« Ne vous inquiétez pas, nos fichiers sont conformes au RGPD. »
La phrase rassure. Elle figure dans la proposition commerciale, parfois dans le contrat, et permet de passer à la question qui intéresse tout le monde : combien de contacts, à quel prix et avec quel taux de transformation ?
Puis un prospect demande d’où vient son numéro. Un autre affirme n’avoir jamais accepté de recevoir vos offres. Vous sollicitez alors le fournisseur, qui interroge son partenaire, lequel doit retrouver le formulaire utilisé par un autre prestataire.
Le fichier était disponible immédiatement. La preuve, beaucoup moins.
Acheter des contacts n’est pas interdit par principe. Mais leur achat ne suffit pas à autoriser leur utilisation. Encore faut-il comprendre comment ils ont été collectés et pour quelles sollicitations ils peuvent être exploités.
Ce que l’affaire SOLOCAL nous apprend
En mai 2025, la CNIL a prononcé une sanction de 900 000 euros à l’encontre de SOLOCAL MARKETING SERVICES, accompagnée d’une injonction concernant ses opérations de prospection électronique.
La société achetait des données auprès de partenaires, notamment des éditeurs de jeux-concours et de tests de produits, puis les utilisait pour réaliser des campagnes par courriel et SMS pour ses clients annonceurs.
La CNIL a notamment relevé que la présentation trompeuse de certains formulaires ne permettait pas de recueillir un consentement libre et univoque. Le problème se situait donc en amont, au moment de la collecte. Mais il concernait aussi les opérations réalisées ensuite à partir des données.
En septembre 2026, la CNIL a clôturé l’injonction après examen des mesures correctrices : une analyse automatisée des formulaires, complétée par une appréciation humaine.
Elle a toutefois précisé que SOLOCAL restait responsable de la validité des consentements recueillis pour son compte. Des défauts ayant échappé aux contrôles pouvaient encore engager sa responsabilité.
La clôture ne vaut donc ni annulation de la sanction initiale ni garantie générale pour toutes les campagnes futures.
Le fournisseur a ses obligations. L’entreprise qui utilise les contacts a aussi les siennes.
Cette affaire ne signifie pas que chaque TPE doit reproduire les outils de contrôle d’un grand groupe. Elle rappelle en revanche qu’un engagement contractuel doit être accompagné de vérifications effectives.
Avant de chercher le consentement, regardez s’il est nécessaire
Parler d’achat de fichiers et de RGPD conduit souvent à chercher une case « consentement ». Pourtant, les règles dépendent notamment du canal utilisé et du public sollicité.
Pour envoyer des courriels ou des SMS commerciaux à des particuliers, le consentement préalable est en principe nécessaire, sous réserve des exceptions applicables.
Pour un courriel adressé à un professionnel, la prospection peut reposer sur l’intérêt légitime lorsque l’offre est en rapport avec sa profession. La personne doit être informée et pouvoir s’opposer simplement et gratuitement.
Une adresse professionnelle nominative reste une donnée personnelle. Le fait qu’elle se termine par le nom d’une entreprise ne fait pas disparaître le RGPD.
|
Une TPE achète des adresses de responsables RH pour présenter une formation liée à leurs fonctions. Une entreprise achète des numéros de particuliers pour envoyer des SMS promotionnels. |
Le premier travail consiste donc à qualifier votre campagne. Un fichier peut être utilisable dans certaines conditions sans l’être pour tous les usages envisagés.
« Opt-in » : d’accord, mais à quoi ?
L’opt-in désigne un accord préalable : la personne accepte, par une action volontaire, de recevoir des sollicitations commerciales dans les conditions qui lui sont présentées. Par exemple, elle coche une case dédiée, non précochée, pour recevoir des offres par courriel.
À l’inverse, l’opt-out repose sur la possibilité de s’opposer à la prospection, lorsque les règles permettent de prospecter sans consentement préalable.
Une case vide n’est pas un accord. Une case déjà cochée non plus. Et un accord pour recevoir des courriels ne vaut pas automatiquement accord pour recevoir des appels.
Le mot est devenu un argument commercial. Il devrait surtout ouvrir une discussion.
La personne a-t-elle accepté de recevoir des courriels, des SMS ou des appels ? Pour quelles offres ? De quelle entreprise ? À partir de quelle information ?
Accepter les conditions générales d’un site ne constitue pas, à lui seul, un consentement à la prospection. Une case précochée ne permet pas davantage de recueillir un accord valable.
La présentation compte également. Un bouton très visible pour accepter les offres, face à un refus dissimulé dans un lien difficile à repérer, mérite un examen attentif. C’est précisément le type de difficulté soulevé dans l’affaire SOLOCAL.
La mention de partenaires demande aussi à être regardée de près. Votre entreprise était-elle identifiable dans le dispositif présenté au prospect ? Pouvez-vous retrouver la liste applicable au moment de la collecte ?
Une liste consultable aujourd’hui ne démontre pas nécessairement ce qui était annoncé plusieurs mois auparavant.
Enfin, une revente supplémentaire ne fait pas automatiquement entrer un nouvel acheteur dans le périmètre de l’accord initial.
Qui doit pouvoir produire la preuve ?
Lorsque vous fondez votre prospection sur le consentement, vous devez pouvoir en démontrer la validité. Que l’accord ait été recueilli par un tiers ne vous dispense pas de cette exigence.
Cela suppose de pouvoir rapprocher plusieurs éléments : le contact concerné, la date, l’information présentée, l’action réalisée et les usages autorisés.
Une capture de formulaire montre ce qu’un internaute pouvait voir. Elle ne prouve pas, à elle seule, qu’une personne déterminée a accepté.
Un horodatage montre qu’un événement a été enregistré. Encore faut-il savoir lequel.
