Fournisseur de leads : auditer un échantillon

Un fournisseur de leads doit pouvoir rattacher les justificatifs de collecte à des contacts précis et à l’usage que vous préparez. Une attestation « 100 % opt-in » ne montre ni le formulaire présenté, ni l’identité des annonceurs concernés, ni les retraits intervenus depuis. Avant d’activer le fichier, choisissez vous-même les lignes examinées et fixez ce qui permettra leur acceptation.

L’audit d’échantillon sert à éprouver la qualité des preuves et du processus du fournisseur. Il ne délivre pas un certificat de conformité de toutes les lignes non contrôlées. Ce guide propose une méthode de réception pour une campagne commerciale par email vers des particuliers, puis montre comment conclure sans transformer un résultat partiel en garantie générale.

Fixer l’usage qui sera effectivement audité

Inscrivez sur la fiche d’achat l’annonceur, la population, le canal et la finalité. « Contacts intéressés par la maison » ne suffit pas. « Envoi par notre société d’offres de luminaires par courriel à des particuliers » permet de rechercher le consentement correspondant et de vérifier que votre identité était bien portée à leur connaissance.

L’Art. L. 34-5 du code des postes et des communications électroniques pose le principe du consentement préalable à la prospection électronique. L’exception relative aux produits ou services analogues de la même personne suppose notamment une collecte auprès du destinataire lors d’une vente ou prestation. Acheter une base de prospects ne transforme pas ses membres en clients de votre société. Article L. 34-5.

Une demande de devis, un consentement à la newsletter du collecteur et un consentement aux offres de ses partenaires constituent des situations différentes. Le message prévu doit entrer dans le périmètre établi. Une pièce valable pour l’email ne valide pas automatiquement un appel ou une audience publicitaire. Le guide de la prospection commerciale permet d’examiner séparément ces usages.

Demandez aussi le circuit de collecte : le vendeur recueille-t-il lui-même les données ou les achète-t-il à plusieurs intermédiaires ? Le nom du dernier revendeur ne suffit pas à reconstituer le choix initial. Il faut pouvoir atteindre les pièces du collecteur et comprendre la transmission jusqu’à votre société.

Ce que la décision SOLOCAL de septembre 2026 enseigne

Dans sa délibération SAN-2026-012 du 17 septembre 2026, la CNIL a clôturé une injonction concernant SOLOCAL MARKETING SERVICES. Elle a examiné un mécanisme de contrôle des formulaires des primo-collectants, reposant sur une analyse automatisée complétée, si nécessaire, par une appréciation humaine. Les contrôles portaient notamment sur l’action positive, l’information et les présentations susceptibles d’affecter la liberté ou le caractère univoque du consentement.

La formation restreinte a considéré les mesures aptes à répondre à l’injonction si elles étaient scrupuleusement appliquées. Elle a néanmoins maintenu la responsabilité de la société quant aux consentements recueillis pour son compte. L’existence d’un contrôle n’est donc pas une immunité pour les défauts qui lui échappent. Délibération SAN-2026-012, §7 à 10.

La conséquence pour votre achat est pratique : ne demandez pas seulement si le fournisseur possède une procédure. Demandez ce qu’elle a contrôlé sur les sources et versions qui composent votre livraison, quelles anomalies elle a détectées et comment celles-ci ont été traitées.

Choisir les lignes sans laisser le vendeur préparer toute la preuve

Obtenez d’abord une description du lot : nombre de lignes, sources initiales, périodes, versions de formulaires et intermédiaires. Vous pouvez travailler avec des références internes tant que l’identité complète n’est pas nécessaire au contrôle. Cette description permet de distinguer les familles présentant des conditions de collecte différentes.

Sélectionnez des contacts dans chacune de ces familles, y compris aux changements de formulaire. Ajoutez un examen ciblé des cas présentant un signal d’alerte : origine vague, version absente, ancienneté importante ou retrait déclaré. Une sélection couvrant les variations et une sélection ciblée sur les risques répondent à deux objectifs complémentaires ; aucune ne doit être présentée comme un tirage statistiquement représentatif sans méthode adaptée.

Fixez le volume en fonction de la diversité et des risques, avec sa justification. Aucun nombre universel de contacts contrôlés ne garantit la licéité d’un fichier. Ne comptez pas non plus trois attestations du même parcours comme une couverture de trois collecteurs différents.

Conservez la liste des références sélectionnées avant de demander les justificatifs. Si le vendeur remplace une ligne difficile par un « meilleur exemple », gardez la demande initiale et son résultat. Une pièce introuvable est une conclusion à traiter, pas une raison d’effacer la ligne du compte rendu.

Relier le choix individuel au formulaire de l’époque

Le dossier de preuve du consentement doit permettre de rapprocher plusieurs éléments. L’Art. 7(1) du RGPD impose au responsable du traitement de démontrer le consentement lorsque celui-ci fonde le traitement. Un horodatage seul ne montre pas à quoi la personne a consenti. RGPD, Art. 7.

Examinez le formulaire comme un parcours, pas uniquement comme une phrase. Une case affichée ne prouve pas qu’elle était initialement décochée ; le bouton de continuation, les possibilités de refus et les écrans successifs peuvent changer le sens du choix. Les critères de consentement libre, spécifique, éclairé et univoque résultent de l’Art. 4(11), complété par l’Art. 7.

La CNIL admet que le consentement à la transmission et à la prospection des partenaires puisse être recueilli par une seule case, décochée par défaut, avec l’information nécessaire. Elle exige notamment une liste exhaustive et à jour des partenaires lorsque le collecteur recueille le consentement pour leurs opérations. Ne rejetez donc pas un formulaire uniquement parce qu’il n’a qu’une case ; contrôlez sa portée réelle. CNIL, transmission aux partenaires.

