RGPD et achat de leads : ce qu'il faut vérifier

RGPD et achat de leads forment un couple mal connu : la plupart des acheteurs découvrent leurs obligations au premier contrôle. Sept points se vérifient avant de signer, et ils tiennent tous dans le contrat.

L'essentiel

• Payer un contact ne crée aucun droit particulier sur lui : le RGPD s'applique comme si vous l'aviez collecté vous-même.
• Le fournisseur répond de la collecte, vous répondez de l'usage. Une facture ne prouve pas la licéité.
• La preuve de consentement décide si l'appel est licite, et depuis le 11 août 2026 c'est une condition, plus une bonne pratique.
• Si la mention d'information du formulaire désignait une autre société que la vôtre, le consentement obtenu ne couvre pas votre appel.
• Les durées de conservation sont à vous de fixer, de documenter et de respecter.

Ce que RGPD et achat de leads impliquent vraiment

Acheter un contact, c'est acquérir une donnée personnelle. Le nom, le téléphone, l'adresse et la nature du projet en sont, et le fait de les avoir payées ne crée aucun droit particulier sur elles. Le règlement s'applique de la même façon que si vous les aviez collectées vous-même.

Deux idées fausses circulent. La première voudrait que la responsabilité reste chez le fournisseur puisqu'il a recueilli le consentement. La seconde voudrait qu'une facture vaille preuve de licéité. Ni l'une ni l'autre ne tient devant la CNIL : celui qui exploite les contacts pour son propre compte en devient responsable, et une facture prouve un achat, pas un accord de la personne.

Le sujet a changé de nature en 2026. Le passage du démarchage téléphonique à l'opt-in a fait de la preuve de consentement la condition de légalité de l'appel, et non plus une bonne pratique. Un contact sans preuve n'est plus exploitable, quel que soit son prix.

Responsable de traitement ou sous-traitant : qui répond de quoi

Toute la répartition des risques se joue sur cette qualification, et le contrat doit la trancher noir sur blanc.

Dans le montage le plus courant, le fournisseur collecte pour son propre compte puis cède les contacts. Il est responsable de traitement pour la collecte, vous le devenez pour l'exploitation. Chacun répond de sa part, et vous ne pouvez pas vous abriter derrière la sienne.

Dans un montage en marque blanche, où les formulaires portent votre nom, la lecture s'inverse : le fournisseur agit sur vos instructions, donc en sous-traitant. Un contrat de sous-traitance au sens de l'article 28 devient alors obligatoire, avec ses mentions propres.

La conséquence pratique est simple. Si les mentions du formulaire désignent une entreprise et que les contacts sont exploités par une autre, le consentement recueilli ne couvre pas l'appel. C'est le défaut le plus fréquent en génération de leads, et il ne se voit qu'en lisant le formulaire d'origine.

La preuve de consentement, pièce maîtresse

Un fournisseur sérieux la joint à chaque ligne livrée. Elle doit contenir quatre éléments, et l'absence d'un seul la rend inutilisable.

• La date et l'heure exactes du recueil, horodatées.
• Le texte accepté mot pour mot, tel qu'il s'affichait, pas un résumé.
• La source, c'est-à-dire l'adresse de la page où le formulaire était présenté.
• Les canaux couverts, car un accord pour être rappelé ne vaut pas accord pour recevoir des messages.

Le dernier point mérite qu'on insiste. Un consentement doit être spécifique : il porte sur une finalité et sur des canaux nommés. Une case cochée pour « recevoir des informations » ne couvre pas un appel commercial, et une mention passe-partout ne se répare pas après coup.

Demandez à voir une preuve réelle sur un contact réel avant de signer. Un refus sur ce point vous en dira plus long que n'importe quelle plaquette.

Les mentions d'information : ce que le formulaire doit dire

Au moment de la collecte, la personne doit savoir qui traite ses données, pour quoi, combien de temps, et comment exercer ses droits. C'est une obligation d'information, indépendante du consentement.

Le point qui vous concerne directement est l'identité des destinataires. Si vous êtes destinataire, vous devez être identifiable, soit nommément, soit par une catégorie suffisamment précise pour que la personne comprenne à qui son dossier va partir. « Nos partenaires » ne suffit pas.

Sur les verticales où plusieurs entreprises reçoivent la même demande, ce que l'on appelle la semi-exclusivité, l'information doit le dire. Un prospect qui découvre qu'il a été transmis à quatre installateurs alors que le formulaire n'en laissait rien deviner a un motif de réclamation, et vous serez le premier à en entendre parler puisque c'est vous qui appelez.

Durée de conservation : combien de temps garder un prospect

Aucun texte ne fixe de durée universelle. Le principe est celui de la limitation : on conserve le temps nécessaire à la finalité, puis on supprime ou on anonymise. À vous de fixer la durée, de l'écrire et de la respecter.

Les usages du secteur retiennent des ordres de grandeur qu'un contrôle admet sans difficulté quand ils sont documentés.

Le troisième cas est celui qu'on rate le plus souvent. Supprimer purement et simplement une personne qui s'oppose à la prospection vous condamne à la rappeler dès qu'elle reviendra dans un lot de leads. Il faut au contraire garder le minimum permettant de l'exclure, et rien de plus.

Les droits des personnes, et qui les traite

Accès, rectification, effacement, opposition : ces droits s'exercent auprès de vous dès que vous exploitez les contacts. Une demande arrive rarement par écrit, elle arrive au téléphone, pendant un appel, et c'est votre commercial qui la reçoit.

