Fichiers de prospection : le consentement ne s’achète pas

1. Une décision publiée cette semaine, et une phrase qui vaut pour tout le monde

Le 24 septembre 2026, la CNIL a publié une décision discrète : la clôture d’une injonction prononcée seize mois plus tôt contre la société SOLOCAL MARKETING SERVICES. Pas de nouvelle amende, pas de communiqué fracassant. Et pourtant, cette décision contient l’une des phrases les plus utiles de l’année pour une entreprise qui prospecte.

Rappel des faits. En mai 2025, la CNIL avait infligé à cette société une amende de 900 000 euros, rendue publique, pour avoir démarché des prospects sans consentement valable et transmis leurs données à des partenaires sans base légale. Au-delà de l’amende, elle lui avait ordonné de cesser toute prospection électronique dépourvue de consentement valable, dans un délai de neuf mois, sous peine d’une astreinte de 10 000 euros par jour de retard.

Par délibération du 17 septembre 2026, la CNIL a constaté que la société avait tenu ce délai. Elle a mis en place une analyse automatisée des formulaires de collecte de ses partenaires, complétée par une appréciation humaine. Mesures jugées satisfaisantes, astreinte non liquidée, injonction close.

Mais la formation restreinte ajoute une réserve qui, elle, s’applique à n’importe quelle entreprise : même avec ces mécanismes de contrôle, la société reste responsable de la validité des consentements recueillis, pour son compte, par ses partenaires. Sa responsabilité pourrait toujours être recherchée si des formulaires non valides échappaient à son contrôle.

Traduisez : vous pouvez sous-traiter la collecte, jamais la responsabilité. C’est vrai pour un groupe qui envoie des millions de messages. C’est tout aussi vrai pour un artisan qui achète 2 000 adresses pour annoncer son ouverture.

2. D’où viennent réellement les adresses que l’on vous vend

La CNIL décrit précisément le circuit dans sa décision de mai 2025 : les données étaient collectées via des formulaires de participation à des jeux-concours ou à des tests de produits, sur différents sites web.

Le point intéressant est la nature du manquement. Il ne s’agissait pas d’une case oubliée ou d’une mention absente, mais de ce que la CNIL nomme l’apparence trompeuse des formulaires. Le bouton qui déclenchait l’utilisation des données à des fins de prospection était mis en valeur par sa taille, sa couleur, son intitulé et son emplacement. Le lien permettant de participer au jeu sans accepter cette utilisation était, lui, d’une taille nettement inférieure et se confondait avec le corps du texte. Conclusion de la CNIL : cette présentation pousse fortement l’utilisateur à accepter, donc le consentement n’est ni libre ni univoque.

Pour un dirigeant, la conséquence est très concrète, et elle dépasse le droit. La personne dont vous avez acheté l’adresse voulait gagner un lot ou tester un produit. Elle n’a jamais voulu recevoir votre offre. Votre message arrive chez quelqu’un qui ne vous attend pas, ne vous connaît pas, et vous associera à un courrier indésirable. Vous payez pour dégrader votre propre réputation.

3. La règle, en clair

La matière paraît compliquée parce qu’elle relève de deux textes à la fois : l’article L. 34-5 du code des postes et des communications électroniques pour le principe, le RGPD pour la qualité et la preuve du consentement. En pratique, tout tient dans cinq situations.

Sur ce dernier point, nous avions détaillé le nouveau régime dans notre article consacré au démarchage téléphonique depuis le 11 août 2026. La logique est désormais la même partout : on ne contacte pas quelqu’un qui ne l’a pas demandé.

4. La preuve : le point sur lequel les entreprises tombent

L’article 7 du RGPD tient en une ligne : le responsable de traitement doit être en mesure de démontrer que la personne a consenti. Ce n’est pas à la CNIL de prouver l’absence de consentement, c’est à vous de prouver sa présence.

