Le 24 septembre 2026, la CNIL a annoncé la clôture de l’injonction prononcée un an plus tôt contre SOLOCAL MARKETING SERVICES. L’entreprise avait été sanctionnée en mai 2025 à hauteur de 900 000 euros, notamment parce qu’elle utilisait pour ses campagnes de prospection des données collectées par des partenaires dans des conditions qui ne permettaient pas de démontrer un consentement valable.
L’information pourrait rester cantonnée à la rubrique « sanctions RGPD ». Ce serait passer à côté de ce qu’elle apporte de plus intéressant aux directions marketing.
Entre la sanction de 2025 et la clôture de 2026, Solocal a dû mettre en place un dispositif permettant de contrôler réellement les formulaires utilisés par ses fournisseurs : analyse automatisée, complétée lorsque nécessaire par une appréciation humaine. La CNIL considère le mécanisme satisfaisant, tout en rappelant un point essentiel : Solocal reste responsable des consentements recueillis pour son compte, y compris si un formulaire non conforme échappe au contrôle.
Autrement dit, un fournisseur peut collecter le consentement. Il ne peut pas porter à votre place la responsabilité de celui-ci.
Pour les entreprises qui achètent des leads, utilisent des data brokers ou alimentent leur CRM avec des données collectées par des partenaires, cela transforme un sujet juridique assez abstrait en question très opérationnelle : êtes-vous capable de démontrer pourquoi chaque contact peut être prospecté ?
Sommaire
- Acheter un lead ne revient pas à acheter son consentement
- Ce que la CNIL reprochait vraiment à Solocal
- Automatiser les contrôles, sans automatiser la responsabilité
- Ce qu’il faut demander à un fournisseur avant d’importer ses leads
- Le consentement doit devenir une donnée du CRM
- Contrôler les fournisseurs dans la durée
- Pas de preuve ? Pas d’activation
- Vers un véritable contrôle qualité des leads
Acheter un lead ne revient pas à acheter son consentement
Dans beaucoup d’organisations, la chaîne d’acquisition est finalement assez simple.
Un site collecte les coordonnées d’un internaute. Un courtier les récupère ou les achète. Un autre intermédiaire peut les qualifier. L’entreprise achète ensuite le lead et l’injecte dans son CRM, son outil de marketing automation ou directement dans une campagne.
Plus la donnée s’éloigne de son point de collecte, plus une idée confortable s’installe : le fournisseur a garanti contractuellement des leads « opt-in », le problème du consentement lui appartient donc.
La décision Solocal dit précisément le contraire.
En 2025, la CNIL rappelle que SOLOCAL MARKETING SERVICES est utilisatrice des données recueillies par les courtiers et qu’elle doit, à ce titre, s’assurer que les personnes ont exprimé un consentement valable avant de les prospecter par voie électronique. Les garanties contractuelles imposées aux fournisseurs et les vérifications annoncées par Solocal ont été jugées insuffisantes.
Ce n’est d’ailleurs pas une interprétation isolée réservée à Solocal.
Le même 15 mai 2025, la CNIL sanctionnait le courtier CALOGA pour des pratiques comparables. Là encore, elle considérait que les garanties contractuelles données par les fournisseurs et les contrôles effectués n’étaient pas suffisants puisque les formulaires réellement utilisés ne permettaient pas de recueillir un consentement valide.
Le contrat reste utile. Mais il ne transforme pas une donnée non conforme en donnée exploitable.
C’est une différence assez fondamentale pour les achats de leads : la conformité ne s’achète pas avec le fichier.
Ce que la CNIL reprochait vraiment à Solocal
Le problème ne venait pas du principe même d’acheter des données à des tiers.
Solocal obtenait des données auprès de courtiers, notamment issues de sites de jeux-concours ou de tests de produits. La CNIL s’est donc intéressée à ce qui s’était passé beaucoup plus tôt dans la chaîne : l’écran sur lequel l’internaute avait laissé ses coordonnées.
Et certains formulaires étaient loin d’être neutres.
Les boutons conduisant à accepter l’utilisation commerciale des données étaient fortement mis en valeur par leur taille, leur couleur, leur intitulé ou leur emplacement. À côté, la possibilité de poursuivre sans accepter la prospection pouvait prendre la forme d’un lien beaucoup plus discret, noyé dans le reste du contenu.
