Achat de leads en assurance : ce que la loi met à votre charge

Le fichier arrive un lundi matin, en pièce jointe, dans un tableur. Vous avez payé, la facture est passée en compta, et la partie administrative semble close : il ne reste qu’à décrocher. C’est précisément à cet instant que le cabinet change de statut sans s’en apercevoir. Ce que vous venez d’acheter n’est pas une liste de personnes à joindre : c’est une position juridique, assortie d’obligations qui commencent à courir avant votre premier appel.

Les pages qui vendent ces fichiers mettent en avant la fraîcheur du contact, sa qualification, son taux de joignabilité. Ce qui se passe une fois le fichier livré y tient rarement plus d’une ligne. C’est pourtant là que le droit devient précis — et qu’il cesse de s’adresser au vendeur pour s’adresser à vous.

Achat de leads en assurance : le contrat transfère des lignes, pas une conformité

Un contrat de vente de fichier transfère des données. Il ne transfère ni le consentement des personnes, ni la charge de vérifier qu’il a été correctement recueilli. Le vendeur doit purger sa base avant de vous l’adresser ; à compter de la livraison, c’est vous qui répondez de l’usage que vous en faites.

Côté vendeur, la CNIL a posé la règle sans ambiguïté : seules les données de clients actifs peuvent être transmises, et doivent être retirées au préalable celles des personnes qui se sont opposées à leur transmission à des fins de prospection, ou qui n’y ont pas consenti pour la voie électronique (CNIL, fiche du 5 décembre 2022). C’est le travail du cédant, et il est réel. Notez la date : cette fiche n’a pas été rafraîchie depuis, alors que les autres pages de la CNIL citées ici l’ont été le 10 juin 2026 — sa mention de l’opposition pour la voie téléphonique est à relire à la lumière du basculement du 11 août 2026, sur lequel nous revenons plus bas.

Mais ce travail ne vous couvre pas. Il conditionne la licéité de la cession, pas celle de vos appels. Deux responsables de traitement se succèdent sur les mêmes lignes, chacun avec ses propres obligations : le premier au moment où il transmet, le second à partir du moment où il détient. Et c’est le second qui compose le numéro. La question n’est donc pas de savoir si le fichier est « propre » — mot que personne ne définit dans un devis — mais ce que vous devrez, vous, être capable de démontrer. Et une fiche revendue en parallèle à plusieurs cabinets déclenche ces obligations chez chacun des acheteurs : la mutualisation ne partage pas la charge, elle la reproduit à l’identique chez tous — et multiplie d’autant les sollicitations reçues par la même personne.

La dette d’information à J+30 : le compteur part à la livraison

Vous devez informer chaque personne du fichier que vous détenez ses données, et lui dire d’où elles viennent. Le délai est d’un mois au plus tard, décompté à partir du moment où vous les obtenez — pas à partir de votre premier appel. Une ligne jamais composée reste une ligne à informer.

C’est l’article 14 du RGPD, celui qui s’applique lorsque les données n’ont pas été collectées auprès de la personne elle-même. Il impose de fournir l’information « dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois », et d’indiquer « la source d’où proviennent les données à caractère personnel » (RGPD, article 14).

Traduit en pratique : si la personne vous demande d’où vous tenez son numéro, la réponse attendue n’est pas « d’un partenaire spécialisé ». C’est une raison sociale. Et vous ne la donnez pas seulement quand on vous la demande : vous la devez spontanément, dans le mois. Le règlement prévoit bien des dispenses — personne déjà informée, effort disproportionné, obligation légale de confidentialité — mais elles s’invoquent au cas par cas, dossier en main. Aucune ne se présume à la réception d’un tableur.

« Le vendeur a informé les gens » : ce que la CNIL attend du destinataire

Que le vendeur ait informé les personnes ne vous dispense pas par principe : la dispense de l’article 14.5 a) du RGPD suppose que la personne dispose déjà de ces informations-là, dont l’identité de votre cabinet — à vous de le démontrer, ligne par ligne. Sinon, vous devez vous signaler dès la première communication, et au plus tard dans le mois.

