Acheter des leads, c’est aussi hériter d’une responsabilité juridique. Depuis l’entrée en vigueur du RGPD en 2018, les annonceurs qui acquièrent des contacts commerciaux ne peuvent plus se contenter de faire confiance à leur fournisseur sur parole. En cas de manquement, c’est votre entreprise qui répond devant la CNIL, aux côtés du collecteur de données. Avant de signer un contrat d’achat de leads, voici ce qu’il faut vérifier.
Pourquoi la conformité RGPD de votre fournisseur de leads vous concerne ?
Imaginez : votre prospect remplit un formulaire sur un site pour demander un devis ou obtenir une information. On collecte ses données. Si ce prospect vous est ensuite revendu sous forme de lead, vous devenez co-responsable du traitement de ces données. Et oui, le RGPD ne distingue pas le collecteur du destinataire : les deux sont tenus de justifier une base légale valide pour le traitement.
Concrètement, cela signifie que si votre fournisseur de leads n’est pas au clair avec le RGPD, votre lead n’est pas exploitable légalement. Et cela peut être le formulaire source qui ne mentionne pas clairement votre secteur d’activité, un consentement obtenu de façon trop vague… Si c’est le cas, vous exposez alors votre entreprise à un signalement CNIL (dans les cas les plus graves, une sanction).
Les amendes infligées ces dernières années à des acteurs de la rénovation énergétique et de l’assurance montrent d’ailleurs que la CNIL surveille étroitement le secteur de la génération de leads commerciaux.
Quelles questions poser à votre fournisseur avant tout achat de leads RGPD ?
Pas besoin de faire passer un interrogatoire à votre fournisseur de leads ! Voici les principaux points à vérifier avant de signer.
Le consentement est-il explicite et documenté ?
Le prospect doit avoir coché une case non pré-cochée mentionnant qu’il accepte d’être contacté par des entreprises du secteur concerné ( rénovation, immobilier, assurance, etc). Il ne suffit pas d’avoir un consentement générique du type « j’accepte d’être recontacté par des partenaires ». Comment s’en assurer ? Demandez à voir un exemple de formulaire de collecte, avec la mention de consentement telle qu’elle apparaît à l’utilisateur.
Le lead est-il mutualisé ou exclusif, et sur combien de destinataires ?
Un lead RGPD conforme peut légalement être partagé entre plusieurs annonceurs, à condition que le consentement en précise le nombre ou la nature. Si le formulaire source mentionne « jusqu’à 3 partenaires du secteur habitat », la transmission à 5 ou 6 annonceurs simultanément sort du cadre consenti. Vérifiez le plafond de mutualisation contractuellement.
Quelle est la durée de conservation des preuves de consentement ?
Un fournisseur sérieux conserve les logs de consentement (date, heure, IP, wording affiché) pendant toute la durée légale. En cas de contrôle CNIL ou de réclamation d’un prospect, vous devez pouvoir produire cette preuve. Si votre fournisseur est incapable de la fournir à la demande, le risque juridique repose entièrement sur vous.
Les leads sont-ils conformes à la loi anti-démarchage téléphonique ?
Depuis le 1er janvier 2026, le consentement préalable est obligatoire avant tout appel commercial. Un lead collecté sans mention explicite d’un contact téléphonique à venir n’est pas appelable dans le cadre légal. Ce point est désormais indissociable de la conformité RGPD pour tout annonceur qui travaille sur des campagnes d’appels sortants.
Comment identifier un fournisseur de leads réellement RGPD ?
Plusieurs signaux permettent d’évaluer sérieusement la fiabilité d’un partenaire lors de l’achat de leads RGPD.
Être membre du CPA
Un fournisseur conforme est membre du CPA (Collectif pour les Acteurs du Marketing Digital) et signataire de la Charte email. Ces engagements impliquent des audits réguliers des pratiques de collecte et un cadre contractuel clair sur la gestion des données. L’appartenance à ces structures ne garantit pas l’absence de tout dysfonctionnement, mais elle indique une démarche structurée.
La transparence sur les sites sources
Un bon fournisseur est capable de vous indiquer sur quels supports les leads ont été générés. Si cette information est systématiquement opaque ou confidentielle, la vigilance s’impose.
La présence d’un DPA
Un DPA (pour Data Processing Agreement) dans le contrat est indispensable. Cet accord formalise les obligations respectives en matière de traitement des données, conformément à l’article 28 du RGPD.
Achat de leads RGPD : les garanties Edilead
Edilead est RGPD Compliant et membre du CPA (Collectif pour les Acteurs du Marketing Digital), dont elle est signataire de la Charte email. Ces engagements ne sont pas des labels décoratifs : ils impliquent un cadre de collecte audité et des pratiques contractuelles documentées sur la gestion des données personnelles.
Cela réduit significativement les risques juridiques et améliore la qualité des leads à l’usage. Un prospect qui a réellement consenti à être contacté dans votre secteur répond mieux et convertit davantage. Un acteur national de l’habitat accompagné par Edilead a ainsi enregistré +15 points de taux de rendez-vous sur leads. Un acteur de l’immobilier a obtenu +8 points de taux de rendez-vous et +60 % de leads supplémentaires.
Vous souhaitez acheter des leads RGPD pour une performance durable ? Pour en discuter avec nos équipes, contactez Edilead.
