Achat de leads conforme RGPD et à la loi du 11 août 2026
Consentement opt-in, preuve horodatée, vérification OTP, DPA et clauses contractuelles : le guide complet pour continuer à acheter des leads en toute légalité — et sans risquer une sanction CNIL ou DGCCRF.
Acheter des leads reste légal en 2026. Ce qui change, c'est le niveau de preuve exigé. Depuis le 11 août 2026, le démarchage téléphonique bascule en opt-in intégral : sans consentement préalable du prospect, l'appel est une infraction. Superposé au RGPD, qui encadre la collecte et le traitement des données personnelles, cela crée un double cadre que tout acheteur de leads doit maîtriser. Ce guide détaille exactement ce qu'il faut exiger de votre fournisseur pour acheter en toute sécurité.
Le double cadre juridique : RGPD + loi du 11 août 2026
Beaucoup d'acheteurs de leads confondent les deux textes. Ils sont pourtant complémentaires et se cumulent : être conforme RGPD ne suffit pas à être conforme à la loi sur le démarchage, et inversement.
Ce qu'impose le RGPD
Le Règlement Général sur la Protection des Données encadre la collecte, le transfert et l'exploitation des données personnelles. Pour un lead, cela signifie : une base légale valide (le consentement), une information claire du prospect, une finalité déterminée, une durée de conservation limitée et le respect des droits (accès, rectification, effacement, opposition).
Ce qu'impose la loi du 11 août 2026
La loi renforçant la protection des consommateurs contre le démarchage téléphonique abusif fait basculer la France de l'opt-out (Bloctel) vers l'opt-in. À partir du 11 août 2026, un professionnel ne peut appeler un particulier que si celui-ci a préalablement consenti à être démarché, pour un secteur d'activité identifié. Le fichier « propriétaires France » acheté au kilo est définitivement mort.
Le RGPD encadre la donnée. La loi du 11 août 2026 encadre l'appel. Un lead conforme doit satisfaire les deux : consentement RGPD valide et autorisation explicite d'être rappelé par téléphone pour le secteur concerné.
Qu'est-ce qu'un lead réellement conforme en 2026 ?
Un lead conforme n'est pas un lead « de bonne qualité ». C'est un lead dont la chaîne de collecte est prouvable de bout en bout. Voici les six caractéristiques cumulatives à vérifier.
Consentement actif
Case à cocher non pré-remplie, action positive du prospect. Aucun consentement présumé, déduit ou conditionné à l'obtention d'un devis.
Consentement horodaté
Date, heure, adresse IP et URL de la page du formulaire enregistrées au moment exact de la soumission.
Secteur spécifié
La mention indique clairement le domaine : pompe à chaleur, panneaux solaires, isolation. Un « recevoir des offres » générique est invalide.
Numéro vérifié OTP
Un code SMS validé par le prospect prouve qu'il a saisi lui-même un numéro réel et joignable. Preuve technique difficilement contestable.
Destinataire identifiable
Le prospect sait qui va le rappeler : l'entreprise nommée, ou a minima une catégorie précise de professionnels partenaires.
DPA signé
Un contrat de sous-traitance encadre le transfert entre le fournisseur et vous, avec les obligations de chaque partie.
Vos leads actuels passeraient-ils un contrôle CNIL ?
Faites auditer gratuitement la conformité de vos sources de leads par notre équipe. Nous vous disons en 20 minutes ce qui vous expose et comment le corriger.
Les preuves à exiger avant tout achat
La règle est simple : si vous ne pouvez pas prouver le consentement, il n'existe pas. En cas de contrôle, l'absence de preuve équivaut à une absence de consentement. Exigez donc systématiquement de votre fournisseur, avant même la première commande, un exemple complet de dossier de preuve pour un lead réel (anonymisé si besoin).
| Élément de preuve | Pourquoi c'est indispensable | Exigible |
|---|---|---|
| Horodatage complet | Date et heure exactes de la soumission du formulaire | Obligatoire |
| Adresse IP | Rattache le consentement à une session réelle | Obligatoire |
| URL source | Permet de vérifier la page et le contexte de collecte | Obligatoire |
| Texte exact de la mention | Prouve que le consentement était éclairé et spécifique | Obligatoire |
| Screenshot du formulaire | Montre que la case n'était pas pré-cochée | Fortement conseillé |
| Log de vérification OTP | Prouve que le numéro appartient bien au prospect | Fortement conseillé |
| Statut exclusif / mutualisé | Doit correspondre à ce qui a été annoncé au prospect | Obligatoire |
| Origine réelle du trafic | SEO, Ads, co-registration, jeu-concours : tous ne se valent pas | À demander |
🚩 Les signaux qui doivent vous faire fuir
- « On ne communique pas nos sources » — un fournisseur conforme n'a rien à cacher sur l'origine de ses leads.
