En 2023, la CNIL a infligé plus de 89 millions d'euros d'amendes liées au marketing direct. Le RGPD achat de leads figure désormais parmi les premiers postes de contrôle.
Acheter des prospects sans vérifier la chaîne de consentement expose votre entreprise à des sanctions lourdes et à un contentieux prospect quasi certain. Ce guide vous donne le cadre juridique, les preuves à exiger de vos fournisseurs et la checklist opérationnelle pour rester conforme.
Ce qu'il faut retenir
- Le consentement doit être libre, spécifique, éclairé et univoque : l'opt-in pré-coché est illégal depuis 2020.
- L'acheteur de leads est responsable de traitement conjoint avec le générateur : votre responsabilité est engagée.
- Vous devez exiger la preuve horodatée du consentement (IP, timestamp, URL, texte exact accepté) pour chaque lead livré.
- Les sanctions CNIL 2024-2025 atteignent 4% du CA mondial pour les manquements graves à la base légale.
- Un lead conforme = opt-in explicite + finalité prospection commerciale mentionnée + partenaires identifiables + droit d'opposition actif.
RGPD et achat de leads : que dit précisément le règlement ?
Le RGPD impose que chaque lead acheté repose sur une base légale valide, presque toujours le consentement explicite du prospect. Cette preuve doit être horodatée et la finalité de prospection clairement mentionnée au moment de la collecte.
Sans cette chaîne documentée, le lead est juridiquement inexploitable. Le règlement européen 2016/679 s'applique dès qu'une donnée personnelle (nom, email, téléphone) est traitée.
L'achat de leads n'échappe pas à cette règle : vous devenez responsable de traitement dès la réception du fichier, même si vous n'avez pas collecté la donnée vous-même. Le règlement général sur la protection des données encadre strictement ces transferts entre acteurs.
Concrètement, la CNIL considère que l'acheteur et le générateur partagent une responsabilité conjointe (article 26 RGPD). En cas de contrôle, vous devrez démontrer que vous avez vérifié la conformité amont, pas seulement fait confiance à votre fournisseur.
Quelle base légale choisir pour la prospection ?
Deux bases légales cohabitent : le consentement (article 6.1.a) et l'intérêt légitime (article 6.1.f). Pour l'achat de leads B2C, seul le consentement explicite est recevable.
Pour le B2B avec email professionnel nominatif, l'intérêt légitime peut suffire, sous conditions strictes.
Consentement B2C : les 4 critères CNIL
- Libre : sans conditionner l'accès à un service.
- Spécifique : une finalité = une case à cocher.
- Éclairé : identité du responsable et partenaires accessibles.
- Univoque : action positive (case décochée par défaut).
Intérêt légitime B2B : les limites
L'email doit être générique lié à la fonction (contact@, commercial@) ou nominatif si l'offre correspond au poste occupé. Le SMS et l'appel téléphonique restent soumis au consentement même en B2B.
Comment vérifier la conformité d'un fournisseur de leads ?
Exigez systématiquement cinq preuves documentaires avant tout achat : le formulaire de collecte, le texte exact du consentement, la liste des partenaires mentionnés, le mécanisme de preuve (IP + horodatage) et le registre de traitement du fournisseur.
Un fournisseur sérieux vous transmet ces éléments sans hésiter. Chez Ads Revolution par exemple, les leads sont générés via nos propres campagnes Google Ads et Meta Ads, ce qui garantit une traçabilité complète du consentement de bout en bout, sans chaîne de revente opaque.
À l'inverse, méfiez-vous des fournisseurs qui rachètent des fichiers à des tiers sans pouvoir remonter à la source. C'est là que se concentrent 90% des sanctions.
Pour approfondir la sélection d'un partenaire fiable, consultez notre guide complet pour acheter des leads qualifiés en 2026.
Quelles mentions obligatoires au moment de la collecte ?
L'article 13 du RGPD liste les informations à fournir au prospect avant qu'il valide le formulaire. L'omission d'une seule mention rend le consentement invalide et le lead inexploitable juridiquement.
- Identité et coordonnées du responsable de traitement.
- Finalité précise (prospection commerciale pour X secteur).
- Base légale (consentement).
- Destinataires ou catégories de destinataires (les partenaires acheteurs).
- Durée de conservation des données.
- Droits d'accès, rectification, effacement, opposition.
- Contact du DPO si désigné.
- Droit de réclamation auprès de la CNIL.
Le texte doit être accessible en un clic, rédigé en français clair, sans renvoi vague à des "partenaires commerciaux" non identifiables. La CNIL publie des modèles de formulaires conformes.
Achat de leads B2C vs B2B : quelles différences juridiques ?
| Critère | Leads B2C | Leads B2B |
|---|---|---|
| Base légale | Consentement obligatoire | Intérêt légitime possible |
| Email nominatif | Opt-in requis | Opt-in requis |
| Email générique (contact@) | Opt-in requis | Information suffit |
| SMS / téléphone | Opt-in explicite | Opt-in explicite |
| Bloctel | Vérification obligatoire | Non applicable |
| Durée conservation | 3 ans max post-contact | 3 ans max post-contact |
La règle simple : dès qu'il y a un canal intrusif (téléphone, SMS), le consentement redevient obligatoire, y compris en B2B. C'est le point le plus souvent oublié par les acheteurs de leads téléphoniques.
