Courtage de données et prospection : les rappels utiles de la CNIL dans la clôture de l’affaire Solocal Marketing Services

Le 17 septembre 2026, en clôturant l’injonction prononcée contre la société SOLOCAL MARKETING SERVICES, la CNIL a mis fin au dossier qu’elle avait ouvert en 2022 et qui avait notamment donné lieu à une amende de 900 000 euros pour prospection électronique sans consentement valable réalisée à partir de fichiers achetés auprès de courtiers en données et autres fournisseurs tiers.

‍

Cette affaire replace au cœur du débat la responsabilité de toute entreprise qui achète, loue ou enrichit des fichiers de prospection : le recours à un collecteur initial tiers ne transfère en aucun cas la responsabilité de la validité du consentement.  

‍

La sanction SOLOCAL MARKETING SERVICES

‍

À l’occasion d’un contrôle des pratiques de la société SOLOCAL MARKETING SERVICES, qui achetait des données de prospects auprès de courtiers en données, éditeurs de sites de jeux-concours et de tests de produits, puis les utilisait à des fins de démarchage par SMS ou par courriel pour le compte de ses clients annonceurs (ou les leur transmettait directement), la CNIL a retenu deux manquements à son encontre :  

‍

- Absence de consentement valable à la prospection électronique (article L. 34-5 du CPCE) en raison de l’apparence trompeuse des formulaires de collecte des courtiers.  

Ces derniers mettaient en valeur, par leur taille, couleur, intitulé et emplacement, les boutons valant acceptation de l’utilisation des données à des fins de prospection, tandis que la participation au jeu sans cette acceptation n’était proposée que par de simples liens hypertextes, peu visibles et se confondant dans le corps du texte. Le consentement ainsi obtenu n’était ni libre ni univoque.  

De plus, les exigences contractuelles imposées par la société SOLOCAL MARKETING SERVICES à ses fournisseurs en amont ainsi que les vérifications qu’elle affirmait réaliser en aval avaient été jugées manifestement insuffisantes par la CNIL, et n’étaient donc pas de nature à régulariser cette situation.  

- Impossibilité de démontrer le consentement des personnes concernées (article 7 du RGPD) en raison de l’impossibilité d’obtenir cette preuve de son fournisseur principal.  

‍

La société SOLOCAL MARKETING SERVICES n’a ainsi pas pu prouver la licéité de ses opérations de prospection. La CNIL constate par ailleurs que la société n’a pas immédiatement suspendu le traitement après avoir constaté que son partenaire principal ne pouvait lui fournir la preuve du consentement, et a continué à utiliser les données transmises pour réaliser des actions de prospection pendant près de 17 mois.  

‍

Le 15 mai 2025, la CNIL condamnait donc la société SOLOCAL MARKETING SERVICES à verser une amende de 900 000 euros et prononçait une injonction de cesser de procéder à des opérations de prospection commerciale par voie électronique en l’absence d’un consentement valable, sous astreinte de 10 000 euros par jour de retard à l’issue d’un délai de 9 mois.  

‍

Le 17 septembre 2026, la CNIL a clôturé cette injonction, la société SOLOCAL MARKETING SERVICES ayant mis en place, dans les délais impartis, des mesures lui permettant de vérifier la validité du consentement recueilli pour son compte par ses partenaires primo-collectants.  

‍

Ces mesures reposent sur une analyse automatisée des formulaires de collecte de données, couplée à une appréciation humaine et de multiples points de contrôle : case à cocher, mentions d’information, et détection des présentations susceptibles d’affecter le consentement des personnes concernées.  

‍

Si la CNIL juge ces mesures suffisantes, elle rappelle néanmoins que la société SOLOCAL MARKETING SERVICES demeure pleinement responsable de la validité des consentements recueillis pour son compte et pourrait dès lors se voir sanctionnée en cas de non-conformités liées à des formulaires non valides qui auraient échappé à son contrôle.  

