Une idée fausse circule dans les cabinets qui achètent des leads : celle selon laquelle la conformité RGPD est le problème du fournisseur, et qu'une clause de garantie dans le contrat suffit à s'en protéger. La CNIL a tranché le contraire, et le prix de cette erreur est public : 310 000 € d'amende pour une société d'assurance qui exploitait des données achetées à des courtiers en données, sans avoir vérifié la validité du consentement recueilli en amont.
Cet article n'est pas un rappel du régime du consentement téléphonique — nous l'avons traité ailleurs. Il porte sur la question précédente, et plus structurante : qui est juridiquement responsable de quoi, et ce qu'un cabinet doit concrètement contrôler chez son fournisseur avant de signer.
Êtes-vous responsable de traitement quand vous achetez un lead ?
Oui, dès l'instant où vous exploitez le fichier pour votre propre prospection. Ce n'est pas une option contractuelle : c'est une qualification objective. Le RGPD définit le responsable de traitement comme celui qui détermine les finalités et les moyens du traitement. Un cabinet qui décide d'appeler ces contacts, pour vendre ses propres produits, selon sa propre méthode, remplit cette définition sans discussion possible.
Trois conséquences directes, qui pèsent sur le cabinet et non sur le fournisseur :
- La base légale du traitement doit exister de votre côté. Si le consentement recueilli en amont est invalide, votre prospection est dépourvue de base légale, quelle qu'ait été votre bonne foi.
- L'information des personnes vous incombe. Lorsque les données ne sont pas collectées directement auprès de la personne, une information doit lui être fournie, en principe dans un délai raisonnable et au plus tard lors de la première communication.
- Les droits s'exercent auprès de vous. Opposition, accès, effacement : le prospect s'adresse au cabinet qui l'appelle, pas au courtier en données qu'il ne connaît pas.
Le RGPD n'organise pas un régime d'autorisation, il organise un régime de responsabilité. Acheter un fichier est licite ; ne pas vérifier ce qu'on achète ne l'est pas.
Sous-traitant, responsable conjoint ou responsables distincts ?
C'est l'erreur de qualification la plus fréquente, et elle produit des contrats inutilisables. Beaucoup de cabinets font signer à leur fournisseur de leads un contrat de sous-traitance au sens de l'article 28 du RGPD. Dans la majorité des cas, cette qualification est fausse.
| Configuration | Qui décide des finalités | Contrat approprié | Cas typique en assurance |
|---|---|---|---|
| Sous-traitance (art. 28) | Le cabinet seul ; le prestataire agit sur instruction | Contrat de sous-traitance | Un prestataire qui gère votre formulaire sur votre site |
| Responsables conjoints (art. 26) | Les deux, ensemble, sur une même opération | Accord de responsabilité conjointe | Co-branding, opération marketing menée à deux |
| Responsables distincts | Chacun pour son propre traitement | Contrat de cession ou de licence de données | Fournisseur qui collecte pour son compte puis cède le lead |
La troisième ligne est celle qui décrit la marketplace de leads : le fournisseur collecte pour son propre compte, selon ses finalités, puis transmet la donnée ; le cabinet la traite ensuite pour les siennes. Ce sont deux traitements successifs, avec deux responsables distincts. Faire signer un contrat de sous-traitance dans cette configuration ne protège de rien — pire, il décrit une réalité qui n'existe pas, ce qui affaiblit le dossier en cas de contrôle.
Ce que la sanction FORIOU a réellement jugé
Le 31 janvier 2024, la formation restreinte de la CNIL a prononcé une amende de 310 000 € à l'encontre de la société FORIOU (délibération n° SAN-2024-003). L'entreprise menait des campagnes de prospection téléphonique pour ses programmes de fidélité, à partir de données achetées à des courtiers en données et à des éditeurs de sites de jeux-concours et de tests de produits.
Deux motifs, et ce sont eux qui intéressent tout acheteur de leads :
- Les formulaires de collecte en amont étaient trompeurs. Leur apparence ne permettait pas de recueillir un consentement valable : la personne ne comprenait pas qu'elle acceptait d'être démarchée.
- FORIOU n'était pas systématiquement nommée dans la liste des partenaires susceptibles de solliciter les personnes. Or un consentement à la prospection n'est valable que s'il désigne les destinataires : un renvoi générique à des « partenaires » ne suffit pas.