Trois choses évitent que la situation dérape. Prévoir une adresse de contact dédiée et l'écrire dans vos mentions. Former les personnes qui appellent à reconnaître une opposition et à la consigner immédiatement dans le CRM. Et répondre dans le délai d'un mois, qui court dès la demande orale.

Le fournisseur doit vous prêter la main sur ce qui relève de sa collecte, en particulier pour produire la preuve d'origine. Cette obligation d'assistance se met au contrat, sinon elle n'existe pas.

Ce que le contrat doit prévoir

Sept clauses suffisent à couvrir l'essentiel, et leur absence est en soi un signal sur le sérieux du fournisseur de leads.

• La qualification des rôles, responsable ou sous-traitant, et pour quelle partie du traitement.
• La description de la collecte : canaux, nature des formulaires, texte de consentement type.
• La livraison de la preuve avec chaque contact, et son format.
• Les canaux autorisés par le consentement recueilli, explicitement listés.
• La durée de conservation chez le fournisseur, et le sort des données en fin de relation.
• L'assistance en cas de demande d'une personne ou de contrôle d'une autorité.
• La localisation des traitements, en particulier si un prestataire hors Union européenne intervient.

Un mot sur la dernière. Beaucoup de plateaux d'appel et d'outils de qualification travaillent depuis des pays hors Union européenne. Ce n'est pas interdit, mais cela suppose un encadrement des transferts. Un fournisseur qui ne sait pas répondre à la question « où sont traitées les données » n'a pas cartographié son propre dispositif.

Les vérifications à faire avant de signer

Cinq questions, posées dans cet ordre, écartent la majorité des offres à risque. Elles fonctionnent aussi bien pour des leads panneaux solaires que pour des leads mutuelle santé, où la donnée est plus sensible encore.

Que dit exactement le texte de consentement ? Quels canaux couvre-t-il ? Suis-je identifiable comme destinataire dans les mentions ? La preuve accompagne-t-elle chaque ligne ? Que devient ma base si j'arrête ?

Une réponse orale ne vaut rien sur ces cinq points. Demandez le texte, demandez un exemple de preuve, et faites entrer les réponses au contrat.

Ce que vous risquez, et ce qui déclenche un contrôle

La CNIL prononce des mises en demeure et des sanctions financières, la DGCCRF intervient sur le volet consommation et sur le démarchage. En pratique, un contrôle ne tombe presque jamais du ciel : il part d'une plainte.

La plainte type vient d'une personne appelée qui ne se souvient pas d'avoir rien demandé. C'est pourquoi la proportion de prospects sans souvenir de leur demande, que vous pouvez mesurer dès vos cinquante premiers appels, est à la fois un indicateur de qualité et un indicateur de risque. Au-delà de quelques pour cent, la source est en cause, et le problème n'est plus commercial.

Le registre des traitements et vos durées de conservation écrites sont les deux pièces que l'on vous demandera en premier. Les rédiger prend une demi-journée et change complètement la tenue d'un contrôle.

Une précision sur la chaîne de responsabilité, car elle surprend souvent. Si vous confiez le traitement de vos leads entrants à un plateau téléphonique extérieur, ce plateau devient votre sous-traitant, et vous répondez de ce qu'il fait. Ses scripts, ses horaires d'appel, la façon dont il consigne une opposition : tout cela vous est imputable. Cela vaut la peine de lui demander sa procédure avant de lui confier un fichier, et de la faire figurer au contrat au même titre que les engagements de production.

Enfin, gardez la trace de vos propres achats. Savoir quel lot vient de quel fournisseur, à quelle date et sous quelles mentions permet, en cas de plainte, d'isoler la source au lieu de suspecter toute la base. C'est aussi ce qui rend possible d'écarter un fournisseur sans jeter les contacts des autres.

Questions fréquentes

Peut-on acheter des leads en toute légalité en 2026 ?

Oui. L'achat de leads n'est pas visé en tant que tel, ce qui est encadré c'est la collecte du consentement et l'usage des données. Un contact recueilli sur un formulaire clair, avec un consentement spécifique aux canaux utilisés et une preuve conservée, s'exploite sans difficulté.

Le fournisseur est-il responsable à ma place ?

Non, et c'est le malentendu le plus coûteux. Il répond de sa collecte, vous répondez de votre exploitation. Si les mentions du formulaire ne vous désignaient pas comme destinataire, c'est votre appel qui est irrégulier, pas seulement sa collecte.

Faut-il un contrat de sous-traitance dans tous les cas ?

Non, seulement quand le fournisseur agit sur vos instructions, typiquement en marque blanche. Dans une cession classique, où il a collecté pour son compte, c'est un contrat de fourniture avec des clauses de protection des données qu'il faut, pas un article 28.

Que faire d'un contact livré sans preuve de consentement ?

Ne pas l'appeler, et le réclamer au fournisseur au titre de la politique de remplacement. Un lead sans preuve est un lead non conforme, à condition que votre contrat le définisse ainsi, ce qui est exactement la raison d'écrire cette définition avant de démarrer.

Combien de temps garder la preuve elle-même ?

Aussi longtemps que vous prospectez sur la base de ce consentement, puisque son intérêt est de pouvoir être produite. La supprimer avant les contacts qu'elle justifie revient à se démunir de son propre moyen de défense.

Pour aller plus loin

Le cadre général de l'achat est traité dans le guide de l'achat de leads qualifiés. Sur la règle entrée en vigueur cet été, voir ce qui change pour le démarchage téléphonique. Et sur la façon de contrôler un prestataire au-delà du seul volet juridique, voir les critères pour choisir un fournisseur. Le texte lui-même est consultable sur Légifrance, et les recommandations de la CNIL sur la prospection commerciale complètent utilement la lecture.