La plupart des contenus sur la conformité de la prospection expliquent ce que dit le texte. C’est utile, mais ce n’est pas la question qui se pose à un acheteur de leads. La sienne est plus étroite et plus concrète : le jour où un contrôleur demande sur quelle base vous avez appelé cette personne-là ce jour-là, qu’êtes-vous capable de produire ? Cet article répond à celle-là.
Le point de départ : c’est l’acheteur qui est sanctionné
L’idée répandue selon laquelle la responsabilité pèserait sur le collecteur, l’acheteur étant protégé par la garantie contractuelle de son fournisseur, ne résiste pas à l’examen des décisions rendues ces dernières années.
Une société de marketing utilisant des données acquises auprès de courtiers a ainsi été condamnée à 900 000 € d’amende, rendue publique, assortie d’une astreinte de 10 000 € par jour de retard. Deux manquements ont été retenus : des formulaires de collecte dont le design de boutons poussait fortement l’utilisateur à accepter, et surtout l’incapacité à produire la preuve du consentement des personnes. Il lui a également été reproché d’avoir attendu près de dix-sept mois avant de cesser d’utiliser les données d’un partenaire manifestement incapable de démontrer un consentement valable.
Une seconde décision, du même jour, énonce la règle sans ambiguïté à l’adresse de l’utilisateur des données : il lui appartenait de s’assurer que les personnes avaient exprimé un consentement valide avant de mener ses campagnes. Y figurent aussi deux manquements moins commentés mais tout aussi instructifs : une durée de conservation de quatre ans jugée excessive, et l’absence de base légale pour transmettre des données de prospects à des tiers.
Ce que cela signifie contractuellement
Une clause par laquelle votre fournisseur garantit la conformité de ses données ne vous exonère de rien vis-à-vis de l’autorité. Elle organise un recours entre vous et lui, ce qui est utile mais différent. Elle ne répond pas à la question posée par le contrôleur, qui vous est adressée à vous.
Le principe qui tranche la charge de la preuve
Deux règles de droit règlent le débat pratique, et il faut les avoir en tête avant toute négociation avec un fournisseur.
La première porte sur la nature du consentement : un consentement libre, spécifique, éclairé et univoque ne peut être qu’un consentement exprès. Cela suppose une action positive et dédiée de la personne, et une présentation à égale visibilité des options d’acceptation et de refus. Un bouton « J’accepte » mis en valeur face à un lien de refus discret ne produit pas un consentement valable, quelle que soit la formulation du texte qui l’accompagne.
La seconde porte sur la preuve : c’est au responsable du traitement de démontrer que la personne a donné son consentement. Ce n’est donc pas au contrôleur de démontrer l’absence de consentement, c’est à vous d’en démontrer la présence. En son absence, le doute ne profite pas à celui qui traite les données. C’est le point le plus mal compris du sujet, et le plus coûteux.
Le consentement doit être spécifique au destinataire
Une sanction de 3,5 millions d’euros, portant sur plus de dix millions de personnes, a été prononcée pour un motif qui devrait retenir l’attention de tout acheteur de fichiers : aucune information n’était fournie, sur le formulaire lui-même, quant à la transmission des données à des fins publicitaires vers un tiers. L’information existait, mais dispersée dans les documents généraux du site. Cela a été jugé insuffisant, faute d’une case dédiée précisant cette finalité de partage.
L’enseignement est direct pour un achat de leads : un opt-in générique mentionnant « nos partenaires » ne couvre pas une transmission à un destinataire nommé. Si vous êtes le destinataire, la mention doit permettre à la personne de savoir que c’est vous — ou il vous appartient de recueillir vous-même le consentement avant toute prospection électronique.
