Achat de leads et RGPD : ce que dit la loi en 2026

Acheter des leads est-il légal ? Oui, sous conditions

Le RGPD n'interdit pas la transmission de données de prospects à des fins commerciales — il l'encadre. La règle centrale : la personne doit avoir été informée, au moment de la collecte, que ses données seraient transmises à un partenaire pour être recontactée, et y avoir consenti explicitement. Un formulaire clair mentionnant la finalité et le destinataire, une case à cocher non pré-cochée, un horodatage : voilà ce qui rend un lead conforme.

A contrario, les fichiers « scrapés », les bases revendues sans consentement et les contacts recyclés d'anciennes campagnes sans base légale exposent l'acheteur autant que le vendeur : la CNIL considère que l'entreprise qui exploite les données doit s'assurer de leur origine licite.

Ce que risque une entreprise qui achète des leads non conformes

Les sanctions CNIL pour prospection sans base légale se comptent en dizaines ou centaines de milliers d'euros, et visent régulièrement des acheteurs de fichiers — pas seulement les vendeurs. Au-delà de l'amende : plaintes de prospects, inscription de votre numéro dans les signalements, dégradation de la délivrabilité de vos appels (numéros marqués « spam probable ») et, dans les secteurs régulés comme l'assurance ou la formation, mise en cause de vos agréments.

La bonne nouvelle : la conformité est simple à vérifier en amont — c'est l'objet de la checklist ci-dessous.

Les règles spécifiques par secteur

Certains secteurs ajoutent leurs propres règles au RGPD : le CPF interdit tout démarchage téléphonique non sollicité (seules les demandes entrantes volontaires, comme nos leads formation, sont exploitables) ; l'assurance impose un consentement préalable au démarchage et un devoir de conseil documenté ; la rénovation énergétique interdit le démarchage téléphonique pour les travaux — là encore, seul le lead entrant (le prospect a demandé à être rappelé) est licite ; et l'énergie est surveillée de près par le médiateur national. Dans tous ces cas, le lead entrant consenti n'est pas seulement plus performant : c'est la seule voie légale.

Les 5 questions à poser à votre fournisseur de leads

• « Pouvez-vous produire la preuve de consentement de chaque lead ? » — horodatage, texte affiché, source. Si la réponse est floue, fuyez.
• « Le prospect a-t-il été informé que MES équipes le rappelleraient ? » — la finalité et la catégorie de destinataire doivent figurer à la collecte.
• « D'où viennent les données ? » — campagnes publicitaires en propre (traçables) ou « partenariats » vagues (dangereux) ?
• « Comment gérez-vous les demandes de suppression ? » — un prospect qui exerce son droit d'effacement doit être retiré chez le vendeur ET chez vous.
• « Le lead est-il vérifié contre Bloctel ? » — pour le démarchage téléphonique B2C, l'inscription sur Bloctel doit être respectée sauf demande entrante explicite du prospect.

Comment nous gérons la conformité chez Market Leads Generation

Chaque lead de notre marketplace est issu d'une demande volontaire sur nos propres formulaires, avec consentement explicite horodaté et archivé, mention de la transmission à un partenaire unique, vérification téléphonique et déduplication. Les données transitent par des infrastructures européennes, et notre pipeline data conserve la preuve de consentement de chaque contact livré — opposable en cas de contrôle.

C'est aussi pour cela que l'exclusivité compte : un lead vendu à un seul acheteur, c'est un prospect contacté une seule fois — l'exact opposé du harcèlement téléphonique que le régulateur combat. Conformité et performance commerciale vont, ici, dans le même sens.

← Tous les articles du blog