‍

Enseignements et bonnes pratiques pour les acteurs du marché

‍

Alors que le cadre juridique de la prospection commerciale se durcit, comme en témoigne la loi n° 2025-594 du 30 juin 2025 qui soumet désormais le démarchage téléphonique des consommateurs à leur consentement préalable, les entreprises se livrant à des opérations de prospection commerciale à partir de fichiers de tiers se doivent de renforcer leurs contrôles.  

‍

L’affaire SOLOCAL MARKETING SERVICES rappelle aux entreprises qui acquièrent ou enrichissent leurs bases de données de prospects auprès de tiers pour les utiliser à des fins de prospection que la responsabilité ne s’arrête pas au collecteur initial.  

‍

Afin d’assurer une prospection conforme aux exigences du RGPD, du CPCE et des recommandations de la CNIL, plusieurs enseignements sont à retenir.  

‍

Adoptez les bons réflexes !  

L’acquéreur de fichiers prospects répond de la validité de leur consentement et doit pouvoir en fournir la preuve  

Bien que les données soient initialement collectées par un tiers, l’utilisateur des données à des fins de démarchage et de prospection est responsable de la licéité de ces opérations. Les clauses de garantie imposées aux fournisseurs ne l’exonèrent pas : elles peuvent fonder une action récursoire, pas une défense acceptable devant la CNIL.

‍

En application de l’article 7 du RGPD, les responsables de traitement qui exploitent ces données doivent être en mesure d’établir, à tout moment, le consentement des destinataires. À défaut de preuve, le fournisseur concerné doit être immédiatement suspendu.

‍

Enfin, dès lors que les mécanismes de contrôle réduisent le risque d’un consentement vicié sans toutefois l’éliminer, la responsabilité de l’utilisateur subsiste pour les formulaires de collecte non conformes qui auraient échappé au contrôle. L’utilisateur doit faire preuve d’une vigilance accrue et contrôler régulièrement ses fournisseurs de données.

‍

Ainsi, avant toute utilisation des données transmises :  

• Recensez l’ensemble de vos sources externes de données de prospects : courtiers, jeux-concours, partenaires commerciaux, etc. ;

• Prévoyez des mécanismes de contrôle dans vos contrats fournisseurs : preuve du consentement à première demande ou à échéances régulières, droit d’audit sur les formulaires de collecte, suspension immédiate en cas de non-conformité ou de défaut de preuve ;  

• Mettez en place une revue périodique et documentée des formulaires de collecte, automatisée, humaine, ou les deux.  

‍

Puis, dans le cadre de vos opérations de prospection :  

• Lors du premier contact avec les prospects, et au plus tard dans un délai d’un mois, informez-les de la source des données et de leur droit de s’opposer à la prospection commerciale ou de retirer leur consentement ;  

• Documentez toutes les oppositions et tous les retraits de consentement reçus, et répercutez-les auprès de vos fournisseurs.  

Le design du formulaire est un critère de validité du consentement  

Un bouton principal qui vaut acceptation à la fois du traitement principal et de la prospection, face à un lien discret pour participer sans accepter cette finalité, vicie le consentement.  

‍

Dès lors, afin de vous assurer de la conformité de toute collecte réalisée pour votre compte :  

• Obtenez de vos fournisseurs une copie des formulaires de collecte tels qu’affichés aux personnes concernées et vérifiez leur conformité : information claire sur les destinataires et les finalités de la transmission, présence de votre nom dans la liste des partenaires, équilibre visuel entre acceptation et refus ;

• Formulez toute demande de correction, dans les meilleurs délais, en cas de non-conformité constatée.  

‍

En cas de doute, ou lorsqu’un fournisseur n’est pas en mesure de produire la preuve du consentement des personnes concernées, suspendez immédiatement cette source.  

‍

Pour toute question ou besoin d’accompagnement, n’hésitez pas à contacter notre équipe IT/Data !    

‍

Jeannie Mongouachon, avocate associée, et Juliette Lobstein, avocate collaboratrice chez Squair