Achat de fichier de prospection : les règles 2026

Depuis le 11 août 2026, un fichier de numéros de téléphone acheté à un courtier n’a plus aucune valeur en B2C s’il ne porte pas votre nom. Le décret n° 2026-662 du 23 juillet 2026 exige que le consentement au démarchage téléphonique identifie le professionnel qui appellera et la nature des produits concernés — un consentement « pour nos partenaires » ne vaut rien.

Ajoutez à cela une série de sanctions CNIL qui, de 600 000 € en 2022 à 900 000 € en 2025, visent systématiquement l’acheteur du fichier et non le seul courtier. Voici ce que l’achat de données de prospection impose réellement en 2026, et la grille de vérification à appliquer avant de signer.

Acheter un fichier de prospection est légal — mais vous en devenez responsable

Aucun texte n’interdit l’achat ou la location de fichiers de prospects. Le RGPD n’organise pas de régime d’autorisation : il organise un régime de responsabilité. Et cette responsabilité se déplace intégralement sur vous dès l’instant où vous décidez des finalités et des moyens du traitement — c’est-à-dire dès que vous décidez d’utiliser ces données pour prospecter.

Vous êtes alors responsable de traitement au sens de l’Art. 4(7). Trois conséquences en découlent, et ce sont exactement les trois terrains sur lesquels la CNIL vous attend.

D’abord, le principe de licéité : vous devez disposer d’une base légale valable au sens de l’Art. 6. Si cette base légale est le consentement, il doit avoir été recueilli dans des conditions conformes — peu importe que ce soit un tiers qui l’ait recueilli pour vous.

Ensuite, la responsabilité (accountability) de l’Art. 5(2) : vous devez être en mesure de démontrer cette conformité. Pas de l’affirmer, de la démontrer.

Enfin, la preuve du consentement de l’Art. 7(1) : lorsque le traitement repose sur le consentement, c’est au responsable de traitement d’apporter la preuve que la personne a consenti. Individuellement. Pas « en moyenne ».

Dans ma pratique de conseil, c’est presque toujours sur ce troisième point que le dossier s’effondre. L’entreprise produit le contrat signé avec le courtier, la clause de garantie RGPD, parfois un audit de conformité du fournisseur. Elle ne produit jamais le formulaire exact que M. Dupont a rempli le 14 mars, avec l’horodatage et le libellé soumis.

Six décisions qui fixent la doctrine CNIL

La ligne de la CNIL n’est pas une lecture doctrinale isolée : elle est construite depuis 2022, sanction après sanction, et elle vient d’être validée pour l’essentiel par le Conseil d’État.

Décision	Date	Montant	Ce qu’elle établit
SAN-2022-021 (EDF)	24 nov. 2022	600 000 €	Le courtier qui fournit le formulaire type, et non le formulaire individuellement rempli, ne fournit pas une preuve de consentement
SAN-2023-025 (TAGADAMEDIA)	29 déc. 2023	75 000 €	Le primo-collectant est sanctionné pour l’apparence trompeuse de ses formulaires de jeux-concours
SAN-2024-002 (FORIOU)	31 janv. 2024	310 000 €	L’engagement contractuel du courtier à respecter le RGPD n’est pas une mesure suffisante
SAN-2024-005 (HUBSIDE.STORE)	4 avr. 2024	525 000 €	L’utilisateur des données assume la responsabilité, y compris en guichet unique européen
SAN-2025-001 (SOLOCAL MARKETING SERVICES)	15 mai 2025	900 000 €	Attendre 17 mois après avoir constaté l’absence de preuve chez un fournisseur est fautif
CE, 20 mai 2026, n° 492836	20 mai 2026	50 000 €	Le Conseil d’État confirme la non-conformité des formulaires ; il ne réduit l’amende que pour un vice de procédure

La décision FORIOU contient la formule la plus citée, et la plus dérangeante pour les acheteurs : « un simple engagement contractuel de son courtier en données à respecter le RGPD et les règles applicables en matière de prospection commerciale ne constitue pas une mesure suffisante ». Autrement dit, la clause de garantie que votre juriste a négociée pendant trois semaines ne vous exonère de rien vis-à-vis de la CNIL. Elle organise seulement votre recours contre le courtier — ce qui n’est pas rien, mais ce n’est pas une défense.

