Identifier les visiteurs de son site : ce que permet le RGPD (2026)

Oui, identifier les entreprises qui visitent votre site peut être légal en Europe, mais le droit de l'UE considère cela comme du traçage. Le Comité européen de la protection des données (CEPD) estime que la règle du consentement de la directive ePrivacy (article 5(3)) couvre les scripts et les pixels de suivi, et pas seulement les cookies, et la Cour de justice de l'Union européenne (CJUE) a jugé que les adresses IP peuvent être des données personnelles (Breyer, C-582/14). Les outils d'identification individuelle que nous avons examinés ne nomment personne sur le trafic européen : RB2B indique « Person-Level ID is US-only » (identification individuelle réservée aux États-Unis), et Warmly mentionne « no personal-level anonymization in Europe ». Les outils qui identifient les entreprises, comme Albacross, Leadfeeder (anciennement Dealfront), Leadinfo et Snitcher, hébergent les données dans l'UE et proposent une offre gratuite ou un premier prix inférieur à 70 € par mois en facturation annuelle, mais ils documentent le consentement de façons très différentes.

Vérifié le 15 octobre 2026 à partir des sources juridiques et des pages de chaque éditeur. Ceci ne constitue pas un conseil juridique. Revexa développe Leo, un agent de signaux d'achat qui atteint les entreprises grâce à des signaux publics comme les recrutements, les levées de fonds et l'arrivée de nouveaux dirigeants, plutôt qu'en traçant les visiteurs. Leo n'identifie pas les visiteurs d'un site : ce n'est donc pas le bon outil si c'est ce dont vous avez besoin, et il ne figure pas dans le comparatif ci-dessous.

Niveau entreprise ou niveau personne : comment fonctionne l'identification

Niveau entreprise (reverse IP). Le JavaScript de l'éditeur envoie l'adresse IP de chaque visiteur et les données de la page à l'éditeur, qui recherche cette IP dans une base de correspondance entre adresses IP et entreprises ; la plupart des traceurs déposent aussi un cookie first-party pour reconnaître les visites répétées. Le traceur de Leadfeeder « captures visitor IP addresses, domains, and location data, then matches them against our proprietary IP-to-company databases » (collecte les adresses IP, les domaines et les données de localisation des visiteurs, puis les rapproche de nos bases propriétaires de correspondance IP-entreprise) (aide Leadfeeder). Les personnes en télétravail sont plus difficiles à rattacher à une entreprise, car elles « usually use dynamic IP addresses that change ownership frequently » (utilisent généralement des adresses IP dynamiques qui changent souvent de titulaire) (Leadfeeder).

Les taux de couverture sont ceux qu'annoncent les éditeurs : Leadinfo identifie des entreprises pour « typically around 30% of your total traffic » (généralement environ 30 % de votre trafic total) (tarifs), et Warmly annonce un « Company identification rate around 60% » (taux d'identification des entreprises d'environ 60 %) (aide). Nous n'avons trouvé aucun benchmark indépendant.

Niveau personne (graphes d'identité). Ces outils associent le navigateur à une identité repérée ailleurs. RB2B rapproche les visiteurs « against a fully-permissioned publisher network using a combination of 1st and 3rd party cookies, device IDs and IP addresses » (d'un réseau d'éditeurs de sites disposant de toutes les autorisations, en combinant cookies first-party et tiers, identifiants d'appareil et adresses IP) (FAQ RB2B) ; Warmly recherche des « Cookies, Fingerprinting or the IP Address of the visitor » (cookies, empreinte du navigateur ou adresse IP du visiteur). Les deux tiennent cette fonction à l'écart de l'Europe : l'identification individuelle de RB2B « will not identify individuals located outside the US (for GDPR and CCPA compliance) » (n'identifie pas les personnes situées hors des États-Unis, pour respecter le RGPD et le CCPA), et Warmly ne la propose pas en Europe.

Les règles européennes applicables

1. Une adresse IP peut être une donnée personnelle

Dans l'arrêt Breyer (C-582/14, 2016), rendu sous l'empire du texte qui a précédé le RGPD, la CJUE a jugé qu'une adresse IP dynamique enregistrée par l'exploitant d'un site web « constitue une donnée à caractère personnel » lorsque cet exploitant « dispose de moyens légaux » lui permettant d'identifier la personne grâce aux données détenues par son fournisseur d'accès à Internet (arrêt). Identifier une entreprise peut aussi revenir à identifier une personne, « for instance when it comes to sole traders » (par exemple lorsqu'il s'agit d'entrepreneurs individuels), comme le relève Albacross (politique de confidentialité).

