Le Règlement général sur la protection des données (RGPD) s'applique de plein fouet aux courtiers de données, ces data brokers qui collectent et agrègent des informations pour les revendre à des entreprises, le plus souvent à des fins de prospection commerciale. Pour un courtier, la conformité est un enjeu de survie commerciale. Pour l'entreprise qui lui achète un fichier, c'est un risque qu'elle porte elle-même : la CNIL a fait de la prospection commerciale sa thématique prioritaire de contrôle en 2022, et les sanctions qui en sont sorties visent autant les acheteurs que les vendeurs.
Ce guide fait le point sur ce que le RGPD impose aux courtiers de données : transparence, base légale, droits des personnes, documentation (principe d'accountability) et gestion de la chaîne de partenaires. Il se termine par les vérifications qu'un DPO doit mener avant d'acheter ou de louer un fichier, et par les décisions de la CNIL datées et sourcées qui les justifient (Solocal Marketing Services, Caloga, Hubside.Store, Foriou, Tagadamedia).
Data broker : définition
Un data broker, ou courtier en données, est une entreprise dont le métier est de collecter des données personnelles, de les enrichir ou de les agréger, puis de les céder, de les louer ou de les exploiter pour le compte de clients. Le RGPD ne lui consacre aucun article spécifique : il le traite comme n'importe quel responsable de traitement, avec une difficulté particulière, puisque son activité consiste précisément à faire circuler des données vers des tiers que la personne ne connaît pas.
En France, les courtiers que la CNIL a sanctionnés ces dernières années partagent un modèle : ils achètent des données de prospects auprès d'éditeurs de sites de jeux-concours, de tests de produits ou d'autres courtiers, puis démarchent ces personnes par SMS ou par courrier électronique pour le compte d'annonceurs, ou leur transmettent les fichiers. D'autres marchés existent, moins visibles : la CNIL a rappelé le 7 juillet 2026 les règles applicables au commerce des données de géolocalisation issues des applications mobiles, revendues à des courtiers spécialisés.
Trois situations sont à distinguer, car elles ne créent pas les mêmes obligations :
- Le courtier collecte lui-même (site de jeux-concours, formulaire de test produit) : il est responsable de traitement et doit informer les personnes au moment de la collecte (article 13 du RGPD).
- Le courtier achète puis revend : il obtient les données indirectement et doit informer les personnes dans les délais de l'article 14.
- Le courtier mène les campagnes pour un annonceur : selon qui décide des finalités et des moyens, il est sous-traitant (article 28) ou responsable conjoint (article 26).
Transparence : informer les personnes, c'est la base
La transparence est un pilier du RGPD. Un courtier doit informer clairement les personnes dès la collecte, même s'il compte revendre les données par la suite. Quand un internaute participe à un jeu-concours en ligne (principale source de données pour beaucoup de data brokers), il doit savoir ce que ses données vont devenir. Le courtier doit indiquer la finalité de la collecte (par exemple la transmission à des partenaires commerciaux) et les destinataires ou catégories de destinataires, c'est-à-dire à quels partenaires et dans quels secteurs les données pourront être transmises.
Si le courtier prévoit de partager les informations avec une longue liste de partenaires, la personne doit pouvoir en prendre connaissance. L'article 12 du RGPD exige une information « concise, transparente, compréhensible et aisément accessible ». Les mentions légales cachées en bas de page ne suffisent pas : la liste des destinataires doit être facilement accessible au moment du recueil des données.
Quand les données sont obtenues indirectement, l'article 14 du RGPD impose d'informer les personnes dans un délai raisonnable, au plus tard un mois après l'obtention, et au plus tard lors de la première communication si les données servent à contacter la personne. Concrètement, une entreprise qui a acquis un fichier de prospects doit, dans le tout premier message envoyé, fournir les informations requises : identité du responsable, finalité, source des données, droit d'opposition. La CNIL a retenu ce manquement contre Hubside.Store en avril 2024, pour des démarchages téléphoniques menés sans information suffisante des personnes appelées.
Base légale : le consentement, dans presque tous les cas
Sur quelle base légale un courtier de données peut-il exploiter ou revendre des données personnelles ?