Dans l’affaire jugée, c’est précisément ce qui a manqué. La société n’a pas pu fournir la preuve du consentement des personnes transmises par l’un de ses principaux fournisseurs : la CNIL n’a donc même pas pu examiner les formulaires en cause. Pire, après avoir constaté que ce partenaire ne pouvait pas lui fournir cette preuve, l’entreprise a attendu près de dix-sept mois avant de cesser d’utiliser les données concernées.

Une preuve utilisable contient cinq éléments : la date et l’heure, le libellé exact qui était affiché à ce moment-là, l’adresse de la page, la finalité acceptée, et l’identité de l’organisme qui a collecté. Une colonne « opt-in : oui » dans un tableur n’est pas une preuve. Un engagement contractuel du vendeur non plus : la CNIL a jugé que les exigences contractuelles imposées aux fournisseurs, en amont, et les vérifications affirmées en aval étaient manifestement insuffisantes.

5. « Cela ne concerne que les grands groupes » : les chiffres disent le contraire

C’est l’objection qui revient à chaque rendez-vous, et elle est compréhensible : les montants dont la presse parle sont ceux des géants. Le bilan 2025 de la CNIL, publié le 9 février 2026, invite à regarder autrement.

En 2025, la CNIL a rendu 259 décisions : 83 sanctions, 143 mises en demeure, 31 rappels aux obligations légales et 2 avertissements, pour un montant cumulé de 486 839 500 euros. Mais la répartition compte davantage que le total. Sur ces 83 sanctions, 16 seulement ont été prononcées par la formation restreinte selon la procédure ordinaire, celle dont on parle. Les 67 autres l’ont été dans le cadre de la procédure simplifiée, réservée aux affaires qui ne présentent pas de difficulté particulière. La prospection, commerciale ou politique, a donné lieu à 10 décisions de sanction. Et 14 organismes, sociétés comme professionnels libéraux, ont été sanctionnés pour un motif d’une banalité confondante : n’avoir pas répondu aux demandes de la CNIL.

Dans cette procédure simplifiée, les ordres de grandeur changent : le plafond de l’amende est de 20 000 euros lorsque le chiffre d’affaires de l’entreprise est inférieur à 50 millions d’euros, avec une injonction possible sous astreinte de 100 euros par jour de retard au maximum. Ce n’est pas 150 millions. C’est un montant qui met une entreprise de cinq personnes en grande difficulté, pour un dossier traité par écrit, sans audience, en quelques mois.

6. Six gestes pour une prospection qui tient debout

1. Écrire d’où vient chaque contact. Deux colonnes dans votre fichier suffisent : source et date. Si vous ne savez pas répondre à la question « d’où sort cette adresse ? », vous ne saurez pas non plus y répondre devant une personne mécontente.
2. Une case à cocher dédiée, jamais pré-cochée. Elle ne dit pas « j’accepte les conditions », elle dit ce qui va réellement se passer : recevoir des offres, par quel canal, de la part de qui.
3. Archiver la preuve au moment de l’envoi du formulaire. Le libellé affiché, l’horodatage, la page. Cela se paramètre une fois sur un site et ne coûte plus rien ensuite.
4. Un lien de désinscription qui fonctionne vraiment, présent dans chaque message, avec l’identité de l’expéditeur clairement lisible.
5. Tenir une liste repoussoir. Quand une personne s’oppose, ne la supprimez pas purement et simplement : conservez le strict minimum dans une liste d’exclusion. Sans quoi elle reviendra au prochain import, et vous recommencerez à la démarcher après lui avoir promis le contraire.
6. Si vous achetez malgré tout, exigez le nom du site collecteur, une copie d’écran du formulaire à la date de collecte, et l’engagement écrit de vous fournir la preuve individuelle à la demande. Puis rappelez-vous que rien de tout cela ne vous décharge.

Num Compagny accompagne les TPE et les PME sur ces sujets très concrets : mettre un formulaire de contact en conformité, tracer l’origine de ses contacts, écrire une procédure de prospection lisible par tous, former les équipes qui envoient les campagnes. Retrouvez nos formations professionnelles et nos accompagnements sur mesure.