2. Le script ne doit s'exécuter qu'après le consentement

L'article 5(3) de la directive ePrivacy n'autorise le stockage d'informations sur l'appareil d'un utilisateur, ou l'accès à ces informations, qu'avec son consentement, sauf si cela est nécessaire pour transmettre une communication ou « strictement nécessaire » à un service « expressément demandé » par l'utilisateur (directive 2002/58/CE). Dans l'arrêt Planet49 (C-673/17, 2019), la CJUE a jugé que cette règle s'applique, que les informations soient ou non des données personnelles (arrêt).

Les lignes directrices 2/2023 du CEPD (version 2.0, adoptées le 7 octobre 2024) appliquent la règle au-delà des cookies (CEPD). Un code JavaScript qui « demande au navigateur de l'utilisateur d'envoyer des requêtes asynchrones contenant les informations ciblées » entre « clairement » dans son champ, tout comme la collecte d'identifiants au moyen de pixels de suivi. Sur le traçage fondé uniquement sur l'adresse IP : « À moins que l'entité ne puisse garantir que l'adresse IP ne provient pas de l'équipement terminal d'un utilisateur ou d'un abonné, elle doit prendre toutes les mesures prévues par l'article 5(3) de la directive ePrivacy. » Le CEPD ajoute que cela « ne signifie pas systématiquement qu'il faille recueillir le consentement », car des exemptions existent. Selon notre lecture, identifier l'employeur d'un visiteur à des fins commerciales n'est pas strictement nécessaire à un service demandé par ce visiteur : recueillir d'abord le consentement est donc la configuration sûre.

3. La prise de contact repose sur l'intérêt légitime, dans certaines limites

Contacter une personne d'une entreprise identifiée implique de traiter ses données personnelles, et la prospection B2B peut reposer sur l'intérêt légitime au sens de l'article 6(1)(f) du RGPD. Un intérêt commercial peut être légitime, mais le traitement doit être « strictement nécessaire » à cet intérêt, et les droits de la personne ne doivent pas prévaloir (CJUE, C-621/22, 4 octobre 2024) (arrêt). Le projet de lignes directrices 1/2024 du CEPD ajoute deux limites : lorsque le traçage alimente la prospection, le consentement « constituera probablement la base légale appropriée », « ce qui exclut normalement le recours à l'article 6(1)(f) » ; et la mise en balance « ne donnerait guère » de résultat favorable pour le « suivi de personnes sur plusieurs sites web, lieux, appareils ou services » (CEPD).

Vous devez aussi indiquer la source des données au plus tard lors du premier contact (article 14(3)(b)) et cesser dès que la personne s'y oppose (article 21(3)). Le droit national de la prospection ajoute une couche : en Allemagne, l'UWG §7 exige un consentement préalable et exprès pour la publicité par e-mail, B2B compris (notre guide). Notre guide sur le RGPD et l'e-mailing B2B détaille la mise en balance.

4. Ce qui pourrait changer

La proposition « omnibus numérique » de la Commission (Digital Omnibus, COM(2025) 837) transférerait la règle dans le RGPD, sous la forme d'un article 88a, et exempterait la mesure d'audience réalisée « par le responsable du traitement de ce service en ligne uniquement pour son propre usage » (proposition). Au 15 octobre 2026, le texte était toujours au stade « Awaiting committee decision » (en attente de décision en commission) au Parlement européen (Observatoire législatif). Selon notre lecture, aucune des exemptions proposées ne couvre l'identification des visiteurs à des fins commerciales.

Règles nationales : Allemagne et Suède

Allemagne. Le §25 de la TDDDG (appelée TTDSG jusqu'au 14 mai 2024) n'autorise le stockage d'informations sur l'appareil d'un utilisateur, ou l'accès à ces informations, qu'avec un consentement donné conformément au RGPD, sauf pour la transmission d'une communication ou ce qui est strictement nécessaire à un service numérique expressément souhaité par l'utilisateur (TDDDG §25). Les lignes directrices des autorités allemandes de protection des données (DSK, version 1.2, novembre 2024) ajoutent que le consentement est nécessaire même en l'absence de données personnelles, et qu'il doit être obtenu avant le dépôt de tout cookie soumis à consentement (DSK).

Suède. Le chapitre 9, §28 de la loi suédoise sur les communications électroniques (LEK, SFS 2022:482) n'autorise le stockage de données dans l'équipement terminal d'un utilisateur, ou leur lecture, que si l'utilisateur est informé de la finalité et y consent, avec les deux mêmes exemptions (LEK). Le régulateur PTS considère qu'elle couvre aussi d'autres techniques que les cookies (PTS). Selon l'IMY, seule l'autorité PTS contrôle les règles de la LEK sur les cookies, tandis que le traitement de données personnelles qui suit, comme l'analyse ou le profilage, relève du RGPD et de l'IMY (IMY).

