Achat de prospects : les enseignements de FORIOU

Acheter un fichier accompagné d’une garantie « conforme au RGPD » ne dispense pas l’acheteur de vérifier les conditions de sa propre prospection. La délibération SAN-2024-003 du 31 janvier 2024 l’illustre à travers une amende de 310 000 €.

Cette décision porte sur des pratiques anciennes de démarchage téléphonique. Son enseignement sur les contrôles demeure utile, mais son exposé des bases légales doit être replacé dans le droit applicable à l’époque : le régime téléphonique des consommateurs a changé depuis le 11 août 2026.

Pourquoi les garanties contractuelles ne suffisaient pas

La société utilisait des données obtenues auprès de fournisseurs qui les collectaient notamment via des jeux-concours. Dans la décision SAN-2024-003, la CNIL relève qu’elle n’identifiait pas précisément la base légale de ses opérations.

L’intérêt légitime est écarté dans le contexte examiné : certaines listes de partenaires ne mentionnaient pas l’entreprise, ou aucune information adéquate ne permettait aux personnes d’anticiper ces sollicitations. Le consentement est également écarté, en raison des interfaces et des choix présentés.

Le contrat du fournisseur ne corrigeait pas ces défauts. En tant que responsable de sa prospection, l’acheteur devait vérifier les conditions de son traitement. Il ne s’agit pas d’une obligation entièrement nouvelle créée en 2024 : la décision cite déjà un précédent de novembre 2022.

Ce que l’interface de collecte révélait

Les boutons de validation du jeu étaient mis en évidence alors que le parcours permettant de participer sans recevoir les offres était peu visible. Certaines formulations mélangeaient participation, lecture des mentions et transmission à des partenaires.

L’analyse porte donc sur l’expérience réellement proposée, et non seulement sur une phrase juridique extraite du formulaire. Pour auditer un fournisseur, conservez le parcours complet : première page, options, textes, liste des destinataires et résultat du refus.

La CNIL précise aujourd’hui les règles de transmission aux partenaires. Identifiez les organismes et les usages concernés. Une case commune peut, selon sa conception et l’information fournie, couvrir la transmission et la prospection des partenaires ; cela ne permet pas un accord indifférencié à des destinataires inconnus.

Transformer le contrôle en preuve exploitable

Dans cette affaire, des annotations sommaires et non datées n’étaient pas reliées aux fiches de prospects et ne démontraient pas un contrôle utile. La présence d’une URL source dans le fichier ne prouvait pas non plus que l’acheteur l’avait vérifiée.

Pour préparer un achat de fichier de prospection, établissez un dossier par livraison :

• identité du fournisseur et sources de collecte ;
• période et versions des parcours concernés ;
• méthode de contrôle, contacts ou lots examinés et résultats ;
• preuve des accords lorsque nécessaires et rattachement aux personnes ;
• anomalies, suspension des lignes concernées et corrections vérifiées.

Cette méthode pratique doit être adaptée au volume et au risque. Un échantillon ne rend pas automatiquement conforme tout le reste du fichier. Prévoyez une procédure pour exclure les données dont l’utilisation ne peut être justifiée.

Le guide sur la preuve du consentement détaille les pièces utiles. Qualifiez aussi le rôle du fournisseur : un courtier qui décide de ses propres collectes n’est pas automatiquement votre sous-traitant au sens de l’Art. 28.

Deux erreurs à éviter dans la lecture juridique

La première consiste à déduire automatiquement un manquement à l’Art. 30 du seul défaut d’identification de la base légale. La liste obligatoire de l’Art. 30(1) ne mentionne pas expressément ce champ. Documenter le fondement reste indispensable à la conformité et utile dans le registre, mais le manquement retenu ici relève de l’Art. 6.

La seconde concerne l’archivage. La rapporteure avait soulevé la question des accès après la fin de la relation client. La formation restreinte rappelle que la séparation entre données actives et archives peut être physique ou logique, selon les habilitations. Elle n’a finalement pas retenu de manquement à l’Art. 32, faute d’éléments établissant un accès sans besoin d’en connaître.

L’enseignement pratique est de réduire les permissions selon la finalité restante. Il n’impose pas nécessairement une base de données physiquement distincte. Le tableau des durées de conservation aide à distinguer usages commerciaux et conservation justificative.

Appliquer les règles téléphoniques actuelles

Le raisonnement historique sur l’intérêt légitime ne permet pas d’ignorer le consentement préalable désormais requis pour le démarchage téléphonique des consommateurs, sous réserve des exceptions légales. La CNIL présente le régime actuel.

Les Art. R.223-1 et R.223-2 du code de la consommation prévoient notamment un accord maximal d’un an, sans reconduction automatique, et la conservation de sa preuve pendant trois ans depuis le recueil, avec la prolongation judiciaire prévue. Un fichier ancien ne devient donc pas utilisable uniquement parce que son fournisseur invoque les pratiques admises en 2024.