Une adresse IP peut compléter un ensemble de preuves. Elle n’explique pas ce qui a été accepté ni dans quelles conditions.
« Nous avons la preuve » n’est une réponse utile que si cette preuve peut être retrouvée et correspond à votre campagne.
Vous n’avez pas nécessairement à recevoir toutes les pièces dans chaque fichier livré. Mais leur accès doit être organisé, fiable et suffisamment rapide pour répondre à une contestation ou à un contrôle.
Une preuve annoncée « sur demande », que personne ne parvient ensuite à fournir, ne sécurise pas votre utilisation.
Le contrat doit organiser la relation, pas seulement promettre la conformité
Une clause de conformité a son utilité. Elle formalise des engagements et peut prévoir des recours entre les parties. Elle ne remplace pas les conditions légales de votre campagne.
Demandez comment ces engagements seront appliqués :
-
qui collecte les données et à partir de quels sites ;
-
quels canaux et usages sont couverts ;
-
comment les preuves sont conservées et accessibles ;
-
comment les modifications de formulaires sont signalées ;
-
comment les retraits et oppositions sont traités ;
-
ce qui se passe lorsqu’un contact conteste avoir accepté.
Le rôle du fournisseur doit également être correctement qualifié. Un vendeur qui constitue et commercialise ses propres bases n’est pas automatiquement votre sous-traitant. À l’inverse, un prestataire qui exécute une campagne sur vos instructions peut relever de la sous-traitance.
Le contrat doit correspondre au fonctionnement réel. L’intitulé choisi par les parties ne suffit pas.
En assurance, une demande de devis ne règle pas tout
Un particulier remplit un formulaire pour obtenir un devis. Un courtier reçoit ses coordonnées. La suite paraît évidente : il faut le rappeler.
Avant l’appel, vérifiez pourtant ce qui a été demandé et présenté. Le courtier était-il identifié ? La personne avait-elle accepté d’être appelée par lui ? Pour quel type de contrat ? À quelle date ?
Une demande concernant une assurance automobile ne vaut pas autorisation générale de recevoir toutes les offres de tous les partenaires.
|
Depuis le 11 août 2026, le démarchage téléphonique des consommateurs repose en principe sur un consentement préalable, sous réserve des exceptions prévues par les textes. Le dispositif réglementaire exige notamment une information sur l’identité du professionnel, la nature des biens ou services et la période autorisée, qui ne peut dépasser un an. La preuve doit être conservée pendant trois ans. |
Ces exigences rendent particulièrement importante la vérification des leads achetés pour des campagnes d’appels.
Les règles propres à la commercialisation d’assurances doivent ensuite être examinées selon la situation. Le droit de contacter une personne et les conditions dans lesquelles un contrat peut lui être proposé constituent deux questions distinctes.
L’étiquette « lead qualifié » ne répond à aucune des deux à votre place.
Concrètement, comment vérifier sans monter une usine à gaz ?
Regardez le parcours avant de signer
Demandez à voir le formulaire et les étapes qui conduisent à la collecte. Lisez-les comme si vous étiez le prospect.
Comprendriez-vous que votre entreprise va recevoir les coordonnées ? Pourriez-vous refuser la prospection sans chercher pendant cinq minutes ? Le canal est-il explicite ?
Faites préciser si ce parcours est réellement celui des contacts proposés, ou simplement un exemple parmi plusieurs sources.
Testez l’accès à la preuve
Avant une campagne reposant sur le consentement, demandez au fournisseur de produire les éléments associés à un contact dans un cadre sécurisé.
Ce test ne valide pas tout le fichier. Il permet de vérifier que la procédure annoncée fonctionne et que les pièces racontent la même chose.
Si le fournisseur ne peut pas identifier le collecteur ou retrouver le parcours historique, clarifiez la situation avant d’utiliser les contacts concernés.
Préparez votre propre information
Acheter un fichier ne dispense pas d’informer les personnes de votre traitement.
Lorsque les données n’ont pas été collectées directement auprès d’elles, l’article 14 du RGPD prévoit notamment une information sur votre identité, les finalités, la base légale, les droits et la source des données.
Sous réserve des exceptions prévues par le texte, cette information doit intervenir dans un délai raisonnable, au plus tard sous un mois, et dès la première communication si elle intervient avant.
Préparez donc cette information avant le lancement. Le commercial ne devrait pas découvrir la provenance du fichier en même temps que le prospect qui l’interroge.
Organisez les oppositions avant le premier envoi
Qui reçoit les demandes ? Comment sont-elles transmises au prestataire de campagne ? Comment évitez-vous qu’un contact opposé soit réimporté dans le prochain lot ?
Supprimer indistinctement toute trace peut conduire à solliciter de nouveau la même personne. Une liste d’exclusion minimale, réservée à cet usage, permet de conserver ce qui est nécessaire pour respecter son choix.
|
En cas de contestation, arrêtez la prospection concernée, examinez les éléments disponibles et recherchez si le défaut touche un contact ou une source entière. La réponse doit suivre l’étendue du problème. |
Acheter un fichier, c’est aussi choisir une manière de travailler
Le prix, la fraîcheur et l’exclusivité des leads comptent. La capacité du fournisseur à expliquer leur provenance et à produire les justificatifs compte également.
Ces questions permettent de distinguer un engagement commercial d’une organisation capable de le tenir.
Avant votre prochain achat, demandez simplement : « Si une personne conteste avoir accepté d’être contactée par mon entreprise, que pourrez-vous me fournir ? »
Vérifiez trois choses : la provenance du contact, le cadre autorisant votre sollicitation et la possibilité de le démontrer.
Si la réponse reste « ne vous inquiétez pas, c’est conforme », il manque encore l’explication.