Pour la CNIL, cette présentation poussait fortement l’utilisateur à accepter et ne permettait pas d’obtenir le consentement libre et univoque nécessaire.
Voilà pourquoi vérifier qu’un fournisseur possède une case « consentement » ne suffit pas.
Il faut examiner l’expérience de consentement elle-même.
Quelle action réalise l’utilisateur ? Que comprend-il au moment où il clique ? Peut-il réellement refuser ? Le refus est-il présenté avec une visibilité raisonnable ? À quelles entreprises accepte-t-il que ses coordonnées soient transmises ?
Le deuxième reproche adressé à Solocal est encore plus intéressant pour les équipes CRM.
Pour l’un de ses principaux fournisseurs, l’entreprise n’a pas été capable de fournir à la CNIL les éléments permettant de démontrer le consentement des personnes. La CNIL n’a donc même pas pu examiner les formulaires correspondants.
Solocal avait identifié le problème.
Mais elle a attendu près de 17 mois avant de cesser d’utiliser les données provenant de ce partenaire.
C’est probablement la leçon la plus opérationnelle de toute l’affaire : un contrôle qui détecte une anomalie mais ne modifie pas l’utilisation de la donnée n’est pas vraiment un contrôle.
Automatiser les contrôles, sans automatiser la responsabilité
La décision de septembre 2026 est intéressante parce qu’elle montre ce que Solocal a mis en place pour répondre à l’injonction.
Dans les délais imposés, l’entreprise a déployé des mesures permettant de vérifier la validité des consentements recueillis pour son compte par ses partenaires primo-collectants.
Le dispositif repose sur une analyse automatisée des formulaires de collecte, complétée par une appréciation humaine. La CNIL a considéré ces mesures satisfaisantes, à condition qu’elles soient scrupuleusement appliquées.
L’équilibre entre les deux est loin d’être anecdotique.
Une machine peut vérifier certains critères relativement objectifs : présence d’un mécanisme de consentement, mentions attendues, structure du formulaire, liens présents, modifications d’une page ou existence d’une action positive.
Elle peut aussi permettre d’industrialiser le contrôle lorsque des dizaines ou centaines de landing pages alimentent une même base.
Mais certains problèmes sont beaucoup plus contextuels.
Un formulaire peut techniquement proposer deux choix tout en rendant l’un presque invisible. Un bouton peut être formulé de manière ambiguë. Une architecture visuelle peut fortement orienter la décision sans supprimer formellement la possibilité de refuser.
C’était justement l’un des problèmes rencontrés en 2025.
L’humain reste donc nécessaire pour juger le parcours dans son ensemble.
Et surtout, la CNIL prend soin de préciser quelque chose : l’existence de ce dispositif ne décharge pas Solocal de sa responsabilité. Si un formulaire non conforme passe à travers les contrôles, celle-ci peut toujours être recherchée.
L’automatisation permet d’industrialiser la vigilance.
Pas de sous-traiter la responsabilité à un algorithme.
Ce qu’il faut demander à un fournisseur avant d’importer ses leads
La conséquence pratique est assez claire : le contrôle devrait intervenir avant l’activation des données, pas le jour où quelqu’un demande de justifier leur origine.
Un fichier comportant une colonne optin = yes ne constitue pas, à lui seul, une démonstration très convaincante.
Pour une source de leads destinée à alimenter des campagnes de prospection nécessitant un consentement, l’onboarding fournisseur devrait permettre de récupérer au minimum :
- l’identité du primo-collectant ;
- l’URL ou le support exact de collecte ;
- le formulaire réellement utilisé ;
- la formulation présentée à l’utilisateur ;
- le mécanisme permettant d’accepter ou de refuser ;
- les finalités couvertes ;
- les canaux de prospection concernés ;
- les partenaires pour lesquels le consentement est recueilli ;
- la date et la version du formulaire ;
- la manière dont un lead individuel peut être rattaché à cette version ;
- la procédure de retrait du consentement ;
- la capacité du fournisseur à restituer une preuve à la demande.