Dans la grande majorité des cas, c'est le consentement préalable de la personne. Pour la prospection par courrier électronique ou SMS auprès de particuliers, l'article L. 34-5 du Code des postes et des communications électroniques (CPCE) impose déjà un consentement avant toute sollicitation. Le RGPD exige en plus une base légale valable pour chaque traitement (article 6 du RGPD), et pour la transmission de données à des tiers à des fins de prospection, l'intérêt légitime est très difficile à invoquer face à des personnes qui n'ont jamais eu de relation avec l'annonceur.
Pour un data broker, cela signifie que lors de la collecte initiale, il faut obtenir le consentement de la personne sur deux points distincts : la transmission de ses données à des partenaires, et leur réutilisation par ces partenaires pour la prospection. Pas de case pré-cochée, pas de formulation ambiguë : le consentement doit être libre, spécifique, éclairé et univoque (article 7 et importance du consentement explicite).
Le point qui revient dans presque toutes les décisions récentes est le design des formulaires. Un bouton « J'accepte de recevoir des offres » mis en valeur, face à un lien « participer sans recevoir d'offres » minuscule et confondu avec le texte, ne permet pas de recueillir un consentement valable. C'est le motif retenu le 15 mai 2025 contre Solocal Marketing Services (900 000 € d'amende), qui démarchait par SMS et par courrier électronique des prospects achetés à des courtiers et à des éditeurs de jeux-concours. C'est aussi celui retenu contre Foriou et Hubside.Store en 2024. La CNIL l'avait également retenu contre Tagadamedia en décembre 2023, mais le Conseil d'État a annulé ce manquement le 20 mai 2026 pour un motif de procédure (voir la section sanctions plus bas).
En pratique : sans consentement valable et prouvable, pas de prospection électronique sur des données achetées.
Droits des personnes : accès, opposition, effacement et organisation
Les personnes dont les données sont collectées gardent le contrôle. Un individu a le droit de s'opposer à la prospection à tout moment (article 21), de demander l'accès à ses données, leur rectification ou leur effacement. Pour un courtier, cela suppose des processus en place pour traiter ces demandes dans le délai d'un mois prévu par l'article 12 (voir notre guide sur les droits RGPD des personnes).
La particularité d'un data broker tient à l'aval. Quand une personne obtient l'effacement ou la rectification de ses données, l'article 19 du RGPD impose au responsable de notifier la demande à chaque destinataire à qui les données ont été communiquées, sauf si cela se révèle impossible ou exige des efforts disproportionnés. Pour un courtier qui a vendu le même fichier à des dizaines de clients, cela n'est tenable qu'avec un registre précis de « qui a reçu quoi, et quand ».
Un data broker doit aussi pouvoir indiquer l'origine des données quand une personne exerce son droit d'accès : l'article 15 prévoit que, lorsque les données n'ont pas été collectées auprès de la personne, toute information disponible sur leur source lui est communiquée. Si une personne demande « D'où tenez-vous mon email et mon numéro de téléphone ? », le courtier doit pouvoir retracer le site source ou le partenaire. Pour l'opposition, enfin, le courtier qui gère des campagnes pour des clients doit centraliser les désinscriptions et les répercuter sur ses listes et sur celles déjà transmises.
En résumé, les droits des personnes obligent les courtiers à être réactifs et organisés. C'est aussi un bon test de sérieux : une entreprise incapable de dire quelles données elle détient sur quelqu'un, ou de le retirer de ses fichiers, aura du mal à démontrer sa conformité.
Documentation et accountability : le RGPD aime les preuves
L'accountability (article 5, paragraphe 2) impose de démontrer que les obligations sont respectées. Pour un courtier, cela commence par le registre des activités de traitement (article 30 du RGPD), qui recense les traitements, leurs finalités, les catégories de données et les destinataires. L'exemption prévue pour les structures de moins de 250 salariés ne joue pas pour un courtier : elle exclut les traitements qui ne sont pas occasionnels, et la revente de données est le cœur de son activité.