- Consentement générique du type « accepter de recevoir des offres partenaires » sans mention du secteur.
- Leads issus de jeux-concours ou de cadeaux : le consentement n'est pas libre, il est la contrepartie d'un gain.
- Aucune vérification du numéro — taux élevé de faux numéros et impossibilité de prouver la volonté du prospect.
- Refus de signer un DPA ou absence de politique de confidentialité accessible.
- Leads « vieux de plusieurs mois » revendus comme frais : le consentement est périmé commercialement et juridiquement fragile.
- Base de données livrée en fichier Excel sans preuve individuelle de consentement.
Checklist : les 10 questions à poser à votre fournisseur
Avant de signer, faites passer cet entretien à votre fournisseur. Un partenaire sérieux répond sans hésiter à chacune de ces questions, par écrit.
- 1. Quelle est l'origine exacte du trafic de vos formulaires (SEO, Google Ads, Meta, native, co-registration) ?
- 2. Puis-je voir la page de collecte et le texte intégral de la mention de consentement ?
- 3. La case de consentement est-elle pré-cochée ou non ?
- 4. Le secteur d'activité est-il explicitement mentionné dans le consentement ?
- 5. Vérifiez-vous le numéro de téléphone par OTP avant transmission ?
- 6. Quel est le délai moyen entre la collecte et la livraison du lead ?
- 7. Le lead est-il exclusif ou mutualisé, et le prospect en a-t-il été informé ?
- 8. Où sont hébergées les données, et pendant combien de temps sont conservées les preuves ?
- 9. Signez-vous un DPA (contrat de sous-traitance RGPD) et disposez-vous d'un DPO ?
- 10. Comment traitez-vous une demande d'effacement ou d'opposition d'un prospect ?
Envoyez ces 10 questions par email et conservez la réponse écrite. En cas de contrôle, cet échange documente votre diligence raisonnable dans le choix du sous-traitant — un élément fortement pris en compte par la CNIL.
DPA et clauses contractuelles indispensables
Le Data Processing Agreement (accord de traitement de données) n'est pas une formalité : c'est l'article 28 du RGPD qui l'impose dès qu'un tiers traite des données pour votre compte ou vous en transmet. Votre contrat d'achat de leads doit contenir au minimum :
- Description du traitement — nature des données, finalité, catégories de personnes concernées
- Garantie de licéité de la collecte — le fournisseur garantit que chaque lead a donné un consentement valide
- Engagement de fourniture de preuve — sous 72 heures sur simple demande, pendant toute la durée de conservation
- Clause de responsabilité et d'indemnisation en cas de sanction liée à un défaut de consentement
- Localisation des données — hébergement dans l'Union européenne, pas de transfert hors UE sans garanties
- Procédure d'exercice des droits — qui traite les demandes d'accès, de rectification et d'effacement
- Notification des violations de données sous 24 à 48 heures
- Politique de remplacement des leads non conformes, faux numéros ou hors zone
Côté acheteur, n'oubliez pas vos propres obligations : inscrire l'achat de leads dans votre registre des traitements, informer les prospects lors du premier contact de l'origine de leurs données, et respecter leur droit d'opposition immédiatement.
Mutualisation : légale, à condition d'être transparente
Il n'y a rien d'illégal à ce qu'un lead soit transmis à plusieurs professionnels. Beaucoup de prospects souhaitent d'ailleurs comparer plusieurs devis. Le problème n'est jamais la mutualisation en elle-même : c'est l'absence de transparence.
Pour qu'un lead mutualisé soit conforme, deux conditions :
- Côté prospect — la mention de consentement indique clairement que ses coordonnées peuvent être transmises à plusieurs professionnels du secteur, en précisant le nombre maximum.
- Côté acheteur — le fournisseur vous annonce avant l'achat le statut du lead (exclusif ou mutualisé) et, si mutualisé, le nombre de destinataires.
Un fournisseur qui vend un lead comme « exclusif » alors qu'il est revendu trois fois vous trompe commercialement et vous expose juridiquement, puisque le consentement du prospect ne couvre pas cette diffusion.
Sanctions et partage de responsabilité
C'est le point que la plupart des acheteurs sous-estiment : vous n'êtes pas protégé par la faute de votre fournisseur. En exploitant les données, vous devenez responsable de traitement à votre tour.
| Cadre | Autorité | Sanction maximale |
|---|---|---|
| RGPD — consentement invalide ou absent | CNIL | 20 M€ ou 4 % du CA mondial |
| Démarchage sans consentement (loi 2026) | DGCCRF | 75 000 € (personne physique) / 375 000 € (personne morale) par manquement |
| Défaut d'information des personnes | CNIL | Mise en demeure publique + amende |
| Non-respect d'une opposition | CNIL / DGCCRF | Amende + publication de la sanction |
Au-delà de l'amende, le risque réputationnel est réel : les sanctions CNIL sont publiées et référencées durablement sur Google au nom de votre entreprise.
