Collecter des leads en salon dans le respect du RGPD

Collecter des leads en salon dans le respect du RGPD n’est pas une tâche à reporter. Une donnée personnelle traverse votre stand toutes les deux minutes, et le DPO et le directeur commercial parlent rarement la même langue. Voici la version opérationnelle : ce dont vous avez vraiment besoin, et ce qui relève du théâtre.

En bref :

• La base légale la plus utilisée pour un lead B2B collecté sur le stand est l’intérêt légitime (art. 6.1.f RGPD), pas le consentement. Le consentement explicite vaut pour la newsletter / le marketing de masse.
• La mention d’information (art. 13) doit être accessible sur le stand : un QR code renvoyant à une page suffit. Pas de formulaires papier signés par chaque contact.
• La conservation suit le principe de limitation (art. 5.1.e) : fixez une durée proportionnée (souvent 12-24 mois en B2B), écrivez-la, respectez-la.
• L’enrichissement depuis des sources publiques est compatible s’il sert la même finalité déclarée et que vous informez la personne.
• Conservez les données dans votre CRM, pas dans l’appli du salon : un responsable, une durée, un export propre.

La mauvaise question : « faut-il un consentement ? »

La première chose que demandent ceux qui n’ont jamais tenu un stand : « on leur fait signer un consentement ? ». La réponse est presque toujours non. Si un visiteur vous remet sa carte ou laisse scanner son badge pour être recontacté sur une offre B2B, il existe une attente raisonnable de contact commercial. La base légale correcte est souvent l’intérêt légitime (art. 6.1.f RGPD).

Le consentement explicite vise des cas précis : inscription à la newsletter, marketing automatisé de masse, profilage poussé. Confondre les deux mène à deux erreurs opposées : demander un consentement inutile (et perdre des leads par friction), ou faire de l’e-mailing sans consentement quand il faudrait l’avoir.

La règle pratique : pour la relance commerciale 1:1 après le salon, intérêt légitime. Pour intégrer le contact dans des flux de marketing automatisé, envisagez le consentement. Documentez le choix par un test de mise en balance minimal.

La mention d’information sur le stand, sans théâtre

L’art. 13 RGPD exige que la personne sache, au moment de la collecte : qui est le responsable, pourquoi vous traitez la donnée, sur quelle base, combien de temps vous la gardez, comment exercer ses droits.

En pratique, cela se règle avec :

• un QR code sur le stand renvoyant à une page d’information, ou
• une ligne dans votre formulaire de qualification numérique avec un lien vers la mention complète.

Pas besoin de faire signer un formulaire papier à chaque contact : cela ralentit la conversation et produit du papier que personne ne classe. Ce qu’il faut, c’est la preuve que l’information était disponible au moment de la collecte. Si vous utilisez un système numérique de capture de leads en salon, l’horodatage du scan est déjà votre preuve.

Conservation : le chiffre que vous devez décider

Le RGPD ne dit pas « 24 mois ». Il dit principe de limitation de la conservation (art. 5.1.e) : gardez la donnée le temps nécessaire à la finalité. La finalité, c’est vous qui la définissez.

D’après notre expérience, beaucoup d’entreprises B2B adoptent :

• leads convertis en clients → conservation liée à la relation contractuelle ;
• leads qualifiés non convertis → 12-24 mois, puis revue, suppression ou anonymisation ;
• contacts froids collectés en volume → fenêtre plus courte.

Ce qui compte lors d’un audit, ce n’est pas le chiffre, c’est la cohérence : l’avoir écrit dans la mention et l’avoir respecté dans le CRM. Un contact « oublié » dans un Excel sur le bureau d’un commercial est le vrai risque, pas la durée de conservation.

Enrichissement automatique et RGPD

L’enrichissement depuis des sources publiques n’est une zone grise que si vous le traitez à la légère. Si vous enrichissez pour la même finalité déjà déclarée (qualifier un contact commercial B2B) et depuis des sources publiques, c’est compatible. Reste l’obligation d’informer la personne que vous intégrez des données de sources publiques.

Ici, l’endroit où tourne le système compte. Linkly enrichit depuis plus de 30 sources de données publiques et fonctionne sur une infrastructure UE conforme au RGPD : la donnée ne quitte pas l’Union. C’est le détail que le DPO vérifie en premier.

Le vrai risque : la fragmentation

La non-conformité en salon vient rarement d’une base légale erronée. Elle vient de la fragmentation : badges photographiés sur le téléphone personnel, cartes dans les poches, appli du salon, un Google Sheet « qu’on règle lundi ». Plus il y a d’endroits où vit la donnée personnelle, moins vous contrôlez la conservation, l’accès et la suppression.

La propreté opérationnelle est aussi une propreté RGPD : chaque contact atterrit directement dans le CRM de l’entreprise, avec tag événement, base légale et durée de conservation cohérents. Un responsable, un système, un export. C’est exactement là que conformité et productivité commerciale coïncident.

Quand le bricolage suffit

Si vous faites un salon par an avec dix contacts, une mention via QR et un fichier supprimé après 18 mois peuvent suffire, gérés avec discipline. Le problème se complique quand les contacts se comptent en centaines, que les personnes changent et que les événements se multiplient : là, il faut un processus, pas la bonne volonté d’un seul commercial.

L’étape suivante

Pour voir comment tenir ensemble conformité et rapidité de relance, réservez une démo : nous vous montrons le flux badge → CRM avec base légale, tags et conservation cohérents, sur infrastructure UE.