Le registre doit dire clairement qui fait quoi. C'est le manquement que la CNIL a retenu contre Tagadamedia dans sa délibération du 29 décembre 2023 : le registre, partagé avec une autre entité, ne précisait pas quelle société était responsable de quel traitement. Ce manquement à l'article 30 n'a pas été remis en cause par le Conseil d'État.
Au-delà du registre, le courtier doit conserver la preuve des consentements recueillis : l'article 7, paragraphe 1, met cette preuve à la charge du responsable de traitement. Il faut pouvoir montrer, pour chaque adresse ou numéro du fichier, le formulaire présenté, le texte exact accepté, la date et la source. Dans la décision Solocal Marketing Services du 15 mai 2025, la formation restreinte a retenu, à côté de l'absence de consentement valable, l'impossibilité de prouver ce consentement : la société n'a pas pu produire la preuve pour les personnes venant de l'un de ses principaux fournisseurs, et a attendu près de 17 mois après l'avoir constaté pour cesser d'utiliser ces données.
La documentation inclut aussi les politiques internes (durées de conservation, gestion des demandes), les contrats avec les partenaires et sous-traitants, les analyses d'impact quand elles sont requises, et toute preuve de conformité utile en cas de contrôle ou de plainte.
Partenaires, fournisseurs, sous-traitants : une responsabilité en chaîne
Le métier de courtier s'inscrit dans une chaîne de traitement à plusieurs maillons. En amont, les fournisseurs de données (sites de jeux-concours, de tests de produits, autres courtiers) qui collectent en premier. En aval, les clients qui achètent les données ou confient des campagnes au courtier. Autour, des sous-traitants techniques : plateformes d'envoi d'emails ou de SMS, centres d'appels, hébergeurs. Le RGPD impose une vigilance à chaque maillon.
Côté amont : les fournisseurs de données
Le courtier doit s'assurer que les données qu'il acquiert ont été collectées légalement. Cela passe par des exigences contractuelles envers ses fournisseurs, mais la CNIL a été explicite : le contrat ne suffit pas. Dans la décision Solocal Marketing Services, elle a jugé « manifestement insuffisantes » les exigences contractuelles imposées aux fournisseurs et les vérifications menées en aval. Il faut des vérifications effectives : demander les formulaires de collecte, les archiver, contrôler leur design, et auditer ses fournisseurs comme on audite ses sous-traitants.
Foriou, spécialisée dans les programmes de fidélité, a été sanctionnée de 310 000 € le 31 janvier 2024 pour avoir démarché des personnes dont les données avaient été achetées à des courtiers, sans s'assurer qu'elles avaient valablement consenti. Les formulaires source mettaient en avant le partage des données et reléguaient l'option de refus à un petit lien : pas de consentement valable, donc pas de base légale au sens de l'article 6.
La suite de l'affaire Solocal montre ce que la CNIL juge suffisant. Par une délibération du 17 septembre 2026, elle a clôturé l'injonction prononcée contre Solocal Marketing Services : la société a mis en place une analyse automatisée des formulaires de collecte de ses partenaires, complétée par une appréciation humaine. La CNIL précise qu'elle « reste responsable de la validité des consentements recueillis, pour son compte, par ses partenaires ».
Côté aval : les clients du courtier
Si le courtier agit comme simple fournisseur de données, chaque client qui les utilise devient responsable de son propre traitement. Une entreprise qui achète un fichier doit, dès sa première campagne, délivrer l'information de l'article 14 (source des données, droit d'opposition), respecter les règles de la prospection BtoB ou BtoC selon la cible, et, pour le téléphone, filtrer les numéros inscrits sur la liste d'opposition Bloctel.
Si le courtier réalise lui-même les campagnes pour le compte de ses clients, sa qualification dépend des faits. S'il agit sur instruction, il est sous-traitant et un contrat conforme à l'article 28 est obligatoire (instructions, sécurité, sort des données). S'il détermine avec le client les finalités et les moyens, ils sont responsables conjoints, et l'article 26 impose un accord qui répartit leurs obligations. Dans les deux cas, chacun doit s'assurer que l'autre est conforme.
Il n'y a pas de délégation de responsabilité par contrat. La CNIL peut sanctionner chaque maillon, du collecteur initial au dernier utilisateur, et elle l'a fait : Solocal Marketing Services, Foriou et Hubside.Store étaient des utilisateurs de données achetées, pas des collecteurs.