Lire un résultat d’audit sans extrapolation trompeuse

Imaginons un lot fictif L-60 de 60 contacts provenant de trois familles : A contient 30 lignes, B en contient 20 et C en contient 10. L’acheteur sélectionne trois références dans chaque famille, soit neuf dossiers. Cette répartition vise la couverture des parcours, pas la mesure d’un taux de conformité de la population.

Les trois dossiers A présentent les éléments concordants attendus. Dans B, une pièce est exploitable et deux formulaires historiques manquent. Dans C, deux dossiers présentent des pièces concordantes, mais le troisième contient un retrait antérieur à la livraison. Le bilan est donc : six dossiers satisfaisant les contrôles effectués, deux non conclusifs et un refus incompatible avec la campagne.

Il serait trompeur d’écrire « 66,7 % de la base est conforme ». Six dossiers sur neuf ne permettent pas de déduire le statut des 60 lignes : la sélection n’a pas la même proportion dans chaque famille, les preuves manquantes ne sont pas des accords valables et les contrôles n’épuisent pas toutes les obligations.

La note de réception tranche plutôt ainsi :

Décision L-60 : campagne globale non activée. Le contact opposé est exclu et le mécanisme de transmission des refus de la famille C doit être examiné. Les versions historiques de B sont demandées ; les lignes dépendant de ces versions restent hors usage. Les six dossiers satisfaisants sont identifiés comme tels dans le périmètre contrôlé, sans validation automatique des autres contacts. Une nouvelle décision précisera le sous-ensemble effectivement activable après traitement des anomalies et vérification des conditions restantes.

Le contrôle ne conduit pas nécessairement à refuser définitivement tout le vendeur. Il permet de formuler des demandes précises : retrouver une version, démontrer la propagation des retraits ou expliquer une origine. En revanche, recopier « oui » dans une colonne consentement ne régularise pas l’absence de preuve historique.

Prévoir les conséquences dans la réception contractuelle

Définissez avant la livraison les pièces attendues, les personnes habilitées à y accéder, le traitement des anomalies et les conditions d’activation. Une garantie commerciale peut organiser votre recours contre le vendeur ; elle ne rend pas licite une campagne qui ne l’est pas.

La clause de réception peut distinguer un lot reçu techniquement d’un lot autorisé à l’usage convenu. Prévoyez comment suspendre une source, refuser une partie ou obtenir un remplacement sans remettre en circulation les mêmes données problématiques. Toute compensation financière doit suivre le contrat réellement conclu : l’audit ne crée pas, à lui seul, un droit automatique à remboursement.

La qualification des acteurs doit également être exacte. Un vendeur qui constitue et exploite sa propre base n’est pas nécessairement votre sous-traitant. Si une opération est réalisée pour votre compte, son encadrement doit répondre à l’Art. 28. Dans tous les cas, la réception doit permettre de traiter les droits des personnes et les incidents, avec des interlocuteurs et des responsabilités identifiés.

Le guide de l’achat de fichiers de prospection replace ces exigences dans la décision d’achat. Après import, conservez la provenance des champs enrichis pour ne pas perdre les conclusions de l’audit dans un CRM uniformément marqué « validé ».

Protéger les pièces et poursuivre le contrôle après livraison

Limitez l’accès aux justificatifs et ne diffusez pas l’échantillon complet par email à tous les commerciaux. Les captures peuvent contenir des informations étrangères au contrôle. Conservez ce qui démontre la collecte, la décision et la résolution des anomalies, avec une durée adaptée à ces besoins. Les Art. 5(1)(c), 5(1)(e) et 32 restent applicables au dossier d’audit lui-même.

L’acquéreur conserve ses obligations propres, notamment l’information prévue par l’Art. 14 et l’exercice des droits. La CNIL rappelle que l’achat du fichier ne transfère pas ces obligations au vendeur. CNIL, vente de fichiers clients.

Enfin, traitez les refus et contestations reçus après activation comme des signaux à rapprocher des sources et versions. Une anomalie nouvelle peut justifier de suspendre un ensemble plus large que la seule ligne signalée. Prévenez le fournisseur, conservez sa réponse et contrôlez la correction avant une reprise. Un audit initial satisfaisant ne neutralise pas les informations apparues ensuite.

Ce qu’il faut retenir

• Auditez un usage précis, avec des lignes sélectionnées par l’acheteur.
• Rapprochez acte individuel, formulaire historique, partenaires et retraits.
• Distinguez preuve satisfaisante, information manquante et refus établi.
• Définissez le sous-ensemble utilisable sans généraliser les résultats de l’échantillon.

FAQ

Peut-on demander toutes les pièces d’identité des prospects ?

Pas par défaut. L’audit cherche à établir le parcours et le choix correspondant aux données livrées. Une collecte systématique de pièces d’identité ajouterait un risque sans démontrer la validité du consentement.

Le vendeur peut-il fournir uniquement une démonstration en direct ?

Elle peut aider à comprendre son système actuel. Elle ne reconstitue pas automatiquement un formulaire ancien ni le choix d’une personne donnée. Consignez ce qui a été montré et les preuves historiques encore nécessaires.

Faut-il supprimer immédiatement les lignes rejetées ?

Arrêtez leur usage et déterminez le traitement approprié : effacement, retour sécurisé ou conservation limitée d’une preuve de refus, selon les obligations applicables. Ne les laissez pas dans une réserve commerciale susceptible d’être réimportée.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.