Achat de fichiers de prospects : la CNIL rappelle vos obligations
Décision CNIL du 17 septembre 2026 : acheter un fichier de prospects ne transfère pas la responsabilité du consentement. Les preuves à exiger de vos fournisseurs.
Acheter un fichier de prospects ne transfère pas la responsabilité du consentement. C'est le principe que la CNIL a rappelé le 17 septembre 2026 en clôturant l'injonction prononcée contre SOLOCAL MARKETING SERVICES. La société échappe à l'astreinte, mais la décision trace une ligne claire pour toute entreprise qui prospecte par e-mail ou par SMS à partir de données achetées : la conformité de la collecte initiale reste la vôtre.
Voici ce que dit la décision, ce qu'elle change concrètement pour vos campagnes, et les preuves à réunir avant votre prochain achat de fichier.
Rappel : 900 000 € d'amende en mai 2025
SOLOCAL MARKETING SERVICES achète des données de prospects auprès de courtiers en données : sites de jeux-concours, plateformes de tests de produits, comparateurs. Ces acteurs sont les « primo-collectants », ceux qui recueillent la donnée à la source. La société exploite ensuite ces fichiers pour envoyer des SMS et des e-mails commerciaux pour le compte de ses clients annonceurs.
Le 15 mai 2025, la formation restreinte de la CNIL — l'organe qui prononce les sanctions — a infligé une amende de 900 000 € à la société (délibération SAN-2025-001). Le motif tient en une phrase : les formulaires de collecte des courtiers étaient trompeurs.
Le consentement ainsi obtenu n'était donc ni libre ni univoque au sens du RGPD. Il ne pouvait pas fonder une prospection par voie électronique au titre de l'article L. 34-5 du code des postes et des communications électroniques (CPCE), qui impose un consentement préalable pour le démarchage par e-mail ou SMS.
Au-delà de l'amende, la CNIL a ordonné à la société de cesser toute prospection électronique dépourvue de consentement valable, dans un délai de neuf mois. Le non-respect de cette injonction l'exposait à une astreinte de 10 000 € par jour de retard.
Septembre 2026 : injonction clôturée, astreinte non liquidée
Dans le délai imparti, la société a démontré avoir mis en place un dispositif de contrôle des consentements recueillis par ses partenaires. Ce dispositif repose sur deux étages :
- une analyse automatisée des formulaires de collecte utilisés par les primo-collectants ;
- une vérification humaine, en complément de l'analyse automatisée.
La formation restreinte a jugé ces mesures suffisantes, à condition qu'elles soient appliquées avec rigueur. Elle a donc décidé de ne pas liquider l'astreinte et de clôturer l'injonction (délibération SAN-2026-012 du 17 septembre 2026).
Le point clé : la responsabilité ne se sous-traite pas
C'est la portée réelle de la décision, et elle dépasse largement le cas Solocal. Même avec ces contrôles en place, la société reste responsable de la validité des consentements recueillis pour son compte. Si un formulaire non conforme échappe au dispositif, elle peut être sanctionnée de nouveau.
Autrement dit : disposer d'une procédure ne suffit pas. Il faut pouvoir prouver qu'elle fonctionne, formulaire par formulaire. Une clause contractuelle par laquelle le fournisseur « garantit la conformité » des données ne constitue ni une preuve ni une exonération.
Ce que cela implique pour votre entreprise
Si vous achetez ou louez des fichiers de prospects, ou si vous passez par un prestataire d'emailing ou de SMS, cinq chantiers s'imposent.
1. Exiger la preuve du consentement
Pour chaque fichier, réclamez le formulaire d'origine, la date de collecte, le texte exactement affiché à l'utilisateur et la finalité annoncée. Ce sont ces éléments, et non une attestation générique, qui démontrent le caractère libre, spécifique, éclairé et univoque du consentement.
2. Auditer les formulaires de collecte
Reprenez chaque formulaire et posez-vous les bonnes questions : les cases sont-elles pré-cochées ? Le consentement à la prospection est-il noyé dans l'inscription à un jeu-concours ? Votre entreprise, ou au minimum votre secteur d'activité, est-elle clairement identifiée au moment du recueil ? Un consentement donné à « nos partenaires » sans plus de précision ne vaut rien.