La doctrine publiée par la CNIL sur la transmission de données à des partenaires renforce cette logique.
Lorsqu’un organisme recueille un consentement permettant à ses partenaires de prospecter, la personne doit disposer d’une information suffisante sur la transmission et les destinataires concernés. La CNIL rappelle également qu’un consentement recueilli pour certains partenaires ne peut pas être transmis indéfiniment de partenaire en partenaire.
Dit autrement : le consentement n’est pas une licence commerciale attachée à l’adresse e-mail.
La multiplication des intermédiaires n’élargit pas automatiquement ce que la personne avait accepté au départ.
Le consentement doit devenir une donnée du CRM
C’est ici que le sujet quitte réellement le bureau du DPO pour rejoindre celui du directeur marketing.
Dans beaucoup de CRM, la provenance d’un prospect tient encore dans quelques champs :
Source : partenaire X
Campagne : acquisition septembre
Opt-in : oui
C’est utile pour l’attribution.
Beaucoup moins pour démontrer ce qui s’est réellement passé.
Une architecture plus robuste consiste à traiter le consentement et sa provenance comme de véritables métadonnées du lead.
Il devrait être possible de rattacher un contact à la date et l’heure du consentement, au primo-collectant, au formulaire utilisé, à sa version, au texte présenté, aux finalités acceptées et aux partenaires concernés.
La preuve peut également nécessiter de conserver une représentation fiable du parcours : copie ou version archivée du formulaire, capture, historique de version ou autre mécanisme permettant de restituer les conditions de collecte.
Cela ne signifie évidemment pas qu’il faut tout conserver éternellement « au cas où ». La durée de conservation de ces éléments doit elle-même être encadrée.
Mais il existe une différence considérable entre :
« Le fournisseur nous a indiqué que ce contact était opt-in »
et :
« Voici quand il a consenti, sur quel formulaire, à quelle version, pour quelle utilisation et voici ce qui lui était présenté. »
Techniquement, cette traçabilité n’a rien d’exotique.
Le changement est surtout organisationnel : considérer la preuve du consentement comme une composante de la qualité de la donnée.
Contrôler les fournisseurs dans la durée
Reste une question importante : à quelle fréquence faut-il contrôler ses sources ?
La décision Solocal ne fixe aucune périodicité réglementaire universelle. Pas de contrôle trimestriel imposé par la CNIL, ni de fréquence magique à inscrire dans toutes les procédures.
Il serait donc trompeur d’en inventer une.
En revanche, valider une landing page lors de la signature d’un contrat puis ne plus jamais la regarder pose un problème évident : rien ne garantit que le formulaire observé six mois plus tard soit encore celui qui avait été approuvé.
Une méthode opérationnelle peut donc s’appuyer sur plusieurs niveaux.
À l’onboarding, toutes les nouvelles sources sont contrôlées avant leur première activation.
À chaque modification significative, le fournisseur doit signaler un changement de formulaire, de wording, de mécanique de consentement ou de primo-collectant et provoquer une nouvelle validation.
Périodiquement, l’entreprise réexamine les sources actives. Une revue trimestrielle peut constituer un point de départ raisonnable pour les fournisseurs importants ou présentant davantage de risques, mais il s’agit ici d’une méthode de gouvernance proposée, pas d’une fréquence imposée par la CNIL.
Par échantillonnage, quelques leads réellement livrés sont sélectionnés et le fournisseur doit être capable de restituer leur chaîne de preuve complète.
Ce dernier test est particulièrement intéressant.
Auditer le formulaire théorique montre que le dispositif peut fonctionner.
Demander la preuve correspondant à cinq leads tirés au hasard permet de savoir s’il fonctionne réellement.
La fréquence peut ensuite dépendre du volume, du nombre de sources, de leur volatilité, des anomalies précédentes et de l’importance du fournisseur dans l’acquisition.
Un partenaire livrant 100 000 contacts mensuels depuis cinquante landing pages n’appelle probablement pas la même surveillance qu’un partenaire ponctuel utilisant un formulaire unique.
Pas de preuve ? Pas d’activation
C’est là que les 17 mois de l’affaire Solocal deviennent particulièrement instructifs.
