Acheter un fichier vous oblige à écrire à ceux qui ne vous connaissent

Acheter un fichier vous oblige à écrire à ceux qui ne vous connaissent pas

par | Sep 7, 2026 | Emailing

Vous achetez un fichier de prospects. Trente mille adresses professionnelles, présentées comme collectées en opt-in, livrées en CSV, facturées quelques milliers d’euros.

Le RGPD vous impose alors une obligation que le vendeur ne mentionne jamais dans sa plaquette : écrire à ces trente mille personnes, sous un mois, pour leur dire que vous avez leurs données et qui vous les a vendues.

Ce n’est pas une lecture sévère du texte. C’est ce qu’il dit.

L’article 14, et son délai d’un mois

Le RGPD distingue les données collectées auprès de la personne, régies par l’article 13, et celles obtenues ailleurs, régies par l’article 14.

L’article 14 paragraphe 3 fixe le calendrier de l’information : « dans un délai raisonnable après l’obtention des données à caractère personnel, mais ne dépassant pas un mois », ou, si les données servent à communiquer avec la personne, « au plus tard au moment de la première communication ».

Le contenu de cette information est fixé par le même article, et il comprend l’identité du responsable, les finalités, la base légale, les destinataires, la durée de conservation, les droits de la personne, et la source des données.

La CNIL applique cette exigence sans nuance au cas de la revente de fichiers : l’acquéreur doit informer les personnes « dès que possible, au plus tard dans un délai d’un mois », et cette information doit inclure « la source des données, c’est-à-dire le nom de la société à l’origine de la vente du fichier client ».

Nommer son fournisseur. C’est là que la plupart des projets d’achat de fichier s’arrêtent, quand quelqu’un lit le texte avant de signer.

Les exceptions, et pourquoi elles ne vous sauvent pas

Le paragraphe 5 prévoit des dispenses : la personne dispose déjà des informations, leur fourniture exigerait des efforts disproportionnés, l’obtention est prévue par le droit, ou les données sont couvertes par un secret professionnel.

La dispense des efforts disproportionnés est celle que l’on invoque toujours, et elle ne s’applique pas ici. Elle vise des situations où l’information est matériellement impossible, comme un traitement d’archivage sur des personnes sans coordonnées connues.

Vous, vous détenez précisément l’adresse email de chaque personne, et vous vous apprêtez à l’utiliser pour leur écrire. L’effort n’a rien de disproportionné : c’est exactement l’effort que vous comptez déployer pour leur vendre quelque chose.

Ce que le consentement acheté ne transfère pas

La CNIL est claire : si le consentement à la prospection électronique n’a pas été recueilli par le vendeur pour le compte de l’acquéreur, ce dernier « doit garantir la conformité de ses opérations de prospection par voie électronique, en recueillant lui-même, préalablement, le consentement des personnes concernées ».

Le consentement n’est pas un bien meuble. Il est donné à quelqu’un, pour quelque chose.

Les organismes techniques disent la même chose, en termes plus rudes. Spamhaus : « Never buy or rent email addresses from anyone. Permission is not transferable! » et, sans détour, « All advertisements for lists of « opt-in email addresses » are fraudulent. » Le M3AAWG, de son côté, qualifie l’enrichissement d’adresses de « direct violation of core M3AAWG values », et rappelle que le consentement obtenu sur un canal n’est pas transférable à un autre.

Deux sanctions, deux mécaniques

Le 5 décembre 2024, la CNIL a prononcé une amende de 240 000 euros contre la société KASPR, éditrice d’une extension de renseignement commercial qui collectait des coordonnées professionnelles sur un réseau social, avec une base d’environ 160 millions de contacts.

Trois manquements retenus : absence de base légale valable pour la collecte de coordonnées dont la visibilité avait été restreinte par les utilisateurs eux-mêmes, durée de conservation disproportionnée, et défaut d’information des personnes pendant quatre ans après le lancement du service. La décision a été adoptée en coopération avec les autorités européennes homologues.

Le 15 mai 2025, elle a prononcé une amende de 900 000 euros contre SOLOCAL MARKETING SERVICES, courtier en données, pour manquement à l’obligation de recueillir le consentement avant prospection électronique. Le motif est instructif : l’apparence trompeuse des formulaires utilisés par les courtiers fournisseurs ne permettait pas de recueillir un consentement libre et univoque. L’amende était assortie d’une injonction sous astreinte de 10 000 euros par jour.

Autrement dit, le courtier a été sanctionné pour la qualité du consentement recueilli par ses propres fournisseurs, plusieurs maillons en amont. La chaîne entière est engagée, pas seulement son dernier maillon.

Dans son bilan publié le 9 février 2026, la CNIL indique que la prospection, commerciale ou politique, a fait l’objet de dix décisions de sanction en 2025.

Acheter un fichier, ou interroger une base

Il existe une différence de nature entre acheter une liste et interroger une base de contacts professionnels, et il serait malhonnête de la passer sous silence comme il le serait de l’exagérer.

Acheter une liste, c’est acquérir un stock indifférencié, présenté comme consenti, dont l’origine se perd en amont. C’est le modèle que sanctionnent les autorités et que condamnent les organismes techniques.

Interroger une base pour identifier les contacts dont la fonction correspond à votre offre, c’est un travail de ciblage : vous savez pourquoi cette personne précise est concernée, et la sollicitation est en rapport avec sa profession, condition posée par la CNIL pour le régime professionnel. C’est ce que permet la recherche de contacts de Sestaro, où chaque enregistrement porte son rôle, son entreprise et un indice de fiabilité.

Mais la nuance ne vous dispense de rien. Dans les deux cas, les données n’ont pas été collectées auprès de la personne, donc l’article 14 s’applique, donc l’obligation d’information vous incombe. La seule chose que le ciblage améliore, c’est votre capacité à justifier l’intérêt légitime que vous invoquez.

Ce que vous faites demain matin

Si vous détenez un fichier acquis, datez son acquisition. Au-delà d’un mois sans information des personnes, le manquement est constitué et il ne se rattrape pas rétroactivement.

Si vous envisagez un achat, demandez au vendeur trois choses par écrit : le formulaire exact par lequel le consentement a été recueilli, la date de ce recueil pour chaque enregistrement, et l’identité du collecteur d’origine. Un fournisseur sérieux les fournit. Les autres expliquent que c’est confidentiel.

Enfin, souvenez-vous que ces données ont une date de péremption, et qu’un fichier acheté il y a quatre ans est déjà, pour l’essentiel, un fichier qui n’aurait plus dû exister.

Sources

LaFactory travaille l’emailing sur pièces : en-têtes, enregistrements DNS, journaux de rejet. Aucune promesse de taux d’ouverture, jamais. Contactez-nous pour un audit de délivrabilité.