Un courtier vous propose 50 000 contacts BtoC pour quelques milliers d'euros. Ou à l'inverse, votre entreprise souhaite céder son fichier clients à un partenaire commercial. Dans les deux cas, vous ne manipulez pas de simples lignes Excel, vous manipulez des données personnelles. La CNIL a sanctionné plusieurs entreprises depuis 2022 pour des transferts de fichiers mal encadrés, incluant des responsables de traitement et plusieurs courtiers en données. Une nouvelle sanction est tombée en mai 2025 sur ce même sujet (.)
Il est donc déterminant de connaître, avant de signer, ce que le RGPD autorise, ce qui reste interdit, et qui porte la responsabilité en cas de contrôle. Cet article détaille les vérifications à effectuer côté vendeur ; les précautions à prendre côté acheteur ; ainsi que les règles propres à chaque canal de communication : email, téléphone, courrier postal.
Qu’est-ce qu’un fichier de prospection au sens juridique ?
Un fichier de prospection regroupe les coordonnées de clients ou de prospects : nom, email, téléphone, adresse postale. Dès qu'une personne physique est identifiable, ces données relèvent du RGPD.
Une adresse email avec un nom et prénom identifie de manière directe la personne. Sont également concernées les adresses avec un pseudo, car elle se réfère à une personne précise, indirectement identifiable à sa lecture mais dont le recoupement avec des données dans votre base CRM rendent la personne directement identifiable.
A noter qu’une adresse générique comme contact@entreprise.fr n'est pas concernée, car elle ne se rattache pas à un individu identifiable. Une adresse nominative comme prenom.nom@entreprise.fr, constitue pleinement une donnée personnelle.
Vendre, louer ou transmettre un tel fichier constitue un traitement de données à part entière. Ce traitement doit respecter les principes de l'article 5 du RGPD : la loyauté de la collecte, la limitation des finalités, et la minimisation des données. La CNIL le rappelle régulièrement : seuls les fichiers constitués dès le départ dans le respect de la réglementation peuvent faire l'objet d'une vente ou d'un transfert.
Que vérifier avant de vendre un fichier de prospection ?
Vous êtes vendeur : avant toute transmission, vous devez passer votre fichier au crible de plusieurs règles.
Le fichier ne doit contenir que des données à jour et légitimes :
Vous ne transmettez que les contacts de clients actifs. Les données conservées uniquement à des fins administratives, comme la comptabilité ou un contentieux, restent chez vous et ne partent pas dans le fichier cédé. Selon la doctrine de la CNIL, les données de prospection peuvent être conservées pendant trois ans après la fin de la relation commerciale ou le dernier contact. Passé ce délai, elles doivent être supprimées, y compris avant une vente.
Vous devez avoir exclu les personnes qui se sont opposées :
Toute personne inscrite en opposition à la prospection postale ou téléphonique doit être exclue du fichier avant sa transmission. Il en va de même pour les personnes qui n'ont pas consenti à la prospection électronique.
La CNIL distingue deux situations, selon ce qui a été dit au client au moment de la collecte :
Si l'identité de l'acquéreur figurait déjà, au moment de la collecte, dans la liste des partenaires susceptibles de recevoir les données, l'acquéreur peut démarcher directement les personnes ayant consenti à cette transmission.
Si l'identité de l'acquéreur n'était pas connue au moment de la collecte, l'acquéreur doit recueillir lui-même un nouveau consentement avant toute action de prospection électronique.
Si le fichier sert uniquement à de la prospection postale ou téléphonique, l'intérêt légitime peut suffire comme base légale, sous réserve d'informer les personnes et de leur permettre de s'opposer facilement.
Ce découpage détermine si l'acheteur peut prospecter dès la réception du fichier, ou s'il doit d'abord repasser par une collecte de consentement.
Les règles changent en fonction du canal utilisé
Un même fichier peut alimenter plusieurs canaux de prospection. Chaque canal a ses propres règles.
