Le 15 mai 2025, la CNIL a prononcé deux sanctions le même jour, contre deux acteurs de la même chaîne. Neuf cent mille euros pour l’un, quatre-vingt mille pour l’autre.
Aucune des deux entreprises n’avait collecté elle-même les adresses qu’elle exploitait. C’est précisément ce qui leur est reproché.
La première : ne pas pouvoir montrer
SOLOCAL MARKETING SERVICES achetait des données de prospects auprès de courtiers, ce que le secteur appelle des data brokers, et menait ensuite des campagnes de prospection.
La CNIL décrit sa méthode d’enquête sans détour :
« Dans le cadre de sa thématique prioritaire de contrôle sur la prospection commerciale en 2022, la CNIL s’est intéressée aux pratiques des professionnels du secteur, en particulier de ceux qui procèdent à la revente de données, y compris des nombreux intermédiaires de cet écosystème appelés courtiers en données ou data brokers en anglais. »
Le manquement central n’est pas d’avoir acheté. C’est de n’avoir pas pu prouver :
« La société n’a pas été en mesure de fournir à la CNIL la preuve du consentement des personnes dont les données lui ont été transmises par l’un de ses principaux fournisseurs. La CNIL n’a ainsi pas pu examiner les formulaires de collecte mis en œuvre par ce fournisseur et, donc, la validité du consentement des personnes concernées. »
Puis la phrase qui déplace toute la charge :
« Il appartient bien à la société, en sa qualité de responsable de traitement, d’apporter la preuve que ses opérations de prospection réalisées sont licites (notamment la preuve du consentement). »
L’acheteur est responsable de traitement. Le contrat qui le lie à son fournisseur ne transfère pas cette responsabilité : il la documente, au mieux.
La CNIL ajoute une circonstance qui pèse lourd : « après avoir constaté que son partenaire n’était pas en capacité de lui fournir cette preuve, la société a attendu près de 17 mois pour cesser d’utiliser les données transmises ».
Dix-sept mois entre le constat et l’arrêt. C’est ce délai, autant que le manquement, qui explique le montant.
Les garanties contractuelles ne suffisent pas
SOLOCAL avait pourtant pris des précautions. Elle imposait des exigences contractuelles à ses fournisseurs et affirmait mener des vérifications.
La formation restreinte a jugé ces mesures « manifestement insuffisantes ».
Et sur la qualité des formulaires en amont, elle a posé un principe qui s’applique à tout acheteur de fichiers :
« La formation restreinte considère que l’apparence trompeuse des formulaires mis en œuvre par les courtiers en données ne permet pas de recueillir un consentement libre et univoque, conforme aux exigences du RGPD, qui permettrait de fonder les opérations de prospection réalisées par la société SOLOCAL MARKETING SERVICES. »
Le vice du formulaire d’origine contamine tous ceux qui exploitent la donnée ensuite, quel que soit le nombre d’intermédiaires.
La seconde : le formulaire lui-même
CALOGA, sanctionnée le même jour, se situait plus haut dans la chaîne. Elle achetait auprès d’éditeurs de jeux-concours et de tests de produits, ce que la CNIL nomme les primo-collectants, et revendait à son tour.
La description du formulaire type est une leçon d’ergonomie trompeuse :
« La mise en valeur des boutons entraînant l’utilisation de ses données à des fins de prospection commerciale (par leur taille, leur couleur, leur intitulé et leur emplacement), comparée aux liens hypertextes permettant de participer au jeu sans accepter cette utilisation (d’une taille nettement inférieure et se confondant avec le corps du texte) pousse fortement l’utilisateur à accepter. »
Taille, couleur, intitulé, emplacement. Quatre éléments de mise en forme, et le consentement tombe.
