Le Delete Act californien encadre la prospection B2B

Les équipes commerciales B2B supposent souvent que les données d'entreprise évoluent dans un sanctuaire réglementaire. Pendant des années, les responsables des revenus ont considéré les numéros de téléphone professionnels, les adresses e-mail professionnelles et les intitulés de poste comme fondamentalement distincts des dossiers des consommateurs.

Cette hypothèse opérationnelle n'est désormais plus sûre.

Le 1er septembre 2026, la California Privacy Protection Agency (CalPrivacy) a annoncé une mesure d'application à l'encontre du fournisseur de données basé en Virginie, SalesIntel Research, Inc., comme le documente l'annonce de CalPrivacy sur l'action contre SalesIntel. L'agence a infligé à SalesIntel une pénalité de 36 400 dollars pour ne pas s'être enregistré avant la date limite de 2025 en vertu du Delete Act de Californie.

La pénalité elle-même n'a pas été déclenchée par l'acte de vendre des coordonnées d'entreprises. Elle a plutôt établi que la vente de profils professionnels, de lignes téléphoniques d'entreprise et de signaux de mobilité professionnelle confère à une organisation le statut de courtier de données (data broker) au regard de la législation californienne. Pour les directeurs commerciaux, les équipes d'opérations de revenus (RevOps) et les responsables de la conformité, cette distinction modifie les vérifications préalables requises lors de l'achat, du stockage et de l'orchestration de listes de prospection tierces.

Décryptage de l'action répressive contre SalesIntel

L'action réglementaire contre SalesIntel met en lumière la façon dont les régulateurs étatiques définissent un courtier de données commerciales moderne. Selon l'annonce de CalPrivacy sur l'action contre SalesIntel, SalesIntel commercialisait l'accès à plus de 200 millions de contacts professionnels et 54 millions de numéros de téléphone portable, parallèlement à des fonctionnalités conçues pour désanonymiser le trafic des sites web afin de faire remonter des lignes directes et des e-mails professionnels vérifiés.

CalPrivacy n'a pas jugé que la prospection commerciale était illégale. L'application de la loi s'est plutôt concentrée sur le respect des exigences de transparence imposées par l'État. Comme le détaille l'ordonnance convenue concernant SalesIntel officielle, l'affaire portait sur la conduite de SalesIntel en 2024 et sur son défaut d'enregistrement auprès du registre de l'État avant la date limite légale de 2025. L'ordonnance a relevé que le fournisseur s'était enregistré dans les délais en 2026 pour son activité de 2025.

Au-delà de l'amende de 36 400 dollars, l'accord exigeait de SalesIntel :

• De publier sur son site web des indicateurs annuels relatifs aux droits des consommateurs.
• De s'intégrer directement au système centralisé de suppression de l'État.
• De traiter et d'honorer toutes les demandes de suppression futures acheminées par ce système.

Cette mesure fait suite à d'autres pénalités notables liées au registre. Comme l'indique l'analyse juridique de Clark Hill sur le Delete Act et DROP, CalPrivacy a prononcé une amende de 42 000 dollars contre Datamasters et une amende de 62 000 dollars contre S&P Global, Inc. pour des retards d'enregistrement. Dans le dossier S&P Global, l'agence a sanctionné un oubli administratif qui avait laissé l'entité non enregistrée pendant 313 jours, démontrant ainsi que l'absence d'intention malveillante ne protège pas les organisations des sanctions prévues par la loi.

Le Delete Act et les mécanismes de DROP

Pour évaluer l'exposition aux risques liés aux fournisseurs, les équipes commerciales doivent comprendre le fondement législatif : le California Senate Bill 362 (SB 362), connu sous le nom de Delete Act.

Conformément à la section 1798.99.80(c) du California Civil Code, telle que consignée dans le code législatif de Californie pour les définitions des courtiers de données, un courtier de données est défini comme toute entreprise qui collecte sciemment et vend à des tiers les informations personnelles d'un consommateur avec lequel l'entreprise n'entretient pas de relation directe.