Email et SMS : opt-in en BtoC, opt-out encadré en BtoB.
Pour prospecter un particulier par email ou SMS, vous avez besoin de son consentement préalable, sauf s'il est déjà client pour un produit analogue. C'est le principe de l'opt-in, transposé en droit français à l'article L34-5 du Code des postes et des communications électroniques.
Pour prospecter un professionnel sur son adresse nominative, la CNIL admet l'intérêt légitime comme base légale, sans consentement exprès. Deux conditions cumulatives s'appliquent néanmoins : le message doit porter sur l'activité professionnelle du destinataire, et la personne doit avoir été informée, dès la collecte, de son droit de s'y opposer simplement et gratuitement.
Attention, suite aux recommandations relatives aux pixels de juillet 2026, le consentement est requis également en BtoB dans le cadre de la collecte de données via des Pixel espion dans le cadre de campagnes e-mail de prospection commerciale (Cf. Article 6 de cet article).
Téléphone : un cadre en pleine mutation jusqu'en août 2026.
Jusqu'au 10 août 2026, la prospection téléphonique restait autorisée du lundi au vendredi hors jours fériés, de 10 heures à 13 heures et de 14 heures à 20 heures. Vous devez purger votre fichier des numéros inscrits sur la liste d'opposition Bloctel avant toute campagne.
La loi n° 2025-594 du 30 juin 2025 change radicalement ce cadre à compter du 11 août 2026. Le principe s'inverse : il devient interdit de démarcher par téléphone un consommateur qui n'a pas donné son consentement préalable. Une seule exception subsiste : l'appel qui s'inscrit dans l'exécution d'un contrat en cours, à condition qu'il se rattache à l'objet de ce contrat. La loi précise que cela inclut les produits ou services afférents ou complémentaires à ce contrat, ou de nature à en améliorer la performance. Cette formulation reste débattue : un amendement visant à exiger un rapport « direct » avec le contrat a été déposé en février 2025, puis rejeté à l'Assemblée nationale. Une banque pourrait donc, en théorie, continuer à solliciter un client sur un contrat d'assurance ou de téléphonie mobile, si elle le présente comme complémentaire à son compte courant ou à son épargne. La portée exacte de cette exception reste donc à préciser par la doctrine et, le cas échéant, par la jurisprudence.
Le décret n° 2026-662 du 23 juillet 2026, publié au Journal officiel le 25 juillet 2026, encadre les modalités pratiques de ce nouveau régime. Le consentement doit résulter d'un acte positif clair : une case décochée par défaut convient, une case précochée ou une simple inaction ne suffisent pas. Il reste valable un an maximum, et vous devez en conserver la preuve pendant trois ans. Le service Bloctel a cessé son activité à cette date. La charge de la preuve du consentement pèsera désormais sur le professionnel, pas sur le consommateur.
Concrètement, si vous achetez aujourd'hui un fichier destiné à des campagnes téléphoniques BtoC, vérifiez sa date d'exploitation prévue. Un fichier valide en juillet 2026 peut devenir inutilisable dès le mois suivant, faute de consentement documenté.
La prospection téléphonique BtoB, elle, n'est pas concernée par cette réforme et reste fondée sur l'intérêt légitime.
»» Pour en savoir plus, consultez notre note explicative sur les recommandations pour la prospection téléphonique.
Courrier postal : la voie la plus souple.
La prospection postale reste la moins contrainte. L'intérêt légitime suffit comme base légale. Vous devez simplement informer les personnes de cet usage et leur offrir un moyen simple et gratuit de s'y opposer, à tout moment.
Cas particuliers
Le courtage de données
Certains fichiers ne sont pas cédés une fois, mais exploités en continu par des courtiers en données, aussi appelés data brokers. La CNIL a fait de ce secteur une priorité de contrôle depuis 2022. Plusieurs sanctions se sont enchaînées : contre des courtiers en 2023 et 2024, puis contre un opérateur en mai 2025.