L’arrêt du Conseil d’État du 20 mai 2026 mérite une lecture attentive. La haute juridiction a ramené l’amende TAGADAMEDIA de 75 000 € à 50 000 €, mais uniquement parce que la formation restreinte avait substitué en cours de procédure un manquement à l’Art. 6 à un manquement à l’Art. 5, sans permettre à la société de présenter ses observations sur ce point. Sur le fond, le Conseil d’État valide l’analyse : la mise en valeur du bouton d’acceptation et l’ambiguïté entretenue sur les conséquences des choix proposés privent le consentement de son caractère libre et univoque. Ce sont précisément les mécanismes que l’on retrouve dans les dark patterns désormais interdits.

À l’échelle européenne, la trajectoire est la même : l’autorité belge a sanctionné en 2026 le courtier Infobel de 40 000 € pour la revente de données obtenues auprès d’un opérateur télécom sans consentement valable, et le CEPD a publié le 4 mars 2026 une étude de marché consacrée aux data brokers qui en fait une priorité de contrôle.

Ce qui a changé le 11 août 2026 pour les fichiers téléphoniques

C’est la rupture la plus brutale, et beaucoup de directions marketing ne l’ont pas encore intégrée. Depuis le 11 août 2026, l’article L. 223-1 du Code de la consommation, dans sa rédaction issue de l’article 13 de la loi n° 2025-594 du 30 juin 2025, interdit le démarchage téléphonique d’un consommateur qui n’y a pas préalablement consenti. Bloctel a disparu, et avec lui la logique de liste d’opposition.

Le décret n° 2026-662 du 23 juillet 2026 — pris après avis de la CNIL, délibération n° 2026-065 du 18 juin 2026 — précise les modalités de recueil et de conservation de ce consentement aux nouveaux articles R. 223-1 à R. 223-4 du Code de la consommation. Ces exigences détruisent, en pratique, le modèle du fichier téléphonique générique.

Exigence (art. R. 223-1 et R. 223-2 C. conso.)	Conséquence pour un fichier acheté
La demande de consentement doit indiquer l’identité du professionnel et celle du tiers agissant pour son compte	Un consentement « pour nos partenaires » non nommés est inopérant : votre nom doit y figurer
Elle doit préciser la nature des biens ou services concernés	Un consentement collecté pour de la téléphonie ne couvre pas une offre d’assurance
Le consentement vaut un an maximum, sans reconduction tacite	Un fichier daté de plus de douze mois est périmé, quelle que soit sa qualité
Absence de consentement si toutes les informations ne figurent pas sur la preuve	La preuve doit être complète, pas seulement horodatée
Une mention prérédigée par laquelle le consommateur « reconnaît consentir », ou la simple poursuite de navigation, ne sont pas des actes positifs clairs	Les formulaires de jeux-concours à bouton unique sont hors jeu
Conservation et archivage numérique pendant trois ans, avec accès individualisé et gratuit du consommateur sur support durable	Vous devez pouvoir restituer la preuve, prospect par prospect
Le retrait doit être possible à tout moment, y compris oralement, selon des modalités non plus complexes que le recueil	Un refus exprimé pendant l’appel doit être enregistré immédiatement

La lecture combinée de ces dispositions conduit à une conclusion nette : en B2C, un fichier téléphonique acheté n’est exploitable que si le courtier a recueilli le consentement en vous nommant, pour votre catégorie de produits, il y a moins d’un an, et peut vous transmettre la preuve individuelle correspondante. Si le courtier ne peut pas vous fournir cela, le fichier n’a pas de valeur juridique — il a seulement un prix.

Une exception résiduelle mérite d’être signalée : l’article R. 223-4 autorise le rappel d’un consommateur ayant lui-même demandé une information sur la rénovation énergétique ou l’adaptation du logement, à condition que le professionnel puisse justifier de la réalité de la demande, que l’appel intervienne dans les cinq jours ouvrables et qu’il porte uniquement sur l’objet de la demande. C’est un couloir étroit, à documenter avec soin.

Le régime applicable, canal par canal

Le droit de la prospection n’est pas unifié : il varie selon le canal et selon la qualité du destinataire. Un fichier acheté peut être parfaitement exploitable sur un canal et illicite sur un autre.

