Apollo et le RGPD / AI Act : enrichissement de données et prospection

Présentation et données traitées

Apollo est une plateforme américaine de prospection B2B : base de plusieurs centaines de millions de contacts professionnels, enrichissement (e-mails, téléphones, données firmographiques), séquences d'e-mails et fonctions d'IA rédactionnelles.

Apollo fournit et enrichit des données personnelles professionnelles (nom, fonction, e-mail, téléphone, employeur) collectées auprès de sources tierces. Utiliser ces données, c'est traiter des données personnelles obtenues indirectement, ce qui déclenche des obligations spécifiques (information, base légale, origine). Éditeur américain : transferts hors UE à encadrer.

Les risques pour votre entreprise

C'est le cas d'usage le plus à risque : réutiliser une base de contacts tierce sans informer les personnes, sans base légale claire et sans respecter les règles de prospection expose directement à une non-conformité. La CNIL surveille de près la prospection à partir de données collectées par scraping ou revente.

Principaux risques RGPD :

• Information indirecte (article 14) : informer les personnes de l'origine et de l'usage de leurs données.
• Base légale de la prospection : intérêt légitime (B2B) à documenter ; consentement (B2C).
• Prospection : opt-in téléphonique B2C au 11 août 2026 ; consentement e-mail.
• Origine des données (scraping/revente) et fiabilité ; transfert hors UE (CLOUD Act) ; droit d'opposition.

Les obligations RGPD

1. Informer les personnes prospectées (article 14) dès le premier contact.
2. Documenter la base légale (intérêt légitime B2B avec test de mise en balance) et respecter le droit d'opposition.
3. Respecter les règles de prospection par canal (opt-in téléphone B2C, consentement e-mail).
4. Signer le DPA Apollo ; encadrer les transferts (SCC) ; inscrire au registre.
5. Réaliser une AIPD (prospection à grande échelle à partir de données tierces) ; impliquer le DPO.

Les obligations AI Act

Les modèles mobilisés sont, pour l'essentiel, des GPAI : obligations fournisseurs depuis le 2 août 2025. Côté déployeur : transparence (article 50 — signaler les e-mails générés par IA), supervision humaine, littératie IA. Voir le guide AI Act.

Risques AI Act : e-mails générés non signalés comme issus de l'IA ; séquences automatisées non supervisées ; absence de gouvernance de la prospection IA.

Cybersécurité et bonnes pratiques

Risques cyber : manipulation de gros volumes de données personnelles ; transfert hors UE ; réputation (prospection non conforme = plaintes CNIL) ; NIS 2 selon la taille.

Bonnes pratiques : systématiser l'information article 14 dès le premier e-mail, faciliter l'opposition ; documenter l'intérêt légitime (B2B), ne pas prospecter des particuliers sans consentement ; encadrer les transferts (SCC), superviser les séquences ; charte IA, registre, formation, AIPD.

Checklist :

• Information article 14 intégrée aux séquences, base légale (intérêt légitime B2B) documentée, droit d'opposition simple et effectif
• Consentement téléphone/e-mail selon le canal, DPA Apollo + transferts encadrés (SCC)
• AIPD réalisée, usage au registre, séquences supervisées, équipes formées

Sanctions, conclusion et recommandations

Sanctions cumulables : RGPD (jusqu'à 20 M€ ou 4 %) ; AI Act (35 M€/7 % ou 15 M€/3 %) ; démarchage téléphonique B2C sans consentement au 11 août 2026 : jusqu'à 375 000 € (personne morale) et nullité du contrat. La prospection à partir de données tierces sans information ni base légale est l'un des manquements les plus fréquemment sanctionnés par la CNIL en matière commerciale.

Recommandation : Apollo est redoutablement efficace mais concentre les risques RGPD de la prospection. Industrialisez l'information article 14 et le droit d'opposition, documentez l'intérêt légitime, respectez strictement l'opt-in téléphonique à venir, et réalisez une AIPD. Voir l'article IA, marketing et prospection et le comparatif des outils d'IA.