Ces décisions convergent sur un point : le courtier qui définit lui-même les critères de constitution de sa base, les sources utilisées et les modalités de conservation est qualifié de responsable de traitement, pas de simple intermédiaire technique. Il porte donc sa propre responsabilité, distincte de celle de ses clients annonceurs. Si vous achetez un segment de données à un tel courtier, exigez un contrat précisant les bases légales mobilisées et les modalités de recueil du consentement pour chaque catégorie de contact.
Les pixels de suivi : un consentement à part entière
Depuis la recommandation de la CNIL du 14 avril 2026 (délibération n° 2026-042 du 12 mars 2026), insérer un pixel de suivi dans un email de prospection relève de l'article 82 de la loi Informatique et Libertés et suppose le consentement préalable du destinataire.
Ce régime est autonome de celui de l'envoi : un message parfaitement licite mais peut contenir un pixel qui, lui, exige un consentement spécifique. Ce point est décisif quand vous exploitez une liste achetée ou louée.
Le vendeur a presque toujours recueilli, au mieux, un consentement à la prospection, jamais un consentement au suivi des ouvertures. Vous ne pouvez donc pas présumer en disposer.
Vous avez deux options, vous pouvez envoyer des emails sans pixel de mesure d'ouverture, ou adresser d'abord un email dédié, exempt de tout traceur, sollicitant ce consentement.
Par exception, il demeure possible de poser un pixel sans consentement pour mesurer uniquement la délivrabilité et pour la finalité de purger les contacts inactifs, à condition de se limiter à la date de dernière ouverture.
Dans tous les cas, la charge de la preuve pèse sur l’utilisateur de la base de données : une clause par laquelle le vendeur garantit avoir recueilli le consentement ne suffit pas, vous devez démontrer, contact par contact, qui a consenti, quand et comment. Depuis le 14 juillet 2026, la période d'adaptation est close et la CNIL peut contrôler sur le fondement de l'article 82.
»» Pour en savoir plus, consultez notre note explicative sur les traceurs et pixels.
Ce qu’il faut retenir
Vendre ou acquérir un fichier de prospection reste possible, à condition de respecter des règles précises et documentées.
Seul un fichier constitué dans le respect du RGPD dès l'origine peut être cédé, et il ne doit contenir que des contacts actifs, purgés des personnes ayant fait opposition.
L'acheteur doit vérifier la conformité de la collecte initiale et informer les personnes concernées, en application de l'article 14 du RGPD, sauf si cette information a déjà été donnée par le vendeur.
Les règles diffèrent selon le canal : opt-in pour l'email et le SMS BtoC, opt-out encadré pour le BtoB, et un cadre téléphonique qui a basculé vers le consentement préalable généralisé depuis le 11 août 2026.
La responsabilité se répartit entre tous les acteurs de la chaîne : vendeur, courtier et acheteur final peuvent chacun être sanctionnés pour leur propre manquement.
Vous hésitez sur la conformité d’un fichier avant transaction ?
La Robe Numérique accompagne les entreprises et les organisations publiques dans l'audit de leurs fichiers de prospection, la sécurisation contractuelle des cessions de données, et la mise en conformité RGPD de leurs campagnes commerciales.
Contactez notre équipe pour un diagnostic de vos pratiques avant toute vente ou acquisition de fichier.
Sources et références
Règlement (UE) 2016/679 (RGPD), articles 5, 6, 14, 21 et 83 ;
CNIL – Guide sur la vente de fichiers clients.
CNIL – La prospection vers les particuliers (B to C) : quelles règles pour transmettre des données à des partenaires ?
CNIL – Recommandations sur la prospection commerciale par courrier électronique.
CNIL – Référentiel relatif aux traitements de données personnelles mis en œuvre aux fins de gestion des activités commerciales.
Donnée d'ordre de grandeur : selon les chiffres communiqués par la CNIL, plus de 30 000 organismes avaient désigné un DPO en France fin 2024.