Canal	Vers un consommateur (B2C)	Vers un professionnel (B2B)
Courrier électronique	Consentement préalable (art. L. 34-5 CPCE), sauf soft opt-in client sur produits analogues	Information + droit d’opposition si le message est en lien avec l’activité
SMS / MMS	Consentement préalable	Même régime d’opposition que l’email
Téléphone (opérateur humain)	Consentement préalable nominatif depuis le 11 août 2026 (art. L. 223-1 C. conso.)	Hors champ de L. 223-1, mais RGPD applicable
Automate d’appel, télécopie	Consentement préalable	Consentement préalable
Courrier postal	Intérêt légitime mobilisable + droit d’opposition	Intérêt légitime + droit d’opposition

Ce tableau explique pourquoi la question « ce fichier est-il conforme ? » n’a pas de réponse dans l’absolu. La bonne question est : « ce fichier est-il conforme pour l’usage que je veux en faire ? ». Un fichier B2B collecté sur un salon professionnel peut être exploitable en emailing d’activité et totalement inexploitable en téléprospection vers des numéros personnels. Le détail du régime figure dans mon guide de la prospection commerciale au regard du RGPD et dans l’analyse de la frontière entre opt-in et opt-out.

Attention à un piège fréquent : la qualification B2B ne dépend pas de l’adresse mais du contexte. Prospecter un artisan sur son portable, qui est aussi son numéro privé, pour lui vendre un produit sans lien avec son métier, c’est du B2C.

La grille de vérification avant achat

C’est le cœur opérationnel du sujet. La CNIL n’exige pas que vous refassiez le travail du courtier ; elle exige que vous ayez procédé à des vérifications sérieuses, documentées, et que vous en ayez tiré les conséquences. Voici la grille que j’utilise en audit.

1. Exiger les formulaires de collecte réels, pas des maquettes. Demandez des captures d’écran datées de chaque source, dans leur résolution d’affichage réelle, mobile et desktop. Regardez la hiérarchie visuelle : si le bouton « J’accepte » est coloré et large et que le lien « Continuer sans accepter » est en corps 10 gris sur blanc, vous avez sous les yeux le motif exact sanctionné dans SOLOCAL et confirmé par le Conseil d’État.

2. Vérifier que votre société est nommée. Sur les canaux exigeant le consentement, exigez la liste exacte des destinataires présentée à la personne. Une formule « nos partenaires commerciaux » assortie d’un lien vers une liste de 400 sociétés modifiable à volonté ne constitue pas une information éclairée. Depuis le 11 août 2026, pour le téléphone, cette exigence n’est plus discutable : elle est réglementaire.

3. Contrôler la spécificité de la finalité. Le consentement doit couvrir votre catégorie de produits ou services. Un consentement générique « recevoir des offres commerciales » est fragile ; en téléphonie B2C il est désormais nul.

4. Demander un échantillon de preuves individuelles. Prenez cinquante enregistrements au hasard et exigez, pour chacun, la preuve individualisée : date, heure, URL du formulaire, libellé exact soumis, adresse IP le cas échéant. Si le courtier ne peut fournir que le formulaire type, arrêtez-vous là — c’est précisément le manquement retenu contre EDF en 2022.

5. Dater le fichier. Un consentement téléphonique de plus d’un an est expiré par l’effet du 3° du I de l’article R. 223-1. Pour les autres canaux, aucun texte ne fixe de péremption, mais la CNIL considère qu’un consentement ancien et jamais réactivé perd son caractère éclairé. Trois ans est un maximum défendable ; treize mois est prudent.

6. Remonter la chaîne complète. Le courtier qui vous vend le fichier n’est souvent pas le primo-collectant. Exigez l’identification de tous les maillons, du site de jeu-concours jusqu’à vous. Chaque intermédiaire est un point de rupture de la preuve.

7. Vérifier l’information délivrée au moment de la collecte. Les mentions de l’Art. 13 devaient être fournies : identité du responsable, finalités, base légale, destinataires, durée, droits. Une charte de confidentialité incomplète a coûté une partie de son amende à EDF.

8. Qualifier juridiquement la relation. Le courtier agit-il comme sous-traitant sur vos instructions, comme responsable de traitement autonome, ou êtes-vous en responsabilité conjointe ? La réponse détermine le contrat à conclure et la répartition des obligations. La vente d’un fichier constitué en amont relève en principe de deux responsables de traitement successifs, pas d’une sous-traitance.

9. Localiser les données. Si la collecte ou l’hébergement impliquent un transfert hors de l’UE, l’encadrement du chapitre V s’ajoute au reste.

10. Documenter la décision. Rédigez une note de deux pages : ce que vous avez demandé, ce que vous avez obtenu, ce que vous avez refusé, et pourquoi vous concluez à la licéité. C’est cette note qui fera la différence en contrôle. Sans elle, votre diligence n’existe pas.

