Blog

Achat ou location de fichiers de prospection : ce que le RGPD exige avant d'utiliser une base de contacts achetee

Publie le 10/11/2026 · Temps de lecture : 9 min

Un salon professionnel qui propose la liste des visiteurs, un courtier en donnees qui vend des listes d'emails segmentees par secteur d'activite, un prestataire qui « loue » un fichier de prospects pour une seule campagne : ces pratiques sont courantes et parfaitement legales dans leur principe. Mais l'entreprise qui achete ou loue ce fichier devient, du point de vue du RGPD, responsable de traitement pour sa propre utilisation des donnees qu'il contient, exactement comme si elle les avait collectees elle-meme. Elle ne peut pas se contenter de recevoir un fichier Excel et de lancer sa campagne sans verification.

Cet article detaille ce que le RGPD impose concretement avant, pendant et apres l'acquisition d'un fichier de prospection auprès d'un tiers, pour une TPE ou une PME francaise.

Sommaire

• 1. Acheter un fichier ne vous exonere pas de vos obligations
• 2. Verifier la licéité de la collecte initiale avant d'acheter
• 3. L'obligation d'information de l'article 14 du RGPD
• 4. Quelle base legale pour exploiter un fichier achete ?
• 5. Ce qu'il faut exiger du vendeur par ecrit
• 6. Le cas particulier du demarchage telephonique et Bloctel
• Questions frequentes

1. Acheter un fichier ne vous exonere pas de vos obligations

Le RGPD distingue deux moments de responsabilite bien separes. Le premier concerne le vendeur ou le courtier en donnees : c'est lui qui a collecte les coordonnees a l'origine, et c'est a lui de pouvoir justifier la base legale de cette collecte initiale. Le second concerne votre entreprise : a partir du moment ou vous recevez le fichier et que vous decidez de vous en servir pour contacter ces personnes, vous devenez vous-meme responsable de traitement pour cette nouvelle finalite (la prospection), au sens de l'article 4.7 du RGPD.

Concretement, cela signifie que vous ne pouvez pas invoquer l'argument « ce n'est pas moi qui ai collecte ces donnees » en cas de controle de la CNIL. Elle examinera votre propre traitement : avez-vous une base legale pour envoyer cet email ou passer cet appel, avez-vous informe la personne, respectez-vous son droit d'opposition. Le fait que le fichier provienne d'un tiers, meme reputee serieuse, ne vous dispense d'aucune de ces obligations.

Avant le 25 mai 2018, date d'entree en application du RGPD, la CNIL encadrait ces traitements via des formalites prealables (declarations, autorisations, normes simplifiees). Ces formalites ont ete supprimees au profit du principe de « responsabilisation » (accountability) : il n'y a plus de declaration a envoyer a la CNIL avant de lancer une campagne, mais l'entreprise doit pouvoir demontrer elle-meme, a tout moment et sans prealable, que son traitement est conforme.

2. Verifier la licéité de la collecte initiale avant d'acheter

Avant de signer un contrat d'achat ou de location de fichier, une verification minimale s'impose, meme pour une petite structure qui n'a ni juriste ni DPO dedie. Trois questions concretes a poser au vendeur :

• Comment les donnees ont-elles ete collectees a l'origine (formulaire en ligne, salon, inscription a un jeu-concours, extraction de sources publiques) ?
• Les personnes concernees ont-elles ete informees, au moment de la collecte, que leurs donnees pourraient etre cedees, vendues ou louees a des tiers a des fins de prospection commerciale ?
• Depuis combien de temps le fichier existe-t-il, et a-t-il ete mis a jour (une base de plusieurs annees cumule un taux d'adresses obsoletes et de personnes qui se sont deja opposees ailleurs) ?

Un vendeur serieux doit pouvoir repondre clairement a ces trois points, idealement par ecrit dans le contrat de cession ou de location. Un refus de repondre, ou une reponse evasive, est un signal fort que le fichier a ete constitue sans base legale valable, par exemple par extraction massive de donnees publiques (scraping) sans information des personnes, ou par cumul de consentements donnes pour une toute autre finalite.

3. L'obligation d'information de l'article 14 du RGPD

Quand vous collectez une donnee directement auprès d'une personne (formulaire sur votre site), c'est l'article 13 du RGPD qui s'applique : l'information est donnee au moment de la collecte. Quand vous recevez une donnee par un autre canal, c'est l'article 14 qui s'applique, et c'est exactement le cas d'un fichier achete ou loue.