Sur la revente, la CNIL rappelle une distinction que beaucoup d’acteurs refusent de voir :
« Dans le cadre de son activité de courtier en données, la société transmettait également des bases de données à d’autres partenaires […]. Elle fondait ce traitement de transmission des données sur la base légale de l’intérêt légitime. Or, ce traitement doit être fondé sur le consentement des personnes concernées, dont la société CALOGA ne disposait pas. »
Transmettre une base à un partenaire commercial n’est pas un traitement que l’intérêt légitime couvre. L’intérêt légitime a un périmètre, et il s’arrête avant la cession.
Le désabonnement qui n’en était pas un
Un troisième manquement de la décision CALOGA mérite d’être connu de tous ceux qui exploitent plusieurs bases.
« Il n’était pas possible, pour le prospect, de se désinscrire en un seul clic des différentes bases de données de CALOGA dans lesquelles il était inscrit. Pour ce faire, il devait adresser une demande par courrier électronique au délégué à la protection des données. Il n’était donc pas aussi facile pour un prospect de retirer son consentement que de le donner. »
La symétrie exigée par l’article 7 paragraphe 3 du RGPD est ici appliquée à la lettre : si l’on s’inscrit en un clic, on se désinscrit en un clic. Un lien qui ne sort que d’une liste sur cinq ne satisfait pas cette exigence.
Et c’est un point où l’exigence juridique rejoint l’exigence technique : le désabonnement en un clic est aussi une obligation des opérateurs de messagerie, pour de tout autres raisons.
Ce que la CNIL en a fait ensuite
Ces deux décisions ne sont pas isolées. Dans son bilan des sanctions 2025, la CNIL écrit :
« La prospection, qu’elle soit commerciale ou politique, a également fait l’objet de 10 décisions de sanction. »
Dix décisions en un an sur un seul thème. La prospection électronique n’est pas un sujet secondaire du contrôle : c’est une priorité affichée depuis 2022, et elle produit des décisions chaque trimestre.
Signalons aussi une conséquence pratique de la procédure : la CNIL dépublie ses communiqués à l’expiration du délai de publicité, et les entités sont alors anonymisées. Plusieurs décisions de prospection de 2024 et 2025 ne sont plus consultables sous le nom de l’entreprise. Ce qui reste, ce sont les principes.
Ce que vous faites demain matin
Si vous exploitez un fichier acheté, posez à votre fournisseur une question précise : pour une adresse que vous choisissez au hasard, pouvez-vous me montrer le formulaire de collecte tel qu’il était affiché, la date, et la finalité acceptée ?
Si la réponse tarde ou reste générale, vous connaissez désormais le délai qui a coûté cher à SOLOCAL. Dix-sept mois, c’est le temps qu’il ne faut pas prendre.
Regardez ensuite vos propres formulaires avec les quatre critères de la décision CALOGA. Comparez la taille, la couleur, l’intitulé et l’emplacement du bouton qui accepte et de celui qui refuse. Si l’écart saute aux yeux, la CNIL l’a déjà qualifié.
Vérifiez enfin qu’un désabonnement sort de toutes vos bases, et pas seulement de la liste d’où partait le message. C’est le manquement le plus facile à corriger et le plus fréquent.
Et si vous cherchez des contacts professionnels, sachez au moins d’où ils viennent. La recherche de contacts de Sestaro est gratuite et illimitée : c’est la révélation d’une adresse qui se paie, ce qui permet de qualifier une cible avant de constituer le moindre fichier.
Sources
- CNIL (15 mai 2025). Prospection commerciale : sanction de 900 000 euros à l’encontre de la société SOLOCAL MARKETING SERVICES, délibération SAN-2025-001
- CNIL (15 mai 2025). Prospection commerciale : sanction de 80 000 euros à l’encontre de la société CALOGA, délibération SAN-2025-002
- CNIL. Sanctions et mesures correctrices : bilan 2025
- Union européenne (27 avril 2016). Règlement (UE) 2016/679 (RGPD), articles 6, 7 et 14
LaFactory travaille l’emailing sur pièces : en-têtes, enregistrements DNS, journaux de rejet. Aucune promesse de taux d’ouverture, jamais. Contactez-nous pour un audit de délivrabilité.