Les clauses contractuelles utiles — et celles qui ne servent à rien

Puisque le contrat n’exonère pas, à quoi sert-il ? À trois choses, et il faut les distinguer nettement.

Il sert à organiser la fourniture de la preuve. Une clause qui impose au fournisseur de transmettre, sous 72 heures et sur simple demande, la preuve individuelle de consentement pour tout enregistrement désigné, a une vraie valeur opérationnelle : elle vous permet de répondre à la CNIL et à la personne concernée dans les délais.

Il sert à organiser votre recours. Garantie d’éviction, indemnisation du préjudice, prise en charge des amendes dans la limite de ce qu’autorise le droit : cela règle la question entre vous et le courtier, sans effet sur votre responsabilité vis-à-vis de l’autorité.

Il sert enfin à fixer les conditions de sortie. La leçon de SOLOCAL est là : la société avait constaté que son fournisseur ne pouvait pas produire la preuve, et avait continué à utiliser les données pendant dix-sept mois. Prévoyez une clause de suspension immédiate d’usage et de purge à première demande, avec certificat de destruction.

En revanche, ne comptez pas sur : une clause de garantie générale de conformité RGPD, une déclaration sur l’honneur du fournisseur, une certification autoproclamée, ou un contrat de sous-traitance conclu par confort alors que le courtier agit en réalité pour son propre compte. Aucun de ces éléments n’a jamais convaincu la formation restreinte.

Le piège de l’article 14 : informer sous un mois

C’est l’obligation la plus systématiquement oubliée, et c’est un manquement autonome, sanctionnable indépendamment de la validité du consentement.

Lorsque vous n’avez pas collecté les données directement auprès de la personne, l’Art. 14 impose de l’informer dans un délai raisonnable et au plus tard un mois après l’obtention des données, ou, si les données servent à communiquer avec elle, au plus tard lors de la première communication. L’information doit comprendre, en plus des mentions habituelles, les catégories de données traitées et la source dont elles proviennent.

Deux erreurs reviennent constamment. La première consiste à croire que l’exception de l’Art. 14(5)(b) — effort disproportionné — s’applique à la prospection commerciale. Elle ne s’applique pas : si vous disposez d’une adresse ou d’un numéro suffisant pour prospecter, vous disposez du moyen d’informer. La seconde consiste à noyer la mention de la source dans une politique de confidentialité générique. La CNIL attend une indication précise de la provenance, et l’a explicitement reproché à EDF.

En pratique, la solution la plus robuste est d’intégrer un bloc d’information dédié dans le premier message adressé au prospect, indiquant la source nominative des données, les finalités, la base légale et les modalités d’opposition. C’est aussi, accessoirement, un bon signal de sérieux commercial. Les modèles de mentions doivent être adaptés à cette hypothèse de collecte indirecte.

Constituer une liste repoussoir — la fiche CNIL du 10 juin 2026

Le droit d’opposition à la prospection est absolu : la personne n’a pas à le motiver, et il joue quelle que soit la base légale (Art. 21). Le problème pratique, avec les fichiers achetés, est le suivant : une personne qui s’est opposée en janvier réapparaît en juin dans un fichier acquis auprès d’un autre courtier. Vous la sollicitez de nouveau. Elle réclame. Et vous ne pouvez rien opposer.

La CNIL a publié le 10 juin 2026 une fiche pratique consacrée à ce mécanisme, la liste repoussoir. Le principe : conserver, dans un fichier dédié à cette seule finalité, les coordonnées des personnes opposées, afin de les exclure de toute nouvelle campagne, y compris lorsque leurs données proviennent d’une source tierce. La CNIL recommande une conservation d’au moins trois ans.

Le point technique est intéressant, et c’est celui que je recommande systématiquement de mettre en œuvre. Plutôt que de conserver une liste nominative — qui reconstitue paradoxalement un fichier de personnes hostiles à la prospection —, il est possible de ne stocker que les empreintes cryptographiques (hash) des adresses et numéros, calculées avec un algorithme robuste. À réception d’un nouveau fichier, vous hachez les coordonnées entrantes et comparez les empreintes : celles qui figurent dans les deux ensembles correspondent à des personnes opposées, à écarter. Vous respectez la minimisation sans dégrader l’efficacité du filtre, et vous réduisez fortement l’impact d’une éventuelle fuite. Ces empreintes restent des données personnelles et doivent être sécurisées en conséquence.

Pour les adresses postales, la CNIL signale la difficulté du formatage — « avenue », « av. », « Av » produisent trois empreintes distinctes — et recommande une normalisation préalable, par géocodage ou via la Base Adresse Nationale de la DINUM.