Sa doctrine sur la transmission à des partenaires commerciaux tient en deux temps. Au moment de la collecte, l’organisme qui recueille doit permettre un choix éclairé : pour la prospection électronique, « une liste exhaustive et mise à jour doit être mise à la disposition des personnes au moment du recueil de leur consentement ». Ensuite, « si cela n’a pas déjà été fait », les partenaires qui reçoivent les données doivent, quand ils communiquent pour la première fois avec la personne prospectée et au plus tard dans un délai d’un mois, l’informer des caractéristiques du traitement — dont le nom de la société qui leur a transmis les données (CNIL, page mise à jour le 10 juin 2026). La réserve compte autant que la règle : elle ne vaut que pour les personnes dont vous pouvez établir qu’elles ont déjà reçu ces informations-là.

Sur le démarchage des professionnels, la formulation est encore plus directe. La CNIL y admet que la prospection puisse reposer sur l’intérêt légitime lorsque l’objet de la sollicitation est en rapport avec la profession de la personne démarchée, et ajoute : « Lorsque les données sont déjà en possession de la société ou acquises auprès de tiers, il faut s’assurer que la personne concernée a été informée de la possible utilisation de son numéro de téléphone pour de la prospection et est en mesure de s’y opposer » (CNIL, page mise à jour le 10 juin 2026, onglet « Vers les professionnels (B to B) »). « S’assurer » est un verbe d’action, pas une clause de style.

Attention au périmètre, et à la date : cette règle-là est celle du B to B. Vers les particuliers, la même page annonce qu’à compter du 11 août 2026, « les consommateurs ne pourront plus être démarchés par téléphone, sauf s’ils ont donné leur consentement préalable ou lorsque l’appel concerne un contrat en cours ». L’information assortie d’un droit d’opposition cesse alors d’être la règle principale pour ce public : un fichier de particuliers acheté par un cabinet relève de ce second régime, pas du premier. Ce que recouvre un accord valable, et ce que l’opt-in exige au juste, relèvent d’un sujet que nous traitons à part : ce qui vaudra consentement au démarchage téléphonique, et le régime propre au démarchage des professionnels.

La doctrine de sanction : celui qui utilise les données en répond

La CNIL a tranché deux fois le même jour, sur le même raisonnement : l’entreprise qui exploite des données achetées en est utilisatrice, donc comptable de la validité du consentement. Ce n’est pas une clause contractuelle qui l’en décharge : c’est une vérification qu’elle doit avoir conduite elle-même.

Le 15 mai 2025, la formation restreinte a prononcé une amende de 900 000 euros, rendue publique, contre une société qui achetait des données de prospects auprès de courtiers en données. La sanction est assortie d’une injonction de cesser de procéder à des opérations de prospection commerciale par voie électronique en l’absence d’un consentement valable, sous astreinte de 10 000 euros par jour de retard passé un délai de neuf mois (CNIL, 21 mai 2025). La restriction de canal est dans le dispositif, et il faut la lire : l’injonction porte sur la prospection électronique. Ce n’est pas un blanc-seing pour le téléphone — le devoir de vérification, lui, est retenu au titre du traitement des données achetées.

[La société] est utilisatrice des données recueillies par les courtiers. En conséquence, elle doit s’assurer que les personnes ont exprimé un consentement valide avant de mener ses campagnes de prospection.CNIL, communiqué du 21 mai 2025 sur la délibération SAN-2025-001

Le même jour, la formation restreinte applique le même raisonnement à une seconde société approvisionnée chez des courtiers en données, et la CNIL le résume dans les mêmes termes sur la page de sanction correspondante (CNIL, 27 mai 2025, délibération SAN-2025-002). Le texte intégral de la première délibération va plus loin : le destinataire des données qui ne les a pas collectées lui-même ne peut pas se contenter des engagements contractuels de ses fournisseurs, il doit opérer des vérifications concrètes sur les conditions dans lesquelles le consentement a été recueilli (Légifrance, 2025). Autrement dit : la garantie que votre fournisseur écrit dans ses conditions générales n’est pas une preuve, c’est une promesse.