Exemples de sanctions

• France, 150 millions d'euros (2025). La CNIL a infligé une amende à SHEIN (Infinite Styles Services Co. Limited) le 1er septembre 2025. Des cookies publicitaires étaient déposés « dès leur arrivée sur le site », et cliquer sur « Tout refuser » n'empêchait pas le dépôt de nouveaux cookies (résumé de la décision de la CNIL par le CEPD).
• Suède, rappels à l'ordre (2025). Le 30 avril 2025, l'IMY a adressé un rappel à l'ordre à trois entreprises suédoises au sujet de leurs bandeaux cookies : à ATG, en partie pour une interface trompeuse, et à Aller Media pour s'être appuyée sur l'intérêt légitime sans le justifier ni présenter de mise en balance (IMY).

Ce que chaque éditeur dit de l'Europe

Par ordre alphabétique.

Albacross (Stockholm) identifie les entreprises et vend des crédits d'e-mails et de numéros de téléphone vérifiés, en citant Cognism comme partenaire pour les données de contact. Son centre d'aide est le plus explicite : « you must obtain valid consent and inform your visitors on your website » (vous devez obtenir un consentement valable et informer vos visiteurs sur votre site) au sujet de son script (FAQ RGPD, liste de contrôle). Les données qu'il traite incluent un « Fingerprint hash » (empreinte hachée), et dès qu'il ajoute les données de vos visiteurs à sa propre base, « We then become data controllers » (nous devenons alors responsables du traitement).

Leadfeeder (anciennement Dealfront) identifie les entreprises et vend des contacts à partir de son offre Activate. Dealfront est devenu Leadfeeder le 24 mars 2026 (FAQ). L'éditeur affirme « Yes, Leadfeeder is GDPR compliant » (oui, Leadfeeder est conforme au RGPD) (Leadfeeder), héberge les données sur AWS en Irlande et conclut automatiquement son accord de traitement des données (DPA) (page RGPD). Son mode consentement ne fait que retarder le cookie : « If the visitor does not grant consent, the tracker will still work and identify companies on your website! » (si le visiteur ne donne pas son consentement, le traceur fonctionnera quand même et identifiera les entreprises sur votre site !). Leadfeeder déconseille de bloquer l'ensemble du traceur, car vous verriez moins d'entreprises (aide) ; au regard de la lecture du CEPD, le bloquer est la configuration prudente. Son offre gratuite Lite affiche les 100 dernières entreprises chaque mois (tarifs).

Leadinfo (Pays-Bas) identifie les entreprises et propose une « Database with +300M decision makers » (base de plus de 300 millions de décideurs). Il traite l'adresse IP comme une donnée personnelle, héberge les données sur AWS en Irlande, propose « a cookie-free tracking option » (une option de suivi sans cookie) et vous laisse choisir la base légale, tout en conseillant : « We also recommend obtaining consent from your website visitors before activating the Leadinfo tracking code » (nous recommandons également d'obtenir le consentement des visiteurs de votre site avant d'activer le code de suivi Leadinfo) (page RGPD).

RB2B identifie nominativement des personnes aux États-Unis et des entreprises dans le monde entier via Demandbase. Sa page d'accueil indique « Person-Level ID is US-only, GDPR doesn't apply » (identification individuelle réservée aux États-Unis, le RGPD ne s'applique pas) (RB2B), et sa page RGPD précise que, pour l'identification des entreprises dans le monde entier, « you MUST use a Consent Management Solution » (vous DEVEZ utiliser une solution de gestion du consentement) (page RGPD) ; son centre d'aide conseille de ne charger le snippet qu'après consentement lorsque celui-ci est requis (aide). Deux réserves : interrogé sur la collecte d'adresses IP européennes « to know when to fire your script » (pour savoir quand déclencher votre script), RB2B qualifie cette collecte d'« incidental » (accessoire) ; et le RGPD s'applique aux responsables du traitement établis dans l'UE, « que le traitement ait lieu ou non dans l'Union » (article 3(1)).

Snitcher (Pays-Bas) identifie les entreprises et n'affiche des coordonnées individuelles que si vous choisissez de les révéler : « surface individual contact details only when you choose to reveal them » (tarifs). Il s'appuie sur l'intérêt légitime au sens de l'article 6(1)(f) et héberge les données sur AWS à Francfort. Son mode consentement retarde les cookies, pas le script : le traceur « does not set any cookies or persistent browser storage until the visitor has given consent » (ne dépose aucun cookie ni stockage persistant dans le navigateur tant que le visiteur n'a pas donné son consentement), mais « only keeps a temporary identifier in sessionStorage » (conserve seulement un identifiant temporaire dans le sessionStorage) en attendant (aide RGPD).

