Scraping et prospection B2B : est-ce légal en 2026 ?

Tu as un outil de scraping ouvert dans un onglet et une petite voix qui te souffle que tu vas peut-être faire une bêtise. C'est pour ça que tu tapes cette question dans Google, pas pour un cours de droit. Alors la réponse tout de suite : oui, c'est légal. Non, pas n'importe comment.

Je préviens tout de suite : je ne suis pas juriste. Ce que tu vas lire, c'est ce que fait un commercial qui n'a pas envie d'ennuis. 📞

Le scraping est-il légal ? La réponse en 30 secondes

Aucun texte français n'interdit de lire des pages web et d'en extraire des informations. Le scraping, c'est un moyen technique. Un copier-coller très rapide. Point.

Ce qui bascule dans l'illégal, ce n'est jamais le script. C'est quatre choses :

• Ce que tu collectes. Le nom, la fonction et la ligne directe d'un salarié restent des données personnelles, même en B2B.
• Où tu le collectes. Derrière un login, un paywall, ou en violation des conditions d'utilisation du site.
• Ce que tu en fais ensuite. Base légale, information des personnes, droit d'opposition, durée de conservation.
• Combien tu en prends d'un coup. Aspirer une part substantielle d'une base de données est protégé en tant que tel.

Retiens la formule, elle te fera trancher 90 % des cas : la légalité ne se joue pas sur l'outil, elle se joue sur l'usage.

Ce qui rend un scraping illégal (les 4 murs)

Mur 1 : le RGPD. En B2B, ta base légale, c'est l'intérêt légitime. Elle tient debout à une condition : que ton offre ait un rapport avec le métier de la personne.

• ❌ Tu scrapes 4 000 dirigeants « toutes activités » et tu leur proposes ton SaaS RH. Le lien avec leur fonction, tu es incapable de l'expliquer : ton intérêt légitime ne tient pas.
• ✅ Tu extrais les DAF des ESN de 50 à 200 salariés pour un logiciel de facturation. Là, tu écris noir sur blanc pourquoi cette personne précise est concernée. C'est ça, la preuve qu'on te demandera.

« Noir sur blanc », ça veut dire une phrase, écrite une fois, posée en haut de ton fichier. Le gabarit à compléter :

« Je collecte les [fonction] dans [secteur + taille de boîte] parce que mon offre, [ce que tu vends], traite [le problème que cette fonction a dans son job]. Sources : [site 1, site 2]. Collecte du [date]. »

Rempli, ça donne : « Je collecte les DAF d'ESN de 50 à 200 salariés parce que mon logiciel de facturation traite les relances clients, qui sont dans leurs mains. Sources : Pappers + sites des entreprises. Collecte du 8 septembre 2026. » Cinq minutes de travail, et le jour où on te demande ta base légale, tu la copies-colles au lieu de bafouiller.

Mur 2 : les CGU. LinkedIn, Pages Jaunes et la plupart des plateformes interdisent l'extraction automatisée. Ici ce n'est pas la CNIL qui te tombe dessus, c'est la plateforme : compte suspendu du jour au lendemain, avec tout ton historique dedans. J'ai vu un SDR perdre le sien un vendredi soir pour un export de trop. Trois ans de conversations et de relances partis avec, et personne à qui écrire pour les récupérer.

La vérif prend trente secondes par source : tu ouvres la page « Conditions générales d'utilisation » (elle est toujours en bas de page), Ctrl+F, et tu tapes ces cinq mots l'un après l'autre : extraction, automatisé, robot, aspiration, scraping. S'il y a un « interdit » collé à l'un d'eux, tu sais où tu mets les pieds. Note la date de la vérif à côté de la source dans ton fichier : les CGU bougent, et tu veux pouvoir dire quand tu as regardé.

Mur 3 : le login et le paywall. Franchir une authentification pour aspirer, c'est le seul endroit où on parle vraiment de pénal (collecte frauduleuse : jusqu'à 5 ans et 300 000 €). Un profil public et un export Sales Navigator, ce n'est pas le même geste.

Mur 4 : le droit des bases de données. La Cour de cassation a condamné Entreparticuliers.com le 5 octobre 2022 pour avoir extrait massivement les annonces de Leboncoin. Tout était public. Ça n'a rien changé au jugement.