Conservation, purge et traçabilité

Un fichier acheté n’est pas un actif que l’on conserve indéfiniment. Trois horizons se combinent.

Pour les données de prospection elles-mêmes, la CNIL retient classiquement une durée de trois ans à compter du dernier contact émanant du prospect. Un prospect qui n’a jamais répondu à une seule sollicitation en trois ans doit sortir de la base active. Le détail des règles figure dans mon guide des durées de conservation.

Pour les preuves de consentement téléphonique, l’article R. 223-2 impose trois ans à compter du recueil, prolongeables pour l’exercice ou la défense de droits en justice.

Pour la liste repoussoir, trois ans minimum, dans un espace strictement cloisonné : ces données ne peuvent en aucun cas servir à autre chose.

Il reste à documenter l’ensemble. Chaque fichier acquis doit apparaître dans votre registre des activités de traitement au titre de l’Art. 30, avec sa source, sa base légale, ses catégories de données et sa durée de conservation. Si vous croisez ces données avec des outils de scoring ou de profilage, la question d’une analyse d’impact se pose sérieusement — le profilage à grande échelle de personnes non clientes coche plusieurs critères de la liste CNIL. Tenir cette traçabilité à la main devient vite ingérable dès que les sources se multiplient ; c’est typiquement le travail qu’une plateforme de conformité comme Legiscope centralise, en reliant chaque fichier à sa source, sa base légale et ses preuves.

Ce que vous risquez réellement

Le cumul des régimes est ce qui rend le sujet coûteux.

Fondement	Autorité	Plafond ou montant observé
Art. 5, 6, 7, 12 à 22 RGPD	CNIL	20 M€ ou 4 % du CA mondial (Art. 83(5))
Art. L. 34-5 CPCE (email, SMS)	CNIL	Amendes prononcées de 310 000 € à 900 000 € dans les affaires courtiers
Art. L. 223-1 C. conso. (téléphone)	DGCCRF	75 000 € (personne physique) / 375 000 € (personne morale), doublés en réitération
Contrat conclu après démarchage interdit	Juge civil	Nullité du contrat et restitution

Il faut y ajouter deux effets souvent sous-estimés. D’une part l’injonction sous astreinte : dans l’affaire SOLOCAL, la CNIL a assorti l’amende d’une injonction de cesser toute prospection électronique sans consentement valable, sous astreinte de 10 000 € par jour de retard passé un délai de neuf mois. D’autre part la publicité de la décision, qui est devenue la norme dans ce contentieux et dont l’effet commercial dépasse largement le montant de l’amende. Le déroulé complet est détaillé dans mon article sur la procédure de sanction de la CNIL, et le panorama des décisions récentes dans sanctions CNIL 2026.

Plan d’action en huit étapes

1. Inventoriez vos fichiers acquis : source, date d’acquisition, canal d’usage, volume, base légale revendiquée.
2. Isolez immédiatement les numéros de téléphone B2C acquis avant le 11 août 2026 ou dont le consentement ne vous nomme pas : ils sont hors régime.
3. Réclamez à chaque courtier un échantillon de preuves individuelles et les captures des formulaires réels, avec un délai de réponse ferme.
4. Décidez et tracez : chaque source est validée, mise sous condition ou purgée, avec une note motivée.
5. Purgez sans attendre ce qui n’est pas justifiable. Le délai de dix-sept mois de SOLOCAL est le contre-exemple à ne pas reproduire.
6. Déployez l’information Art. 14 dans le premier message de chaque campagne issue d’un fichier acquis, avec mention précise de la source.
7. Mettez en place la liste repoussoir hachée et branchez-la en amont de chaque import.
8. Mettez à jour le registre, les durées de conservation et, le cas échéant, l’AIPD.

Un audit RGPD ciblé sur la seule chaîne d’acquisition de données prospects se mène en quelques jours et constitue, dans mon expérience, l’un des meilleurs rapports coût/risque évité qu’une direction marketing puisse s’offrir.