Acheter ou louer un fichier à un data broker : les vérifications du DPO
Pour un DPO, la question n'est pas théorique : le marketing veut un fichier, le prestataire promet qu'il est « entièrement opt-in », et c'est l'entreprise acheteuse qui portera la sanction si la promesse ne tient pas. Avant de signer, six vérifications :
- Origine des données : obtenir la liste des sources (sites, jeux-concours, partenaires de co-registration) et la date de collecte de chaque lot.
- Formulaires de collecte : demander des captures des formulaires tels qu'ils étaient au moment de la collecte, et vérifier que le refus est aussi simple et aussi visible que l'acceptation, et que votre entreprise ou votre secteur figure parmi les destinataires annoncés.
- Preuve du consentement : exiger que la preuve (date, formulaire, texte présenté) soit transmise ou disponible sur demande, fichier par fichier, conformément à l'article 7.
- Information des personnes : préparer le message de première prise de contact qui délivre l'information de l'article 14, source des données comprise.
- Qualification et contrat : qualifier le rôle du courtier (fournisseur, sous-traitant au sens de l'article 28, ou responsable conjoint au sens de l'article 26) et signer le contrat correspondant, avec une clause d'audit.
- Règle de sortie : prévoir qu'une source incapable de produire la preuve du consentement est suspendue immédiatement, et non plusieurs mois plus tard.
Ces vérifications ne valent que si elles sont tracées. Le fournisseur de données doit apparaître dans le registre des traitements comme une source, et son évaluation doit être conservée comme celle de n'importe quel prestataire : c'est l'objet d'un outil de gestion des sous-traitants qui garde, pour chaque fournisseur, le questionnaire, les preuves et la date de la dernière revue. Pour cadrer les pratiques avec les équipes commerciales, notre livre blanc sur la conformité RGPD des équipes marketing et commerciales reprend les règles de la prospection commerciale une par une.
Pour voir comment Leto documente ces fournisseurs dans le registre et relance leurs évaluations, vous pouvez demander une démo.
CNIL : les sanctions qui visent les courtiers et leurs clients
Depuis la thématique prioritaire de contrôle de 2022 consacrée à la prospection commerciale, la CNIL a publié une série de décisions sur la chaîne des données de prospects. Les cinq ci-dessous sont datées et sourcées :
- Solocal Marketing Services : 900 000 € (délibération du 15 mai 2025). Démarchage par SMS et courrier électronique de prospects achetés à des courtiers et à des éditeurs de jeux-concours, sans consentement valable (article L. 34-5 du CPCE), et impossibilité de prouver ce consentement (article 7 du RGPD). Injonction de cesser toute prospection sans consentement valable sous neuf mois, sous astreinte de 10 000 € par jour, clôturée le 17 septembre 2026. Communiqué de la CNIL.
- Caloga : 80 000 € (délibération du 15 mai 2025). Courriels de prospection envoyés sans consentement des personnes, et transmission de leurs données à des partenaires sans base légale valable. Le montant tient compte de la cessation totale de l'activité de la société. Communiqué de la CNIL.
- Hubside.Store : 525 000 € (délibération du 4 avril 2024). Prospection par SMS et par téléphone à partir de données achetées à des courtiers dont les formulaires étaient trompeurs : manquements à l'article L. 34-5 du CPCE pour les SMS, à l'article 6 du RGPD pour le téléphone, et à l'article 14 faute d'information suffisante des personnes appelées. Communiqué de la CNIL.
- Foriou : 310 000 € (délibération du 31 janvier 2024). Prospection à partir de données achetées à des courtiers, sans s'assurer d'un consentement valable : manquement à l'article 6 du RGPD. Communiqué de la CNIL.
- Tagadamedia : 75 000 € prononcés le 29 décembre 2023 (délibération SAN-2023-025), ramenés à 50 000 € par le Conseil d'État le 20 mai 2026 (décision n° 492836). La CNIL avait retenu un manquement à l'article 6 (formulaires de jeux-concours qui incitaient fortement à accepter) et à l'article 30 (registre incomplet). Le Conseil d'État a annulé le manquement à l'article 6, que la formation restreinte avait substitué au grief notifié sans permettre à la société d'y répondre, et a maintenu le reste. Communiqué de la CNIL et décision du Conseil d'État.