Warmly identifie nominativement des personnes hors d'Europe et des entreprises en Europe. Les clients peuvent « place both the JavaScript and cookie behind a cookie banner » (placer à la fois le JavaScript et le cookie derrière un bandeau cookies) ou seulement le cookie, puisque « The Warmly JavaScript allows for account identification without dropping a cookie » (le JavaScript de Warmly permet d'identifier les comptes sans déposer de cookie) (conformité).

Tableau comparatif

« Prix à partir de » correspond au prix le plus bas affiché pour la plus petite offre au 15 octobre 2026. Les visites du site ne sont qu'un signal d'achat parmi d'autres : voir notre comparatif des outils de signaux d'achat et le guide des données d'intention.

Checklist pour une configuration conforme

1. Ne chargez l'ensemble du script qu'après consentement. Placez le traceur, et pas seulement son cookie, dans la catégorie « mesure d'audience » ou « marketing » de votre outil de gestion du consentement, et rendez le refus aussi simple que l'acceptation. Attendez-vous à identifier moins d'entreprises.
2. Limitez le trafic européen au niveau entreprise. N'activez pas les fonctions d'identification individuelle pour les visiteurs européens, et traitez toute correspondance avec un entrepreneur individuel comme une donnée personnelle.
3. Signez le DPA et vérifiez qui est responsable de quoi. Leadfeeder, Leadinfo et Albacross vous désignent comme responsable du traitement et se présentent comme sous-traitants ; Albacross et Leadinfo agissent aussi comme responsables du traitement lorsqu'ils réutilisent les données de vos visiteurs : mentionnez-les donc dans votre politique de confidentialité.
4. Mettez à jour votre politique de confidentialité et votre liste de cookies. Indiquez l'éditeur, la finalité, les données (adresse IP, pages consultées, identifiants de cookies), la durée de vie des cookies et l'accès des tiers. Albacross, Leadfeeder, Leadinfo et Snitcher publient des modèles de texte, et RB2B liste les informations à communiquer.
5. N'envoyez pas d'e-mails aux personnes identifiées sans base légale. Documentez une mise en balance, indiquez la source des données dès le premier contact, arrêtez en cas d'opposition et vérifiez les règles nationales. Notre conseil : ne dites pas à un prospect que vous avez vu sa visite, car vous savez rarement qui c'était.
6. Fixez une durée de conservation. Décidez combien de temps vous gardez les données de visite et les contacts qui ne répondent jamais, documentez-le (article 5(1)(e) du RGPD) et utilisez les réglages de suppression ou d'anonymisation de l'outil, comme l'anonymisation des adresses IP de Leadfeeder.

Questions fréquentes

L'identification des visiteurs d'un site est-elle légale au regard du RGPD ?

Au niveau de l'entreprise, elle peut l'être, si le script ne s'exécute qu'après consentement, si vous informez les visiteurs et si vous avez signé un DPA avec l'éditeur. L'identification individuelle repose sur un traçage intersites qui, selon le CEPD, passerait difficilement le test de l'intérêt légitime, et ni RB2B ni Warmly ne la proposent en Europe.

RB2B est-il conforme au RGPD ?

RB2B affirme que son identification individuelle est réservée aux États-Unis et que le RGPD ne s'y applique donc pas. Hors des États-Unis, il ne propose que l'identification des entreprises et indique qu'un outil de gestion du consentement est alors obligatoire. Si votre entreprise est établie dans l'UE, le RGPD s'applique malgré tout à vos propres traitements (article 3(1)).

Leadfeeder (Dealfront) est-il conforme au RGPD ?

Leadfeeder affirme que oui, héberge les données sur AWS en Irlande et conclut automatiquement un DPA. Votre configuration fait le reste : son mode consentement ne retarde que le cookie, la configuration prudente consiste donc à bloquer tout le traceur jusqu'à ce que le visiteur donne son consentement.

Comment identifier les entreprises qui visitent mon site dans l'UE ?

Choisissez un outil d'identification des entreprises qui héberge les données dans l'UE (Albacross, Leadfeeder, Leadinfo ou Snitcher), chargez son script via votre outil de gestion du consentement, signez le DPA et mettez à jour vos informations sur la confidentialité et les cookies. Ne prenez contact qu'avec une base légale documentée, et testez d'abord la couverture avec une offre gratuite ou un essai.