Point crucial, la loi californienne définit un « consommateur » à la section 1798.140(i) du California Civil Code simplement comme une personne physique résidant en Californie, comme le cite le code législatif de Californie pour les définitions du consommateur. Le texte de loi ne prévoit aucune exclusion générale pour les personnes agissant dans un cadre professionnel ou B2B. Bien que la Californie ait autrefois maintenu une exemption temporaire pour les communications interentreprises en vertu de la section 1798.145(n) du Civil Code, le texte de la loi confirme que cette subdivision est devenue caduque le 1er janvier 2023, comme le vérifie le code législatif de Californie pour les exemptions du CCPA.

[ Résident californien ]
         │
         ▼
[ Soumet une demande universelle de suppression via DROP ]
         │
         ▼
[ Architecture DROP centralisée de CalPrivacy ]
         │ (Récupération obligatoire tous les 45 jours)
         ▼
[ Écosystème des courtiers de données enregistrés ]
         │
         ├── Traiter la suppression sous 45 jours
         ├── Cesser de vendre ou de partager les dossiers des consommateurs
         └── Maintenir une liste de suppression interne permanente

La pièce maîtresse opérationnelle de ce dispositif est la Delete Request and Opt-out Platform (DROP). En vertu de la section 1798.99.86 du California Civil Code, entrée en vigueur le 1er août 2026, comme le documente le code législatif de Californie pour le mécanisme de suppression, les courtiers de données enregistrés doivent accéder à DROP au moins une fois tous les 45 jours. Dès qu'un courtier reçoit une demande, il doit procéder à la suppression dans un délai de 45 jours et cesser de manière permanente de vendre ou de partager les informations personnelles nouvellement collectées concernant ce consommateur.

Selon les directives de conformité publiées par DataGrail sur le Delete Act, le fait de ne pas traiter les demandes de suppression issues de DROP entraîne des sanctions légales de 200 dollars par demande et par jour. Ce risque de sanction s'applique indépendamment des amendes initiales liées à l'enregistrement.

Les critères d'application encadrant ces dépôts sont stricts. Le 3 septembre 2026, CalPrivacy a publié l'avis d'application n° 2026-01. L'avis a explicitement précisé que le Delete Act ne fait aucune distinction entre les erreurs matérielles involontaires et les fausses déclarations délibérées. Une inscription inexacte dans le registre entraîne une amende de 200 dollars pour chaque jour où l'information incorrecte demeure inscrite au registre.

Responsabilité en cascade : auditer les données de prospection tierces

Lorsqu'un organisme de réglementation étatique sanctionne un fournisseur de données, les acheteurs s'interrogent souvent : Le fait d'acheter une liste de prospects auprès d'un courtier non conforme expose-t-il ma propre entreprise à des amendes ?

Les avis d'application actuels ciblent les entités qui collectent et vendent des données sans entretenir de relations directes avec les consommateurs, plutôt que les simples acheteurs. Néanmoins, les acheteurs en aval subissent de réelles répercussions opérationnelles et réputationnelles.

Lorsqu'un fournisseur de données met à jour ses systèmes pour se conformer aux exigences de DROP, il doit purger les résidents californiens enregistrés de ses bases de données principales. Si votre équipe importe des exports CSV statiques ou des bases de contacts volumineuses, ces dossiers commencent immédiatement à se périmer. Si un contact a soumis une demande globale de suppression via DROP, continuer à cibler son numéro de téléphone portable personnel ou sa boîte de réception privée crée des frictions de conformité, risque d'entraîner un blocage pour spam par les opérateurs et accroît la probabilité de réclamations individuelles.

Les équipes qui mènent des campagnes de téléprospection doivent également maintenir des mesures de protection distinctes, comme la gestion de la révocation du consentement TCPA dans la prospection commerciale B2B, dans la mesure où les réglementations fédérales sur le démarchage téléphonique fonctionnent indépendamment des registres d'État de courtiers de données.