Sanctions CNIL : ce que risque l'acheteur non conforme
Les sanctions RGPD peuvent atteindre 20 millions d'euros ou 4% du chiffre d'affaires mondial, le montant le plus élevé étant retenu. En 2024-2025, la CNIL a durci sa politique sur la prospection commerciale et l'achat de fichiers.
Au-delà de l'amende, les conséquences opérationnelles sont lourdes : mise en demeure publique, obligation de purger la base, interdiction temporaire de traitement, et contentieux prospect en cascade. Une seule plainte peut déclencher un contrôle sur l'ensemble de votre acquisition.
Les secteurs les plus surveillés en 2026 restent la rénovation énergétique, l'assurance, le crédit et la mutuelle santé — précisément ceux où l'achat de leads est le plus intensif.
Comment sécuriser votre traitement après réception du lead ?
La conformité ne s'arrête pas à l'achat. Vous devez pouvoir démontrer une gestion propre du lead tout au long de sa vie dans votre CRM : traçabilité, minimisation, purge, droit d'opposition actif.
Checklist post-livraison
- Registre de traitement à jour (article 30).
- Conservation du justificatif de consentement transmis par le fournisseur.
- Mécanisme d'opposition en un clic dans chaque email de prospection.
- Purge automatique après 3 ans sans interaction.
- Vérification Bloctel avant tout appel téléphonique B2C.
- Contrat de sous-traitance signé avec le fournisseur (article 28).
Si vous automatisez la qualification, un chatbot RGPD-compatible doit lui aussi collecter un consentement propre pour l'enrichissement.
Faux leads et RGPD : le double risque
Un faux lead — bot, saisie frauduleuse, consentement extorqué — cumule deux risques : perte financière immédiate et non-conformité RGPD. Le prospect n'ayant jamais réellement consenti, tout traitement ultérieur devient illicite.
La vérification en temps réel (téléphone, email, cohérence des données) n'est donc pas seulement un outil de rentabilité, c'est une obligation implicite du principe de minimisation.
Les fournisseurs qui intègrent un filtrage IA avant livraison, comme Ads Revolution, réduisent mécaniquement l'exposition juridique en éliminant les contacts non qualifiés — donc les consentements douteux — avant même la facturation.
FAQ RGPD achat de leads
L'achat de leads est-il légal en France ?
Oui, l'achat de leads est parfaitement légal à condition de respecter le RGPD. Le prospect doit avoir donné un consentement explicite à la transmission de ses données à des partenaires commerciaux identifiés, avec une finalité précise. Sans cette base légale documentée, la transaction et l'exploitation du lead sont illicites.
Qui est responsable en cas de non-conformité d'un lead acheté ?
L'acheteur et le générateur de leads sont co-responsables de traitement au sens de l'article 26 du RGPD. La CNIL peut sanctionner les deux parties. En pratique, l'acheteur doit prouver qu'il a effectué une due diligence sérieuse sur son fournisseur : contrat, audit du formulaire, échantillon de preuves de consentement.
Combien de temps peut-on conserver un lead acheté ?
La durée maximale recommandée par la CNIL est de 3 ans à compter du dernier contact effectif avec le prospect. Au-delà, le lead doit être supprimé ou anonymisé, sauf obligation légale contraire. Cette durée doit être mentionnée dans le formulaire de collecte initial.
Le consentement pré-coché est-il valable ?
Non. Depuis l'arrêt Planet49 de la CJUE (octobre 2019) et les lignes directrices CNIL 2020, la case pré-cochée ne constitue pas un consentement valable. Le prospect doit accomplir une action positive claire : cocher lui-même la case, cliquer sur un bouton explicite. Tout lead collecté via opt-in passif est juridiquement nul.
Faut-il vérifier Bloctel avant d'appeler un lead acheté ?
Oui, pour tout numéro fixe ou mobile d'un particulier en France, la consultation de Bloctel est obligatoire avant démarchage téléphonique, sauf relation contractuelle préexistante. Le consentement RGPD ne dispense pas de cette obligation issue du code de la consommation. L'oubli expose à 75 000 € d'amende par manquement.
Un lead généré via Meta ou Google Ads est-il automatiquement conforme ?
Non, la conformité dépend du formulaire et des mentions affichées, pas de la plateforme. Meta et Google fournissent des outils (formulaires instantanés, extensions lead) mais c'est à l'annonceur de paramétrer les mentions RGPD, les cases à cocher et la finalité. Un mauvais paramétrage rend le lead non conforme, quelle que soit la source.
Conclusion : faire du RGPD achat de leads un avantage concurrentiel
La conformité RGPD n'est plus un centre de coût mais un avantage concurrentiel. Les acheteurs qui exigent la traçabilité complète paient un peu plus cher, mais convertissent mieux et dorment tranquilles.
Face à un fournisseur, une seule question suffit pour trancher sur le RGPD achat de leads : pouvez-vous me montrer, pour ce lead précis, le formulaire, le texte de consentement et l'horodatage ?