Ce qu’il faut retenir

• Acheter un fichier n’est pas interdit, mais l’acheteur devient responsable de traitement et supporte la charge de la preuve du consentement (Art. 5(2) et Art. 7(1) RGPD).
• Le contrat n’exonère pas : depuis FORIOU (SAN-2024-002), un engagement contractuel du courtier à respecter le RGPD n’est pas une mesure suffisante. Le Conseil d’État a validé cette ligne le 20 mai 2026 (n° 492836).
• Depuis le 11 août 2026, un fichier téléphonique B2C n’est exploitable que si le consentement vous nomme, vise vos produits, date de moins d’un an et s’accompagne d’une preuve individuelle archivée trois ans (décret n° 2026-662, art. R. 223-1 et R. 223-2 C. conso.).
• L’article 14 est un manquement autonome : informer sous un mois, ou au plus tard lors de la première communication, en indiquant précisément la source des données.
• La liste repoussoir, recommandée par la CNIL le 10 juin 2026, se conserve trois ans minimum et gagne à être stockée sous forme d’empreintes cryptographiques.
• Le risque financier cumule RGPD (20 M€ / 4 %), CPCE (amendes CNIL de 310 000 € à 900 000 € dans les affaires courtiers), Code de la consommation (375 000 € DGCCRF) et nullité des contrats.

FAQ

Peut-on encore acheter un fichier de prospection en 2026 ?

Oui, l’achat de fichiers reste licite. Mais l’acheteur doit vérifier lui-même que les données ont été collectées conformément — formulaires réels, consentement nommant sa société lorsque le canal l’exige, preuves individuelles disponibles — et documenter ces vérifications. À défaut de base légale valable, l’utilisation du fichier est illicite, quelle que soit la qualité du contrat signé.

Une clause de garantie RGPD dans le contrat me protège-t-elle d’une sanction ?

Non. La CNIL a jugé dès 2022, puis explicitement en 2024 dans l’affaire FORIOU, qu’un simple engagement contractuel du fournisseur ne constitue pas une mesure suffisante. La clause organise votre recours contre le courtier ; elle n’a aucun effet sur votre responsabilité vis-à-vis de l’autorité de contrôle.

Mes fichiers téléphoniques B2C achetés avant le 11 août 2026 sont-ils encore utilisables ?

En principe non, s’agissant de prospection téléphonique vers des consommateurs. Le nouveau régime exige un consentement recueilli selon les modalités des articles R. 223-1 et R. 223-2 du Code de la consommation, identifiant le professionnel appelant et la nature des produits, valable un an au plus. Un fichier antérieur ne satisfait quasiment jamais ces conditions et devrait être écarté des campagnes sortantes.

Faut-il informer les prospects issus d’un fichier acheté ?

Oui, c’est une obligation autonome de l’article 14 du RGPD. L’information doit intervenir dans un délai raisonnable et au plus tard un mois après l’obtention des données, ou lors de la première communication si celle-ci est antérieure. Elle doit mentionner les catégories de données traitées et la source précise dont elles proviennent.

Le régime est-il différent en B2B ?

Partiellement. Le consentement préalable de l’article L. 223-1 du Code de la consommation ne vise que le consommateur, et la prospection électronique vers un professionnel sur un sujet lié à son activité relève d’un régime d’opposition (art. L. 34-5 CPCE). Mais le RGPD s’applique intégralement : base légale, information au titre de l’article 14, droit d’opposition et preuve des vérifications effectuées sur la source du fichier.

---

Vous suivez ces sujets de près ? Une analyse hebdomadaire des décisions CNIL, du droit de la prospection et de la conformité RGPD, écrite par un docteur en droit : inscrivez-vous à la newsletter.

---

Sources : CNIL, « Courtiers en données : sanction de 900 000 euros à l’encontre de la société SOLOCAL MARKETING SERVICES », 21 mai 2025 — Délibération SAN-2025-001 du 15 mai 2025 (Légifrance) — CNIL, « Prospection commerciale : sanction de 310 000 euros à l’encontre de la société FORIOU » — Délibération SAN-2024-002 du 31 janvier 2024 (Légifrance) — CNIL, « Prospection commerciale : sanction de 525 000 euros à l’encontre de la société HUBSIDE.STORE » — CNIL, « Courtiers en données : sanction de 75 000 euros à l’encontre de la société TAGADAMEDIA » — Conseil d’État, 20 mai 2026, n° 492836 — Délibération SAN-2022-021 du 24 novembre 2022 (Légifrance) — Décret n° 2026-662 du 23 juillet 2026 (Légifrance) — CNIL, « Comment utiliser une liste repoussoir pour respecter l’opposition à la prospection ? », 10 juin 2026

Thiébaut Devergranne est docteur en droit (Paris II) et conseille les organisations en protection des données depuis plus de vingt ans, dont six passées au service du Premier ministre. Cet article présente une analyse juridique générale et ne constitue pas un conseil juridique individualisé.