Faute de consentement valable, la société ne disposait d'aucune base légale au sens de l'article 6 du RGPD. La leçon opérationnelle est la suivante : la CNIL a sanctionné l'utilisateur final des données, pas seulement le collecteur. Et un engagement contractuel du fournisseur n'a pas été retenu comme une mesure suffisante : il organise le recours de l'acheteur contre son fournisseur, il ne déplace pas la responsabilité vis-à-vis de l'autorité de contrôle.
Les huit points à auditer chez votre fournisseur
L'audit se fait avant l'achat, et il se documente. Un cabinet qui peut produire ces éléments démontre la vérification effective exigée par la doctrine de la CNIL ; un cabinet qui ne détient qu'une clause de garantie ne démontre rien.
| # | Point à vérifier | Pièce à obtenir | Signal d'alerte |
|---|---|---|---|
| 1 | Le formulaire de collecte réel | Capture datée de la page source | Refus de communiquer l'URL source |
| 2 | Votre raison sociale citée nommément | Liste des destinataires affichée | Mention générique « nos partenaires » |
| 3 | Case de consentement non pré-cochée | Copie du formulaire | Consentement par défaut ou par inaction |
| 4 | Finalité explicite de prospection | Libellé exact de la mention | Finalité noyée dans les CGU |
| 5 | Preuve horodatée par lead | Date, heure, URL, libellé consenti | Preuve « disponible sur demande » sans exemple |
| 6 | Nature du site collecteur | Identité de l'éditeur | Jeux-concours et tests produits, contexte à haut risque |
| 7 | Durée de conservation du consentement | Politique écrite | Base sans date de recueil |
| 8 | Traitement des oppositions déjà exprimées | Procédure de purge | Aucun mécanisme de remontée |
Le point 6 mérite un mot. Ce n'est pas la nature du site qui est illicite, c'est le décalage entre ce que la personne croit faire — participer à un jeu, tester un produit — et ce à quoi elle consent. C'est exactement le grief retenu dans l'affaire FORIOU. Un lead issu d'un comparateur d'assurance, où la personne a explicitement demandé à être rappelée pour un devis, ne présente pas le même profil de risque qu'un lead issu d'un formulaire de tirage au sort.
Ce que votre contrat doit prévoir — et ce qu'il ne peut pas faire
Un bon contrat ne vous exonère pas ; il vous permet de vous retourner et il documente votre diligence. Quatre clauses utiles :
- La description exacte de la source, par campagne : type de site, URL, libellé de la mention de consentement. Une source qui change doit faire l'objet d'une information.
- La fourniture systématique de la preuve de consentement attachée à chaque lead, et non sur demande. C'est la différence entre une preuve exploitable et une preuve théorique.
- Un droit d'audit et de rebut : possibilité de refuser et de faire rembourser un lead dont la preuve est absente ou incohérente. Nous détaillons ce mécanisme dans notre article sur les leads invalides et le taux de rebut.
- Une clause de garantie et d'indemnisation couvrant les conséquences financières d'une non-conformité imputable au fournisseur. Utile — mais uniquement entre les parties.
Ce qu'aucune clause ne peut faire : vous dispenser de la vérification, ni transférer votre qualité de responsable de traitement. La formulation la plus courante — « le fournisseur garantit que les données ont été collectées conformément au RGPD » — est nécessaire et très insuffisante si elle constitue l'unique mesure prise.
Ce qu'il faut conserver côté cabinet
Trois éléments à tenir à jour, indépendamment du fournisseur :
- Le registre des activités de traitement, avec une entrée dédiée à la prospection sur données acquises : finalité, catégories de personnes, source, durée de conservation, destinataires.
- La trace de l'audit fournisseur, datée : ce que vous avez demandé, ce qui vous a été communiqué, ce que vous en avez conclu. C'est cette pièce qui matérialise la vérification.
- Une politique de conservation écrite, cohérente avec la durée de validité du consentement. Sur ce point, notre article sur la durée de validité du consentement téléphonique détaille les échéances applicables, et notre analyse du nouveau régime du démarchage précise le cadre des appels.
Un dernier repère pour arbitrer entre fournisseurs : le prix au lead ne dit rien du risque porté. Un lead à 12 € issu d'un formulaire opaque, revendu à cinq cabinets, expose davantage qu'un lead à 45 € issu d'une demande de devis explicite et livré avec sa preuve horodatée. La conformité n'est pas une ligne de coût séparée : c'est un critère de sélection du fournisseur, au même titre que le taux de transformation.
*Cet article présente le cadre applicable au traitement de données de prospection. Il ne constitue pas un conseil juridique individualisé et ne dispense pas de l'analyse de votre propre configuration.*