Lorsqu’un fournisseur n’est plus capable de démontrer dans quelles conditions le consentement a été obtenu, la réponse ne devrait pas être :
« On continue les campagnes pendant que le juridique regarde. »
Le fonctionnement devrait plutôt être inversé.
La source passe en quarantaine.
Les nouveaux imports sont suspendus. Les contacts concernés déjà présents dans les outils marketing sont identifiés. Le fournisseur reçoit une demande formelle de justification. L’incident et les décisions sont documentés.
Et surtout : les données dont l’utilisation nécessite ce consentement ne sont pas réactivées tant que la preuve n’est pas suffisante.
Dans sa décision de 2025, la CNIL estimait qu’après avoir constaté l’impossibilité d’obtenir la preuve, Solocal aurait dû cesser d’utiliser les données concernées ou recueillir elle-même le consentement des personnes avant de poursuivre les opérations nécessitant celui-ci.
Ce principe peut être traduit assez simplement dans le SI marketing :
source validée → activation autorisée
source en contrôle → activation suspendue
preuve impossible → source bloquée
Le CRM ou la CDP devient alors un point d’application de la conformité au lieu d’être uniquement l’endroit où arrivent les données.
Et c’est probablement beaucoup plus efficace qu’une procédure RGPD de 42 pages que personne ne consulte pendant l’import d’un fichier.
Vers un véritable contrôle qualité des leads
La décision Solocal ne dit pas aux directions marketing d’arrêter d’acheter des leads.
Elle leur dit quelque chose de plus contraignant : ne considérez plus la conformité déclarée par votre fournisseur comme une propriété intrinsèque de la donnée que vous recevez.
Cela change légèrement la définition d’un « bon lead ».
Traditionnellement, sa qualité est évaluée selon sa fraîcheur, son taux de joignabilité, sa qualification, son coût d’acquisition ou sa capacité à convertir.
Il faut désormais ajouter sa traçabilité.
Un contact parfaitement qualifié mais dont personne ne sait reconstruire les conditions de collecte est une donnée fragile.
Un fournisseur performant incapable de produire les preuves associées à ses leads devient lui aussi un risque opérationnel.
La bonne nouvelle est que la réponse ne consiste pas nécessairement à transformer chaque directeur marketing en juriste.
Elle ressemble davantage à un processus classique de qualité de la donnée :
qualifier la source → contrôler → documenter → surveiller → bloquer en cas d’anomalie.
La clôture de l’injonction Solocal apporte même une piste intéressante pour les organisations confrontées à des volumes importants : automatiser une partie de cette surveillance, puis conserver l’humain là où l’interprétation du parcours utilisateur reste nécessaire.
La question à poser au prochain fournisseur de leads n’est donc peut-être plus seulement :
« Quel est votre CPL ? »
Mais aussi :
« Si je vous donne l’identifiant d’un lead au hasard, pouvez-vous me montrer exactement à quoi cette personne a consenti ? »
La réponse risque d’être assez instructive.
Que retenir de cet article ?
- Acheter un lead ne transfère pas au fournisseur la responsabilité de disposer d’un consentement valable lorsqu’il est nécessaire.
- Une garantie contractuelle ou un champ
opt-in = ouine suffisent pas à démontrer les conditions réelles de collecte. - La CNIL attend que l’entreprise utilisant les données contrôle les formulaires et soit capable de produire la preuve du consentement.
- Le dispositif mis en place par Solocal combine analyse automatisée des formulaires et appréciation humaine.
- Même avec ces contrôles, l’entreprise reste responsable si un formulaire non conforme leur échappe.
- La preuve du consentement gagne donc à devenir une véritable donnée rattachée au contact dans l’écosystème CRM.
- La CNIL ne fixe pas de fréquence universelle d’audit : la périodicité doit être adaptée aux volumes, aux changements et aux risques.
- Lorsqu’un fournisseur ne peut plus démontrer le consentement nécessaire, la conséquence doit être opérationnelle : suspendre l’utilisation des données concernées plutôt que continuer en attendant une réponse.
Sources
CNIL — Courtiers en données : sanction de 80 000 euros à l’encontre de CALOGA, 27 mai 2025
0 commentaires