Pour protéger les systèmes internes, les responsables RevOps devraient mettre en place un audit en quatre étapes pour les données de prospection tierces :

1. Vérifier le statut du fournisseur auprès du registre

Avant de signer ou de renouveler un contrat avec un fournisseur de données commerciales, consultez le registre public des courtiers de données de Californie (California Data Broker Registry). Vérifiez que le fournisseur est bien enregistré pour l'année civile en cours. Si un fournisseur étranger ou national vend des lignes directes ou des adresses e-mail personnelles de professionnels américains tout en revendiquant une exemption, exigez son fondement juridique par écrit.

2. Auditer les flux de sourcing et d'enrichissement

Demandez aux fournisseurs comment leurs coordonnées sont collectées. Les lignes directes proviennent-elles de cartes de visite consenties, de déclarations réglementaires publiques, de web scraping automatisé ou de traceurs SDK d'applications mobiles ? En vertu du California Senate Bill 361 (SB 361), les courtiers doivent déclarer s'ils collectent des identifiants publicitaires mobiles, des identifiants de connexion, ou s'ils vendent des données à des fins d'entraînement de modèles d'IA. Connaître la provenance de votre flux d'enrichissement permet de savoir si un partenaire risque d'interrompre brusquement ses services.

3. Établir des fenêtres de synchronisation

Si votre fournisseur supprime des données pour se conformer à DROP, votre plateforme interne de gestion de la relation client (CRM) ne doit pas conserver indéfiniment des données obsolètes ou contestées. Mettez en place une politique avec vos fournisseurs afin de recevoir des mises à jour régulières des listes d'exclusion. Lors de l'évaluation des plateformes de prospection, comme détaillé dans notre analyse Lemlist vs Ember Lead Intelligence : Comparatif pour la prospection, les équipes doivent examiner la manière dont leurs logiciels de pipeline gèrent les mises à jour des contacts, les désinscriptions et les exclusions de prospects au fil du temps.

4. Séparer l'extraction de masse de la recherche vérifiée

Le scraping de masse entraîne un taux d'obsolescence élevé et accroît les risques de non-conformité. Des opérations de prospection pérennes reposent sur une vérification multicritère : confirmer que l'entreprise a un besoin opérationnel réel, que le poste professionnel du contact est à jour et que la prise de contact s'effectue via des canaux professionnels vérifiés.

Mettre en œuvre une prospection conforme

Gérer l'exposition réglementaire ne signifie pas renoncer à l'acquisition sortante. Les plateformes d'entreprise traditionnelles et les fournisseurs de données classiques demeurent des options appropriées pour les équipes qui ont besoin de millions de lignes de contacts brutes et statiques pour des opérations de prospection à grande échelle dans des régions non concernées par des règles strictes d'enregistrement.

Cependant, les équipes commerciales modernes évitent de plus en plus les listes froides volumineuses et non vérifiées au profit d'une veille contextuelle. Au lieu d'acheter des millions de lignes statiques, les moteurs de prospection peuvent privilégier le timing, la pertinence du rôle et les signaux d'affaires observés.

Pour les équipes qui conçoivent ce type de processus, Ember Lead Intelligence organise la prospection autour de signaux qualitatifs plutôt que d'un volume statique. En aidant les équipes commerciales à déterminer qui contacter, pourquoi le moment est opportun et quel angle stratégique adopter, Ember éloigne la prospection du scraping de masse indifférencié pour l'orienter vers une approche contextuelle.

Au sein d'Ember, les missions de prospection fonctionnent selon des cadres opérationnels clairs : chaque projet d'e-mail ou de message LinkedIn nécessite une validation humaine et une programmation explicite avant l'envoi, et la plateforme applique un mécanisme immédiat de non-contact qui interrompt les séquences en attente sur l'ensemble des boîtes de messagerie et des profils connectés dès qu'un prospect demande à ne plus être contacté. Pour les équipes qui développent leur architecture de revenus, l'exploration de les guides de connaissances pour la vente propose des méthodes concrètes pour bâtir un moteur d'acquisition conciliant vélocité commerciale et gouvernance rigoureuse des données.