La tendance est nette : quatre de ces cinq décisions visent des entreprises qui exploitaient des données achetées à des tiers, et non collectées par elles-mêmes. La CNIL attend de l'utilisateur d'un fichier qu'il vérifie la licéité de la collecte, et elle a jugé insuffisantes les seules garanties contractuelles. L'affaire Tagadamedia rappelle par ailleurs qu'une sanction peut être réformée par le Conseil d'État : citer une décision suppose d'en vérifier la suite.
Questions fréquemment posées
Qu'est-ce qu'un data broker ?
Un data broker, ou courtier en données, est une entreprise qui collecte des données personnelles, les agrège ou les enrichit, puis les cède, les loue ou les exploite pour le compte de clients, le plus souvent à des fins de prospection commerciale. Au regard du RGPD, il est responsable de traitement pour ses propres collectes et reventes, et peut être sous-traitant ou responsable conjoint quand il mène des campagnes pour un annonceur.
Les data brokers sont-ils légaux en France ?
Oui. Aucun texte n'interdit le courtage de données, mais l'activité doit respecter le RGPD et, pour la prospection électronique, l'article L. 34-5 du Code des postes et des communications électroniques. En pratique, cela suppose une information complète des personnes, un consentement valable et prouvable pour la transmission et la prospection, la tenue d'un registre et la gestion des droits jusque chez les clients.
Peut-on acheter un fichier de prospects conforme au RGPD ?
Oui, à condition de vérifier soi-même ce que le vendeur affirme. L'acheteur doit obtenir l'origine des données, les formulaires de collecte et la preuve du consentement, informer les personnes dès le premier contact (article 14 du RGPD) et documenter ces vérifications. La CNIL a sanctionné Foriou (310 000 €, 31 janvier 2024) et Hubside.Store (525 000 €, 4 avril 2024) pour avoir utilisé des fichiers achetés sans ces vérifications.
Comment savoir si un courtier détient mes données ?
Le premier message reçu d'une entreprise qui utilise des données achetées doit indiquer leur source (article 14 du RGPD). Il est ensuite possible d'exercer son droit d'accès auprès de cette entreprise et du courtier : l'article 15 oblige à communiquer toute information disponible sur l'origine des données. Le droit d'opposition à la prospection peut être exercé à tout moment, sans motif.
Quelles sanctions la CNIL a-t-elle prononcées contre des courtiers en données ?
Parmi les décisions récentes : Solocal Marketing Services, 900 000 € le 15 mai 2025 ; Caloga, 80 000 € le même jour ; Hubside.Store, 525 000 € le 4 avril 2024 ; Foriou, 310 000 € le 31 janvier 2024 ; Tagadamedia, 75 000 € le 29 décembre 2023, ramenés à 50 000 € par le Conseil d'État le 20 mai 2026. Les motifs reviennent d'une décision à l'autre : formulaires trompeurs, absence de consentement valable, défaut de preuve, information insuffisante et registre incomplet.
Conclusion : la conformité, condition d'exercice du métier
Pour les courtiers de données, le RGPD impose des contraintes réelles : transparence renforcée, consentements prouvables, gestion des droits jusque chez les clients, documentation tenue à jour et vigilance à chaque maillon de la chaîne. Pour les entreprises qui leur achètent des fichiers, il impose de ne rien tenir pour acquis : la responsabilité ne se transfère pas par contrat.
Les décisions de 2023 à 2026 dessinent ce qui est attendu : des formulaires où le refus est aussi simple que l'acceptation, une preuve du consentement disponible fichier par fichier, et un contrôle documenté des fournisseurs, outillé quand les volumes l'imposent et relu par un humain. C'est un travail d'organisation plus que de juriste, qui se joue dans le registre des traitements et dans la cartographie des fournisseurs. Pour voir comment Leto vous aide à le tenir au quotidien, demandez une démo.