Source par source : ce qui passe, ce qui casse

C'est la vraie question que tu te poses. Pas « le scraping est-il légal », mais « est-ce que j'ai le droit de scraper CE site ».

Source	Statut	Pourquoi
SIRENE, Pappers, annuaire-entreprises	✅ Vert	Registres ouverts, réutilisation prévue par la loi
Site web de l'entreprise (contact, mentions légales)	✅ Vert	Publié précisément pour être contacté
Pages Jaunes, fiches pro	🟠 Gris	B2B OK sur intérêt légitime, mais CGU et base protégée. Jamais les Pages Blanches
Google Maps	🟠 Gris	Fiches pro, mais c'est souvent le 06 perso du patron d'une TPE
LinkedIn, profils publics	🟠 Gris	Risque contractuel avant tout : ton compte
Sales Navigator	🔴 Rouge	Derrière un login payant. Extraction caractérisée
Coordonnées que la personne a masquées	🔴 Rouge	Le cœur exact de la sanction Kaspr
Annuaires de particuliers, listes d'adhérents	🔴 Rouge	Ce n'est tout simplement plus du B2B

Une seule ligne du tableau demande un test, la ligne rouge « coordonnées masquées », parce qu'elle ne se voit pas dans ton export. Le test tient en un geste : tu prends dix lignes au hasard de ton fichier, tu ouvres le profil public de la personne en navigation privée (donc déconnecté, comme n'importe qui), et tu cherches le numéro que tu as. Introuvable sur les dix ? Ce n'est pas une donnée publique que tu as ramassée, c'est une donnée que quelqu'un a décidé de ne pas afficher. Tu le sais maintenant, et c'est justement ce que la CNIL a sanctionné.

Si ta question est plutôt où trouver tes contacts, tout est là : où trouver des numéros B2B légalement. Ici, on parle du droit de les prendre.

Le piège n°1 : tu ne scrapes pas, ton outil scrape pour toi

Un DAF m'a coupé au bout de dix secondes, très calmement : « vous avez eu mon portable où, exactement ? ». J'ai sorti un « euh... sources publiques » assez peu convaincant. Il a enchaîné : « c'est-à-dire ? ». Et là, silence radio de mon côté. Je n'en savais rien. Le numéro venait d'un enrichisseur, l'enrichisseur ne me disait pas d'où il le tenait, et j'appelais avec ça dans les mains. Il a raccroché. Il avait raison.

Le 5 décembre 2024, la CNIL a sanctionné Kaspr à hauteur de 240 000 €. Pas un pirate dans un garage : une extension Chrome installée chez des milliers de SDR français, avec une base d'environ 160 millions de contacts. Ce qui a été reproché ? La collecte de coordonnées d'utilisateurs LinkedIn qui avaient justement restreint la visibilité de leur profil, une conservation de 5 ans qui repartait à zéro à chaque mise à jour, une information absente jusqu'en 2022 puis disponible seulement en anglais, et cette fameuse réponse « sources publiques » servie à ceux qui demandaient d'où venaient leurs données. (Mise en conformité constatée depuis, au 18 juin 2025. Pour l'outil tel qu'il est aujourd'hui : notre avis sur Kaspr.)

Ce qu'il faut en retenir tient en une phrase : tu ne scrapes peut-être pas, mais ton outil scrape pour toi, et sur le fichier que tu appelles, le responsable de traitement c'est toi. L'achat d'un fichier tout fait ne t'abrite pas davantage : même schéma, avec un contrat par-dessus.

Le mail à envoyer à ton fournisseur de data, aujourd'hui. Objet : « Origine des données de nos exports ». Corps, tel quel :

« Bonjour, avant de repartir sur un export, j'ai trois questions à vous poser en tant que responsable de traitement du fichier que j'exploite :

1. D'où vient chaque donnée, ligne par ligne ? Pas la liste de vos catégories de sources, la source de la ligne.
2. Comment les personnes ont-elles été informées de votre collecte, à quel moment, et dans quelle langue ?
3. Quand quelqu'un exerce son droit d'opposition chez vous, est-ce que ça redescend jusqu'aux exports déjà livrés ? Sous quel délai ? Merci d'avance. »

Le tri se fait sur la réponse 1 : si on te répond « sources publiques » sans autre précision, tu viens d'obtenir le même argument que le DAF qui m'a raccroché au nez. C'est un motif de changer de fournisseur, pas un détail juridique.