Votre process d'achat conforme en 6 étapes
- Étape 1 — Auditer le fournisseur : les 10 questions ci-dessus, par écrit, avant toute commande.
- Étape 2 — Signer un DPA avec garantie de licéité et clause d'indemnisation.
- Étape 3 — Tester sur un petit volume : 30 à 50 leads suffisent pour évaluer la qualité et la conformité réelle.
- Étape 4 — Contrôler par échantillonnage : demandez la preuve de consentement de 5 leads pris au hasard chaque mois.
- Étape 5 — Rappeler vite : dans l'heure idéalement. Un consentement récent est à la fois plus conforme et bien plus rentable.
- Étape 6 — Documenter : registre des traitements à jour, preuves archivées, procédure d'opposition opérationnelle dans votre CRM.
Traitez la conformité comme un critère de sélection au même titre que le prix. Un lead à 25 € non conforme coûte infiniment plus cher qu'un lead à 45 € tracé, vérifié et couvert par un DPA.
Les leads conformes Webofly : opt-in, OTP et traçabilité
Webofly est un générateur de leads français spécialisé en rénovation énergétique : leads pompe à chaleur et leads panneaux solaires photovoltaïques. Nous générons 100 % de nos leads sur nos propres sites et campagnes — aucun achat de base externe, aucune co-registration.
- Consentement opt-in explicite — case non pré-cochée, mention du secteur, identification du destinataire
- Vérification OTP systématique du numéro de téléphone avant transmission
- Preuve complète fournie pour chaque lead : horodatage, IP, URL source, texte de la mention
- Transparence totale sur la mutualisation — statut annoncé avant l'achat, et annoncé au prospect
- DPA signé et données hébergées en France
- Livraison temps réel par webhook, email et SMS pour un rappel dans l'heure
- Sans engagement — testez la conformité sur un premier lot avant de vous engager
Passez à des leads 100 % conformes dès cette semaine
Consentement opt-in horodaté, numéro vérifié OTP, preuve fournie, DPA signé. Testez sans engagement.
Questions fréquentes
Oui. L'achat de leads reste parfaitement légal, à condition que chaque contact soit un opt-in : le prospect a rempli lui-même un formulaire, coché une case non pré-remplie mentionnant le secteur concerné et accepté d'être rappelé par un professionnel. Le fournisseur doit pouvoir fournir la preuve horodatée de ce consentement.
Pour chaque lead : date et heure du consentement, adresse IP, URL exacte de la page du formulaire, texte intégral de la mention, secteur d'activité visé et preuve de vérification OTP du numéro. Ces éléments doivent être conservés et présentables en cas de contrôle CNIL ou DGCCRF.
Oui. En tant qu'acheteur, vous devenez responsable de traitement des données que vous exploitez. Si le consentement est absent ou invalide, la CNIL et la DGCCRF peuvent vous sanctionner directement, même si la faute vient du fournisseur. D'où l'importance du DPA et de l'audit préalable.
Oui, la mutualisation n'est pas illégale. Elle devient problématique quand elle n'est pas annoncée : la mention de consentement doit indiquer que les données peuvent être transmises à plusieurs professionnels du secteur. Un fournisseur transparent affiche le statut exclusif ou mutualisé avant l'achat.
Côté RGPD, la CNIL peut prononcer jusqu'à 20 millions d'euros d'amende ou 4 % du chiffre d'affaires mondial. Côté démarchage, la loi prévoit jusqu'à 75 000 € pour une personne physique et 375 000 € pour une personne morale par manquement, avec publication possible de la sanction.
Pendant toute la durée du traitement, puis en archivage sur la durée de prescription applicable, généralement 3 ans après le dernier contact avec le prospect. Le fournisseur doit garantir contractuellement l'accès à ces preuves sur cette période.
La loi ne fixe pas de durée précise, mais la CNIL considère qu'un consentement devient obsolète après environ 3 ans sans contact. En pratique, un lead doit être rappelé dans les jours suivant sa collecte : au-delà de quelques semaines, le consentement perd sa pertinence juridique et son efficacité commerciale.
Bloctel reste en vigueur mais devient secondaire : puisque tout démarchage sans consentement préalable est interdit, l'inscription du prospect à Bloctel ne change plus la règle. Pas de consentement = pas d'appel, inscrit ou non.