Acheter un fichier Email : Que dit la RGPD en 2026 ?

Acheter un fichier de prospects pour accélérer sa prospection est une tentation fréquente chez les PME pressées de développer leur clientèle. La bonne nouvelle : ce n'est pas interdit par la RGPD. La mauvaise : la CNIL encadre l'opération avec des obligations précises, et la plupart des fichiers vendus « à prix cassé » sur internet ne les respectent pas.

À Retenir

• Acheter ou louer un fichier de prospects est autorisé, mais encadré par des règles précises côté vendeur et côté acheteur
• Le vendeur doit exclure les personnes ayant refusé la prospection, et ne conserver les données que 3 ans après la fin de la relation commerciale
• L'acheteur doit informer chaque personne dans le mois suivant le premier contact, et préciser l'origine des données
• Un fichier vendu à prix anormalement bas cache presque toujours une collecte non conforme

Est-ce vraiment légal d'acheter un fichier de prospects ?

Oui : la vente de fichiers clients est autorisée par la RGPD, mais encadrée par des obligations précises que rappelle la CNIL (CNIL, 2026). Ce n'est ni une zone grise ni une pratique tolérée par défaut : c'est un cadre légal défini, que le vendeur et l'acheteur doivent respecter chacun de leur côté.

Le problème ne vient donc pas de l'achat en lui-même, mais du non-respect de ce cadre : c'est ce qui explique pourquoi la majorité des fichiers vendus à bas prix sur internet posent problème.

Les obligations qui pèsent sur le vendeur du fichier

Selon la CNIL, un vendeur de fichier de prospects doit respecter plusieurs conditions avant la transmission :

• N'inclure que des données de clients actifs, dont la relation commerciale reste en cours ou récente.
• Conserver les données de prospects pendant 3 ans maximum à compter de la fin de la relation commerciale.
• Exclure toute personne ayant refusé la transmission de ses données ou n'ayant pas consenti à la prospection électronique.
• Retirer les données à usage strictement administratif (comptabilité, contentieux).
• Garantir une transmission sécurisée et confidentielle vers l'acheteur.

Un fichier qui ne respecte pas ces critères n'est pas légalement vendable, quel que soit le prix affiché.

Quelles obligations pèsent sur l'acheteur du fichier ?

L'acheteur n'est pas dispensé de responsabilité une fois le fichier reçu. Selon la CNIL, il doit informer chaque personne concernée au plus tard dans le mois suivant le premier contact, et préciser l'origine des données, c'est-à-dire le nom de l'entreprise qui a vendu le fichier (CNIL — prospection B to C).

Pour la prospection électronique spécifiquement, l'acheteur doit vérifier qu'un consentement a bien été recueilli pour lui, nommément, au moment de la collecte initiale. Si l'identité de l'acheteur figurait dans les mentions présentées à la personne lors de la collecte, la prospection directe est possible. Dans le cas contraire, un nouveau consentement est nécessaire avant tout envoi.

Pourquoi les fichiers à prix cassé posent-ils problème ?

Un fichier vendu à un prix anormalement bas cache presque toujours l'une de ces réalités : les données n'ont pas été collectées dans le respect des règles RGPD, les personnes n'ont jamais été informées de la revente possible de leurs données, ou le fichier contient des adresses obsolètes ou déjà opposées à toute prospection.

Utiliser un tel fichier expose l'acheteur à une sanction, même s'il n'est pas à l'origine de la collecte initiale. La responsabilité de vérifier la conformité du fichier avant achat repose sur l'acheteur, pas seulement sur le vendeur.

L'article 83 du RGPD prévoit, pour les manquements les plus graves (principes de licéité du traitement, droits des personnes, transferts internationaux), une amende administrative pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu (CNIL — article 83). Pour une TPE ou une PME, ce plafond théorique compte moins que le risque réel : une plainte d'un destinataire non informé suffit à déclencher un contrôle, quelle que soit la taille de l'entreprise concernée.

Ce risque n'a rien de théorique. Le 31 janvier 2024, la CNIL a sanctionné la société FORIOU d'une amende de 310 000 € pour avoir utilisé, à des fins de prospection commerciale, des données achetées auprès de courtiers en données (des sites de jeux-concours) sans s'assurer que les personnes concernées avaient valablement consenti à être démarchées (Légifrance — délibération SAN-2024-003). La CNIL a relevé que les formulaires de collecte mettaient en avant un bouton de validation donnant l'impression que le partage des données était obligatoire, l'option de participer sans consentir n'apparaissant qu'en petits caractères. Point clé pour tout acheteur : la CNIL a jugé FORIOU responsable de ce défaut, alors même que la collecte initiale avait été réalisée par un tiers — de simples clauses contractuelles avec le vendeur ne suffisent pas, l'acheteur doit vérifier lui-même la validité du consentement avant d'utiliser le fichier.

Vérifier la conformité d'un fichier avant de l'acheter

Demandez systématiquement au vendeur trois éléments avant toute transaction : la date et la méthode de collecte initiale des données, la preuve que les personnes ont été informées d'une possible revente ou location, et l'assurance que les personnes ayant refusé la prospection ont été exclues. Un vendeur sérieux fournit ces garanties sans difficulté ; un refus ou un flou sur ces points doit alerter.

Ce principe rejoint celui que nous détaillions dans notre article sur la prospection email RGPD en B2B et B2C : la traçabilité de l'origine des données reste une obligation centrale, qu'il s'agisse d'un fichier constitué en interne ou acheté à un tiers. Plus largement, la conformité RGPD de votre entreprise ne s'arrête pas à l'emailing : la gestion des cookies sur votre propre site répond aux mêmes exigences de transparence envers les personnes concernées.

Une fois le fichier exploité, la vigilance ne s'arrête pas au premier envoi : si vos campagnes intègrent des pixels de suivi pour mesurer les ouvertures, sachez que la CNIL encadre désormais aussi cette pratique par une recommandation dédiée.

FAQ : Questions Courantes

Puis-je acheter un fichier email sans risque juridique ?

Oui, à condition de vérifier au préalable que le vendeur respecte les obligations CNIL : exclusion des personnes ayant refusé la prospection, données de moins de 3 ans, transmission sécurisée. Sans ces garanties, l'acheteur reste responsable en cas de contrôle.

Dois-je prévenir les personnes que j'ai acheté leurs coordonnées ?

Oui, dans le mois suivant le premier contact, en précisant l'origine des données (le nom de l'entreprise vendeuse). C'est une obligation explicite pour l'acheteur, pas seulement une bonne pratique.

Combien de temps un fichier de prospects reste-t-il exploitable après achat ?

Les données de prospects ne doivent pas être conservées plus de 3 ans à compter de la fin de la relation commerciale d'origine, que vous soyez le vendeur initial ou l'acheteur du fichier.

Un fichier vendu très bon marché est-il forcément non conforme ?

Pas automatiquement, mais c'est un signal d'alerte fort. Un prix anormalement bas s'explique souvent par une collecte non conforme ou des données obsolètes, que le vendeur cherche à écouler rapidement avant qu'elles ne perdent toute valeur commerciale.

Que faire si je découvre après achat que mon fichier n'est pas conforme ?

Cessez immédiatement toute utilisation du fichier et supprimez les données non conformes. Documentez la démarche : elle démontre votre bonne foi en cas de contrôle, même si la responsabilité de la non-conformité initiale reste largement celle du vendeur.

Un doute sur un fichier que vous envisagez d'acheter ?

Avant de vous engager, un regard extérieur peut éviter une mauvaise surprise. Parlons-en : on regarde ensemble ce que le vendeur peut réellement garantir.