information et l’opposition, puis ouvrez le contrôle ePrivacy pour le marché, le canal et la catégorie. Une réponse correcte à la demande de service ne constitue pas une permission générale de campagne.

Si la forme juridique reste inconnue, maintenez cette branche en attente sans effacer les constats certains. L’adresse nominative reste liée à une personne physique ; la raison sociale ne doit pas être classée définitivement avant la vérification nationale. Une incertitude locale ne doit ni contaminer toute la ligne, ni être cachée par une étiquette globale.

La décision finale peut donc être multiple : conserver certaines données pour le service, supprimer une note devenue inutile, corriger un contact parti, placer une adresse en opposition et suspendre la prospection dans un marché non vérifié. Cette granularité est le résultat attendu, pas un défaut du système.

La branche britannique de marketing ne se transpose pas

Le classement commun peut être réutilisé lorsque les mêmes faits permettent d’identifier une personne physique. Cette conclusion répond seulement à la question des données personnelles : elle ne décide pas si un message de prospection peut être envoyé. La décision marketing constitue une branche séparée, à ouvrir après le classement du contact et pour chaque campagne.

Au Royaume-Uni, les PECR emploient leurs propres catégories d’abonnés. Dans l’Union, il faut au contraire vérifier la mise en œuvre de la directive ePrivacy dans l’État membre pertinent. Pour chaque route, consignez donc séparément le marché visé, le canal utilisé, la catégorie reconnue par le droit applicable et la preuve qui soutient la décision. Un résultat établi pour un courriel dans un pays ne tranche ni un appel, ni un autre marché, ni une autre catégorie de destinataire.

La comparaison sert ainsi à conserver le constat commun sur la personne physique tout en isolant les contrôles de prospection. Aucune permission, exception ou présomption britannique n’est importée dans la branche de l’Union : si la règle nationale, la catégorie ou la preuve manque, suspendez l’envoi concerné et documentez la vérification à accomplir.

Questions fréquentes à conserver dans le dossier

Une adresse professionnelle nominative est-elle personnelle ? Oui : lorsqu’une adresse comme [email protected] identifie une personne physique, elle constitue une donnée personnelle. Le domaine professionnel, la publication sur un site ou la présence dans une base commerciale ne changent pas le test ; il faut encore justifier la finalité, la base et la transparence, puis vérifier séparément les conditions de toute prospection électronique.

Une boîte générique est-elle toujours hors du RGPD ? Non : une adresse info@ représente généralement une organisation lorsqu’aucune personne n’est identifiable, mais le routage, la signature, l’historique ou la combinaison avec d’autres champs peuvent révéler un titulaire unique. Conservez donc le contexte et la date du classement ; même hors RGPD, le message peut rester soumis aux règles applicables au canal et au marché.

Les informations d’une société dotée de personnalité morale sont-elles personnelles ? Les informations qui concernent uniquement la personne morale ne sont pas des données personnelles pour cette seule raison ; la même fiche peut toutefois contenir le nom, l’adresse directe, le comportement ou les préférences d’un contact humain. Séparez ces champs et ne donnez pas à toute la ligne le statut de l’entité.

Comment qualifier un partenariat ? Commencez par le droit national, car le mot traduit par « partenariat » ne décide pas uniformément de la personnalité ni de la relation avec les membres. Documentez le pays, la forme exacte et la conclusion nationale, puis demandez si chaque champ identifie une personne physique ; une dépendance au droit national est ici la réponse précise, non une hésitation.

Une personne physique qui exerce une activité reste-t-elle protégée ? Oui, si la forme nationale et les informations montrent qu’une personne physique identifiable est le sujet : le cadre commercial ne fait pas disparaître la personne. Classez néanmoins les champs séparément, car une boîte réellement générique peut décrire une fonction, tandis que le nom, le numéro direct et les notes restent nominatifs.

La mention B2B suffit-elle pour envoyer une campagne ? Non : elle ne crée aucune exemption générale du RGPD et ne répond pas au contrôle ePrivacy. Établissez d’abord la classification, la finalité, la base, la transparence, la minimisation, la conservation et l’opposition ; vérifiez ensuite le marché, le canal, la catégorie reconnue par le droit national et les conditions d’envoi applicables à cette campagne.

Quel dossier faut-il garder après l’audit ? Conservez la source et la date, le champ et son contexte, la qualification du sujet, la finalité et la base, la transparence, l’exactitude, la conservation, les droits, la route marketing et l’action finale ; ajoutez les preuves, le propriétaire et les déclencheurs de revue. Ce dossier doit expliquer une ligne sans dépendre de la mémoire de l’analyste.

Pourquoi ne pas fusionner la réponse britannique avec celle de l’Union ? Parce que la branche de prospection suit un cadre distinct : une fusion inviterait le lecteur à appliquer dans un marché une permission, une catégorie ou une procédure conçue pour l’autre. La page de l’Union conserve donc son test commun sur la personne physique et route toute utilisation britannique vers une analyse dédiée, sans importer de règle opérationnelle.