Avant chaque campagne, rapprochez les règles du canal, les preuves et les oppositions. Notre guide de la prospection commerciale permet de replacer cette décision dans le cadre actuel.

Préparer une réception du fichier avant sa mise en campagne

Le contrôle commence utilement avant la commande. Définissez le public, le canal, les offres et les organismes qui utiliseront les données. Une autorisation de contact pour un partenaire ne couvre pas nécessairement une autre société du groupe. De même, un accord limité au téléphone ne répond pas, à lui seul, aux conditions d’un envoi de courriels.

Demandez ensuite au fournisseur quelles pièces seront livrées et comment elles seront rattachées aux contacts. La proposition de dossier ci-dessous peut servir à préparer cette discussion ; elle ne constitue ni un formulaire réglementaire ni une certification du fichier.

Conservez le fichier reçu dans un espace à accès limité pendant son examen, sans déclencher automatiquement les campagnes. Cette attente technique n’est pas une nouvelle base légale de conservation : le motif et la durée de l’examen doivent eux-mêmes être justifiés. Si les pièces essentielles ne peuvent pas être obtenues, prenez une décision sur le lot au lieu de prolonger indéfiniment cette attente.

Traiter les écarts sans transformer une hypothèse en autorisation

Un contrôle peut révéler plusieurs problèmes différents. L’absence d’une preuve dans la livraison ne démontre pas nécessairement l’absence historique de tout accord ; elle signifie néanmoins que l’acheteur ne dispose pas encore des éléments nécessaires pour justifier l’usage envisagé. Un formulaire actuel satisfaisant ne prouve pas non plus le contenu d’une ancienne version.

Pour chaque écart, indiquez les lignes ou périodes potentiellement concernées, la pièce demandée et la décision provisoire. Si une version défectueuse du formulaire a été utilisée pendant plusieurs semaines, limitez les conclusions du contrôle à ce que les éléments disponibles permettent d’établir. Un résultat favorable sur une version ultérieure ne régularise pas les contacts antérieurs.

La réponse du fournisseur doit être examinée sur le fond. « Notre prestataire est conforme » ne répond pas à une demande portant sur l’identité affichée, l’action de la personne ou la date du choix. Lorsqu’une correction du parcours est annoncée, distinguez sa vérification pour les collectes futures du sort des données déjà livrées. Pour celles-ci, la décision peut être une exclusion ou un abandon de l’usage, selon l’analyse juridique et les preuves obtenues.

Relier les contrôles à l’information et aux demandes des personnes

L’acheteur qui reçoit des données indirectement doit aussi examiner ses obligations d’information selon l’Art. 14(1) à (3) du RGPD : identité, finalités, base légale, source des données et droits font notamment partie du dossier. Le délai maximal d’un mois ne permet pas de reporter l’information après une première communication intervenue plus tôt. Il ne constitue pas davantage une autorisation de prospecter pendant un mois sans fondement.

Préparez une réponse permettant de retrouver l’origine du contact et la pièce invoquée, sans imposer à la personne de négocier successivement avec tous les intermédiaires. Une opposition à la prospection doit entraîner l’arrêt du traitement à cette fin conformément à l’Art. 21(2) et (3). La conservation d’une preuve nécessaire suit une finalité et des accès distincts de la réutilisation commerciale.

Enfin, prévoyez la circulation des retraits entre la collecte et l’appel. Pour le consentement téléphonique des consommateurs, l’Art. R.223-3 autorise notamment un retrait oral. Le commercial doit disposer d’un moyen de le transmettre au bon responsable, puis d’une consigne empêchant le rappel. Une nouvelle livraison du courtier ne doit pas faire disparaître cette instruction. La réception du fichier, sa préparation et son utilisation doivent donc rester reliées par des décisions datées.

Ce qu’il faut retenir

• L’acheteur reste responsable des conditions de sa propre prospection.
• Le contrat du courtier et une URL source ne prouvent pas un contrôle effectif.
• La CNIL n’a pas retenu le manquement à la sécurité dans cette décision.
• Les règles téléphoniques de 2026 doivent être appliquées aux campagnes actuelles.

FAQ

Acheter des prospects est-il interdit ?

Pas par principe. La collecte, la transmission et l’utilisation doivent chacune respecter les conditions applicables ; un prix payé ou une garantie contractuelle ne les remplace pas.

Faut-il examiner uniquement le texte du consentement ?

Non. L’apparence du formulaire, le parcours de refus et les destinataires annoncés peuvent affecter la validité du choix.

L’archivage exige-t-il un autre serveur ?

Pas nécessairement. Une séparation logique peut convenir si elle limite effectivement l’accès aux personnes habilitées pour la finalité restante.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.