Les six pièces à tenir
| Pièce | Ce qu’elle établit | Durée de conservation |
|---|---|---|
| Horodatage de la collecte | Que le consentement est antérieur à l’appel, et qu’il est encore valide | Au moins 3 ans |
| Formulation exacte présentée | Que le consentement était éclairé et spécifique | Au moins 3 ans, dans sa version affichée ce jour-là |
| Page ou support d’origine | Le contexte de collecte, et la cohérence avec la finalité | Au moins 3 ans |
| Identité du responsable de la collecte | La source des données, à communiquer à la personne | Au moins 3 ans |
| Trace technique (adresse IP, identifiant de session) | Que l’action provient bien de la personne | Au moins 3 ans |
| Journal des retraits et oppositions | Que le retrait a été pris en compte, et à quelle date | Aussi longtemps que l’opposition doit être respectée |
Le piège de la version de la mention
Conserver la mention de consentement telle qu’elle est aujourd’hui sur votre site ne prouve rien sur ce qui était affiché il y a dix-huit mois. Il faut versionner la formulation et lier chaque enregistrement à la version qui lui était présentée. C’est la pièce la plus souvent manquante, et celle qui fait basculer un dossier.
Ce qu’on attend spécifiquement d’un acheteur de fichiers
Les obligations propres à l’acheteur sont établies et ne souffrent pas d’interprétation.
- Vérifier que les données proviennent uniquement de clients actifs dont la durée de conservation n’est pas expirée, et que les personnes ne se sont ni opposées à la transmission ni refusées à la prospection électronique.
- Distinguer deux cas de figure. Si vous étiez identifié comme partenaire au moment de la collecte, le vendeur peut transmettre. Sinon, vous devez obtenir vous-même le consentement avant toute prospection électronique.
- Informer les personnes dès que possible, et dans un délai maximal d’un mois, en indiquant la source des données — c’est-à-dire le nom de la société à l’origine de la vente.
- Permettre à chaque sollicitation d’exprimer un refus par un moyen simple et sans frais.
Sur les durées, la règle est double et souvent confondue. Les données d’un prospect non client se conservent trois ans à compter de leur collecte. La preuve du consentement, elle, se conserve séparément et au moins aussi longtemps, à titre probatoire. Et dans tous les cas, le recours à des cases pré-cochées n’est pas admis.
L’intensité réelle des contrôles
Le sujet n’est pas théorique. Sur la dernière année pleine, l’autorité de protection des données a rendu 259 décisions, dont 83 sanctions pour un montant cumulé approchant 487 millions d’euros, auxquelles s’ajoutent 143 mises en demeure. Une dizaine de ces décisions portait spécifiquement sur la prospection commerciale. Le nombre de plaintes reçues a atteint un niveau record, dépassant 20 000, en hausse de 10 % sur un an.
Du côté de la répression des fraudes, près de 58 000 établissements et sites ont été contrôlés sur la même période, pour plus de 200 millions d’euros d’amendes et de transactions. Environ un quart des contrôles a donné lieu à des suites correctives ou répressives, contre un cinquième deux ans plus tôt. La tendance est nette : plus de contrôles, et une proportion croissante d’entre eux qui débouche sur quelque chose.
La rénovation énergétique concentre une attention particulière : près d’un millier d’établissements contrôlés sur une année, en hausse de 20 %, dont un tiers présentait des manquements graves. Les suites comprennent des injonctions de mise en conformité, des amendes administratives, plus de 140 procès-verbaux pénaux, et une quarantaine de rapports transmis à la police ou à la gendarmerie — soit deux fois plus que l’année précédente.
Les questions à poser à un fournisseur, dans cet ordre
- Pouvez-vous me transmettre, pour chaque lead, l’horodatage, l’adresse IP, la page d’origine et la formulation exacte affichée à ce moment-là ? Si la réponse n’est pas oui sans réserve, tout le reste est secondaire.
- Étais-je nommé comme destinataire dans cette formulation ? Si non, je dois recueillir moi-même le consentement avant toute prospection électronique.
- Combien de temps conservez-vous ces éléments, et sous quelle forme me les restituez-vous si notre relation s’arrête ?
- Comment me transmettez-vous un retrait de consentement postérieur à la livraison, et sous quel délai ?
- Le secteur concerné fait-il partie de ceux où le démarchage est interdit même avec consentement ? Si oui, sur quelle base précise l’appel est-il licite ?
Le test le plus simple
Prenez un lead au hasard livré il y a six mois. Demandez à votre fournisseur, ou à votre propre système, de produire les six pièces du tableau ci-dessus. Le délai de réponse et la complétude de ce qui revient valent tous les audits du monde.