Ce que la CNIL a validé en juin 2025

Il y a une bonne nouvelle là-dedans, et elle est passée sous les radars. Le 19 juin 2025, la CNIL a publié ses recommandations sur la collecte par web scraping : elle y admet explicitement l'intérêt légitime sur des données publiquement accessibles, sous garanties. Les voilà en langage commercial :

1. Minimisation. Tu prends le nom, la fonction, la boîte, la ligne. Pas la photo, pas les posts, pas la vie perso.
2. Respect des mécanismes d'opposition techniques. Le robots.txt du site, tu le lis avant. Pas après. En pratique : tu colles pagesjaunes.fr/robots.txt dans la barre d'adresse (ça marche sur n'importe quel domaine, il suffit d'ajouter /robots.txt derrière), tu cherches les lignes Disallow: et tu regardes si le chemin que tu comptes aspirer y figure. Un Disallow: / tout seul veut dire « rien, nulle part ». Capture d'écran dans le dossier, et tu es couvert sur ce point.
3. Information des personnes. Article 14, au plus tard au premier contact. Les deux phrases prêtes à l'emploi sont plus bas.
4. Zéro donnée sensible. Santé, opinions, origine, syndicat : jamais, sous aucun prétexte. Traduction pour ton fichier : tu supprimes la colonne avant l'import, tu ne te contentes pas de ne pas la regarder.
5. Une durée écrite. Pas de réponse, pas d'intérêt ? Purge à 3 ans après le dernier contact. Ça tient dans une colonne dernier_contact : tu tries dessus une fois par trimestre et tu supprimes ce qui dépasse.

Un chiffre pour finir : le scraping et l'IA figurent dans les priorités de contrôle CNIL pour 2026, après 83 sanctions en 2025 et plus de 50 millions d'euros au seul premier trimestre 2026.

Scraper des numéros pour appeler : ce n'est pas le régime de l'email

Tout ce que tu lis ailleurs sur le scraping parle d'email et de LinkedIn. Or appeler n'obéit pas aux mêmes règles qu'écrire, et personne ne le dit.

Un appel n'est pas de la prospection directe par voie électronique au sens de l'article L34-5 du CPCE. Traduction : tout le débat opt-in / opt-out du cold email ne s'applique pas à ton dialer. En B2B, tu restes sur intérêt légitime, information dès le début de l'appel, opposition traitée immédiatement. Le cadre complet est dans prospection téléphonique et RGPD.

La phrase à avoir en bouche si on te pose la question :

« J'ai trouvé votre ligne sur [source précise]. Si vous préférez que je ne rappelle pas, je vous sors de ma liste tout de suite, c'est fait en dix secondes. »

Elle coche l'information ET l'opposition d'un coup. Et franchement, elle détend l'appel plus qu'elle ne le casse : la personne voit qu'elle n'a pas affaire à un robot.

Deux détails qui changent tout dans cette phrase. « [source précise] » veut dire « votre fiche Pages Jaunes » ou « le site de votre cabinet », jamais « une base publique » : c'est exactement le flou qui a été sanctionné chez Kaspr. Et « je vous sors de ma liste » n'est pas une formule de politesse, tu le fais pendant l'appel, pas après.

• ❌ « Vos coordonnées sont publiques, elles sont accessibles à tout le monde. » Tu réponds à côté (la question, c'est où), tu passes pour quelqu'un qui a quelque chose à cacher, et tu offres à ton interlocuteur le seul motif de plainte facile à écrire.
• ✅ « Sur votre fiche Google de l'agence, le numéro affiché en haut à droite. Je le retire tout de suite si vous préférez. » Ça se vérifie en trois secondes, donc ça clôt le sujet.