3. Documenter vos contrôles
Grille d'analyse, taux d'échantillonnage, décisions de rejet, traçabilité des arbitrages : c'est ce dossier qui vous protégera lors d'un contrôle. La CNIL a validé chez Solocal la combinaison d'un contrôle automatisé et d'une appréciation humaine — un dispositif documenté, pas une intention.
4. Encadrer contractuellement vos fournisseurs
Vos contrats d'achat de données doivent prévoir un droit d'audit, une obligation de fournir les preuves de consentement sur demande, et la suspension des livraisons en cas de non-conformité constatée. Sans ces clauses, vous n'avez aucun levier.
5. Former vos équipes marketing et commerciales
Ce sont elles qui achètent les fichiers, choisissent les prestataires et lancent les campagnes. Une équipe qui sait repérer un formulaire de collecte défaillant évite l'achat à la source — c'est le contrôle le moins coûteux de tous.
Ce que risque une entreprise non conforme
Le cas Solocal rappelle que la prospection électronique cumule deux régimes : le RGPD pour le traitement des données personnelles, et l'article L. 34-5 du CPCE pour le démarchage par voie électronique. Une amende administrative peut être assortie d'une injonction sous astreinte, laquelle produit ses effets bien après la sanction initiale. S'y ajoutent le coût d'arrêt des campagnes et l'atteinte à la réputation, rarement chiffrée mais souvent la plus durable.
FAQ
Une entreprise qui achète un fichier est-elle responsable si le vendeur a mal collecté le consentement ?
Oui. La CNIL le rappelle explicitement dans la décision du 17 septembre 2026 : l'entreprise qui prospecte reste responsable de la validité des consentements recueillis pour son compte, y compris lorsque la collecte a été réalisée par un tiers primo-collectant.
Un contrôle automatisé des formulaires suffit-il ?
Dans le cas Solocal, la CNIL a validé un dispositif combinant une analyse automatisée des formulaires et une appréciation humaine. Elle a toutefois précisé que ce dispositif n'exonère pas la société de sa responsabilité en cas de faille : un formulaire non conforme qui passerait le contrôle peut toujours donner lieu à sanction.
Qu'est-ce qu'une astreinte CNIL ?
C'est une somme due par jour de retard, qui s'ajoute à l'amende si l'entreprise ne se met pas en conformité dans le délai fixé par l'injonction. Dans cette affaire, l'astreinte s'élevait à 10 000 € par jour. La CNIL a choisi de ne pas la liquider, les mesures ayant été jugées suffisantes.
Quelle base légale pour la prospection par e-mail ou SMS en B2C ?
Le consentement préalable, au titre de l'article L. 34-5 du CPCE. Ce consentement doit être libre, spécifique, éclairé et univoque au sens du RGPD. Un consentement obtenu par un formulaire trompeur ne remplit pas ces conditions et ne peut donc pas fonder la prospection.
Quelles preuves conserver pour démontrer un consentement valable ?
Le formulaire d'origine tel qu'il a été affiché, la date et l'heure du recueil, la finalité annoncée, l'identification du responsable de traitement ou du secteur concerné, et la traçabilité de votre propre contrôle. Ces éléments doivent pouvoir être produits fichier par fichier, et non sous forme d'attestation globale.
Sécuriser vos pratiques avec K Center Formation
La conformité RGPD ne se limite pas à un document juridique. C'est une compétence opérationnelle, pour vos équipes marketing comme pour vos prestataires. Savoir lire un formulaire de collecte, bâtir une grille d'audit et constituer un dossier de preuves s'apprend.
K Center Formation accompagne les organisations sur la protection des données et la sécurité de l'information, 100 % à distance en classe virtuelle synchrone. Ce format est accessible depuis l'Hexagone comme depuis les DOM-TOM. Organisme certifié Qualiopi, prix nets de taxe.
- Protection des données — Essentials : 7 h pour poser les bases du RGPD avec vos équipes.
- GDPR Professional : 21 h pour piloter la conformité, dont la gestion des sous-traitants et des bases légales.
Découvrir nos formations · Nous contacter