Le cas le plus proche du vôtre : du téléphone, sur des fichiers achetés

Une décision de janvier 2024 vise exactement le schéma d’un cabinet qui achète : une société démarchant par téléphone sur des fichiers de prospects achetés auprès de deux partenaires principaux, courtiers en données et éditeurs de sites de jeux-concours et de tests de produits. Sanction : 310 000 euros. Le manquement retenu ne porte pas sur la collecte, mais sur l’usage.

La formation restreinte y écrit que « la société est tenue de vérifier elle-même que les conditions lui permettant de réaliser des opérations de prospection commerciale sont réunies » (Légifrance, délibération SAN-2024-003, 2024). Les formulaires d’origine ne permettaient pas un acte positif clair et dénué d’ambiguïté ; le manquement est celui de l’appelant, qui n’avait pas vérifié.

La délibération est anonymisée. Une partie de la presse juridique nomme l’entreprise ; nous ne la reprendrons pas, ici ni ailleurs dans cette page : ce qui est opposable est le raisonnement, pas l’identité du condamné. Chaque décision est donc désignée par son numéro et par le rôle joué par la société — c’est ce qui vous sert à savoir si le schéma est le vôtre. Le tableau ci-dessous rassemble les cinq décisions publiques utiles à un acheteur de fichiers.

Sous l’étiquette « courtier en données » : trois dossiers, et pourquoi l’étiquette ne fait pas l’état de la répression

Aucune des trois publications rangées sous cette étiquette ne vise un intermédiaire immatriculé. Ce n’est pas pour autant un terrain vierge : deux décisions de 2024, absentes de la liste, sanctionnent non pas le vendeur du fichier, mais celui qui appelle dessus. C’est exactement la position d’un cabinet qui achète.

Les trois publications de l’étiquette sont datées du 30 janvier 2024, du 21 mai 2025 et du 27 mai 2025 (CNIL, mot-clé « courtier en données ») : au 6 août 2026, aucune quatrième n’y figure. Les sociétés visées sont des acteurs du marketing et du courtage de données, pas des intermédiaires en assurance immatriculés.

C’est là que l’inventaire par étiquette trompe, et il faut le dire. Deux décisions de 2024 en sont absentes alors qu’elles portent exactement sur le schéma décrit ici — appeler sur des fichiers achetés. Ni l’une ni l’autre ne vise un courtier en données : elles visent ses clients. La première est celle citée plus haut, du 31 janvier 2024, contre une société qui commercialise des programmes et des cartes de fidélité. La seconde, du 4 avril 2024, sanctionne une prospection par téléphone et par SMS menée sur des fichiers achetés à des courtiers en données et à des éditeurs de sites de jeux-concours et de tests de produits : le consentement recueilli en amont n’était pas valable, et l’appelant ne l’avait pas vérifié. Amende : 525 000 euros, sur un projet de décision passé par le guichet unique avec la Belgique, l’Italie, l’Espagne et le Portugal (Légifrance, délibération SAN-2024-004, 2024).

La conclusion tient donc dans ce sens, et pas dans l’autre. L’absence de décision visant un courtier immatriculé ne signifie pas que les pratiques y seraient tolérées : le raisonnement de la CNIL porte sur le fait d’utiliser des données achetées, jamais sur le métier de celui qui les utilise — et il a été appliqué à chaque fois à l’utilisateur des données, pas au seul vendeur. Sur un marché qui compte plusieurs dizaines de milliers de courtiers immatriculés, personne n’a de raison de se croire hors champ.

Le dernier mouvement date de mai 2026, et il vient du Conseil d’État

Au 6 août 2026, le fait le plus récent du dossier n’est pas une nouvelle sanction, c’est une révision. Le 20 mai 2026, le Conseil d’État a réformé la délibération de décembre 2023 visant un éditeur de sites de jeux-concours et ramené l’amende de 75 000 à 50 000 euros. Le montant baisse ; la sanction, elle, demeure.