L'article 14.3 du RGPD fixe un delai precis pour delivrer cette information : au plus tard un mois apres l'obtention des donnees, ou, si elles doivent servir a communiquer avec la personne, au plus tard lors de la premiere communication avec elle. En pratique pour une campagne de prospection, cela signifie que le premier email ou le premier appel doit lui-meme porter cette information : qui vous etes, comment vous avez obtenu ses coordonnees (y compris le nom du fournisseur du fichier), la finalite du traitement, et la maniere d'exercer ses droits, en particulier le droit de s'opposer a tout envoi ultérieur.

Omettre cette information revient a traiter des donnees dans une totale opacite pour les personnes concernees, ce qui constitue precisement le manquement le plus frequemment releve par la CNIL sur ce type de dossier : non pas l'achat du fichier lui-meme, mais l'absence totale d'information des personnes qui s'ensuit.

4. Quelle base legale pour exploiter un fichier achete ?

L'article 6 du RGPD exige une base legale pour chaque traitement. Pour la prospection sur un fichier de tiers, deux bases sont generalement invoquees, selon la nature des destinataires :

• En B2B (prospection auprès de professionnels, sur leur adresse email professionnelle), l'interet legitime de l'entreprise (article 6.1.f) peut constituer une base valable, a condition de realiser un test de mise en balance : l'interet commercial poursuivi ne doit pas porter une atteinte disproportionnee aux droits de la personne contactee, qui doit pouvoir s'y opposer facilement et gratuitement a tout moment.
• En B2C (particuliers), le consentement prealable et specifique de la personne est en principe requis pour une communication par voie electronique (email, SMS). Cela signifie concretement qu'un fichier B2C achete doit avoir ete constitue avec un consentement explicite a la reutilisation par des tiers, et non avec une simple inscription a un service du vendeur d'origine.

Dans tous les cas, le droit d'opposition prevu par l'article 21.2 du RGPD est absolu pour la prospection : une personne peut s'y opposer sans justification et sans frais, et l'entreprise doit cesser immediatement tout envoi vers elle, y compris si elle estimait avoir une base legale valable au depart.

5. Ce qu'il faut exiger du vendeur par ecrit

Pour pouvoir demonstrer sa conformite en cas de controle, une TPE ou une PME qui achete ou loue un fichier devrait conserver, au minimum, les elements suivants, idealement annexes au contrat d'achat ou de location :

• la date d'acquisition du fichier et l'identite complete du vendeur ou du courtier ;
• une description ecrite de la methode de collecte initiale des donnees ;
• la preuve que les personnes ont ete informees, lors de la collecte, d'une possible cession ou location a des tiers ;
• la date de derniere mise a jour du fichier ;
• l'engagement contractuel du vendeur sur la conformite RGPD de sa propre collecte.

Cette documentation constitue votre preuve d'accountability : en cas de plainte d'une personne contactee ou de controle de la CNIL, c'est a votre entreprise de demontrer qu'elle a fait preuve de diligence avant d'utiliser ce fichier, et non a la CNIL de prouver le contraire.

6. Le cas particulier du demarchage telephonique et Bloctel

Pour les fichiers de numeros de telephone destines a des appels de prospection, une obligation specifique s'ajoute au RGPD : la loi du 17 mars 2014 relative a la consommation (loi Hamon) a cree Bloctel, la liste d'opposition au demarchage telephonique. Avant toute campagne d'appels, le Code de la consommation impose de comparer le fichier a Bloctel et de retirer les numeros inscrits, sauf si la personne est deja client et n'a pas exprime de refus specifique.

Cette obligation de purge s'applique que le fichier ait ete collecte en interne ou achete a un tiers : un fichier de telephones achete n'est jamais « pre-purge » de Bloctel par defaut, cette verification reste a la charge de l'entreprise qui realise les appels. Le non-respect de cette regle est sanctionne par la DGCCRF (et non par la CNIL) sur le fondement du Code de la consommation, independamment d'une eventuelle sanction RGPD pour defaut d'information ou absence de base legale.

Pour aller plus loin sur les regles de consentement applicables a vos propres campagnes d'emailing, une fois le fichier verifie et documente, consultez notre guide complet sur l'e-mailing et le RGPD en B2B et B2C.

Questions frequentes

A lire aussi

E-mailing & prospection

E-mailing et RGPD : les regles d'opt-in a respecter en B2C et en B2B

Lire

Profilage & decisions automatisees

Decision automatisee et profilage (article 22 du RGPD) : ce qu'une TPE ou PME doit savoir

Lire

SMS & prospection

Prospection par SMS : les regles RGPD specifiques que l'e-mailing ne couvre pas

Lire