Et la version écrite, celle que tu colles en bas de ton mail ou de ton message LinkedIn, une fois pour toutes :

« Je vous écris à votre adresse professionnelle, trouvée sur [source précise]. Je vous contacte parce que [lien entre l'offre et sa fonction, en une ligne]. Un mot en réponse et je vous retire de mon fichier, sans suite. »

La zone rouge est ailleurs : les indépendants, les EI et les TPE. Une entreprise individuelle est assimilée à une personne physique, et son 06 sert à ses deux vies. Depuis la loi du 11 août 2026, le démarchage des particuliers est passé en opt-in (le détail est ici, et le cas Bloctel côté pro est dans Bloctel et B2B). Un fichier Google Maps de coiffeurs et de plombiers, c'est exactement ce terrain-là. Le tri se fait en deux colonnes, avant d'appeler :

1. L'indicatif. Un 01 à 05 ou un 09, c'est une ligne rattachée à un local pro : tu appelles. Un 06 ou un 07 sur une fiche d'entreprise individuelle, tu le passes au filtre du point 2.
2. Qui l'a publié. Si c'est la personne elle-même qui a affiché ce 06 sur sa fiche Google, son site ou sa carte de visite, elle t'a donné le canal pour la joindre en tant que pro. Si le numéro vient d'un enrichisseur et que tu ne le retrouves nulle part sur ses pages publiques, tu le sors du fichier. Tu ne sauras jamais le défendre.

Et sur un 06 de patron de TPE, la première phrase change : « je vous appelle sur votre numéro pro, celui de votre fiche Google, dites-moi si c'est le mauvais et je note ». Tu poses le cadre avant qu'il te le demande.

Le vrai problème du scraping n'est pas juridique, il est commercial

Mon avis, et je l'assume : même si le scraping de masse était 100 % blanc juridiquement, je n'y toucherais pas. Parce qu'il fabrique un mauvais fichier.

Regarde bien la colonne de gauche. Le risque juridique et le risque commercial ont exactement la même cause : l'absence de lien entre ton offre et la fonction de la personne. Conformité et performance, c'est le même critère. Ça commence par définir ton client idéal, pas par ouvrir un scraper.

Et je dis d'où je parle : chez Paradial on vend un dialer, pas de la data. Aucun intérêt à te vendre du scraping ni à te l'interdire. Ce que je défends, c'est ma conviction sur le phoning : le volume sert à FILTRER des gens déjà ciblés, pas à fabriquer de la cible. Le téléphone, c'est de la pré-qualification humaine et rapide. Un aspirateur ne te donne pas des prospects, il te donne du tri à faire, payé en heures d'appels dans le vide.

La méthode propre est ici : constituer un fichier de prospection téléphonique. Et si le tien est déjà lourd et douteux, nettoie-le avant de composer le premier numéro.

◆ Guide completProspection téléphonique : le guide complet de A à Z ›

Ta checklist avant de lancer le moindre script

Garde ces sept lignes sous le coude, elles valent tous les articles juridiques du monde :

1. Base légale écrite. Le gabarit du début, rempli, en haut de ton fichier. Une phrase, pas une page.
2. Périmètre pro uniquement. Pas de 06 de particulier, pas de donnée sensible, pas de vie privée. Les colonnes hors sujet, tu les supprimes à l'import.
3. Source notée ligne par ligne. Une colonne source dans ton fichier, remplie comme ça : pagesjaunes.fr / fiche Dupont Plomberie / 08-09-2026. Le site, la page exacte, la date. Non négociable.
4. Mention d'information prête. Celle que tu dis au téléphone, celle que tu colles dans tes mails. Les deux sont plus haut, copie-les dans ton script et dans ta signature.
5. Canal d'opposition qui marche. Un fichier ne-plus-appeler.csv (numéro, nom, date, canal). Avant chaque import, un RECHERCHEV du numéro dessus, et tu supprimes ce qui matche. Deux minutes, et ça t'évite le rappel qui transforme un agacé en plaignant.
6. Purge à 3 ans après le dernier contact. Colonne dernier_contact, tri une fois par trimestre.
7. CGU vérifiées pour chaque source que tu touches : les cinq mots en Ctrl+F, et la date de la vérif notée.

Bref : le scraping n'est pas interdit, il est encadré, et la frontière est plus lisible qu'on ne le raconte. Prends du pro, dis d'où ça vient, accepte qu'on te dise non, et n'aspire pas ce qui est derrière une porte fermée. Le reste des sujets stratégiques est rangé dans la catégorie stratégie de prospection téléphonique. 😉