L’affaire d’origine intéresse directement l’acheteur de fichiers, parce qu’elle décrit sa source. La société exploitait des sites de jeux-concours et de tests de produits pour collecter des données de prospects, ensuite transmises à des partenaires pour de la prospection commerciale ; la CNIL avait retenu que l’apparence de ces formulaires ne permettait pas de recueillir un consentement libre, éclairé et univoque. La page de la CNIL porte désormais la mention de la décision du Conseil d’État (CNIL, 2026).

La réformation est procédurale, et c’est ce qui la rend instructive. Le Conseil d’État a ramené le montant « considérant que la formation restreinte, en substituant dans sa décision le manquement à l’article 5 du RGPD retenu dans le rapport de sanction par un manquement à l’article 6 du RGPD, a méconnu les droits de la société qui n’a pas pu formuler d’observations en réponse sur ce point » (CNIL, 2026, rendant compte de la décision n° 492836 du 20 mai 2026). Autrement dit : ce qui est censuré, c’est le fait d’avoir changé de fondement sans permettre à la société d’y répondre, pas l’analyse au fond. La conséquence pratique est stable : les formulaires qui alimentent une partie du marché des contacts ont été jugés insuffisants, et les fiches qui en sortent circulent toujours.

Achat de leads en assurance : ce qu’il faut obtenir avec le fichier

Un fichier livré sans son histoire vous laisse démuni face à des obligations qui sont désormais les vôtres. Cinq éléments valent d’être exigés dans le contrat lui-même — non pour vous rassurer, mais parce que vous devrez les produire à des personnes qui vous les réclameront.

• La raison sociale exacte du cédant, celle que vous prononcerez. « La source » au sens du RGPD est le nom de la société à l’origine de la vente du fichier. Elle doit figurer au contrat de cession, puisque c’est vous qui la prononcerez, ligne par ligne, à des gens qui la demanderont.
• La date d’obtention de chaque lot. Votre délai d’un mois court à partir de là. Un fichier livré en trois vagues porte trois échéances distinctes, et la première commence le jour de la première livraison.
• Le canal par lequel vous informerez. Mention au premier appel, courriel, courrier : le texte de cette information s’écrit avant l’achat, pas après le premier reproche.
• Le sort des personnes déjà informées. Le règlement dispense d’informer qui l’a déjà été — encore faut-il savoir lesquelles, de quoi, et par qui, ligne par ligne.
• La durée de conservation des lignes jamais jointes. La CNIL a jugé excessive une conservation active de quatre ans, en rappelant que les données de prospects peuvent être conservées trois ans à compter de leur collecte ou du dernier contact émanant du prospect (CNIL, 27 mai 2025, délibération SAN-2025-002).

Reste la question de fond, celle que le contrat ne règle jamais : préférez-vous acheter des lignes dont vous devrez reconstituer l’histoire, ou un contact qui arrive avec la sienne ? C’est l’écart que nous chiffrons dans notre comparaison entre acheter un lead et recevoir un rendez-vous dans son agenda, et que le calculateur du coût réel d’un client signé traduit sur vos propres volumes.

Prospee prend le problème par cet autre bout : le contact qui vous est remis a donné son accord pour être rappelé, et votre cabinet lui a été présenté. Au format rendez-vous, le créneau est confirmé, reconfirmé la veille et posé dans votre agenda ; au format contact disponible, la personne atterrit dans votre liste à rappeler, coordonnées livrées. Les deux comptent à l’identique, sous une même garantie de livraison : chaque contact est réel, exclusif, et à vous.

Ce n’est donc pas un fichier acheté à un courtier en données, et le scénario du tableur dont il faut reconstituer l’histoire ne se pose pas dans les mêmes termes : la personne sait pourquoi vous l’appelez et a accepté ce rappel. Notre abonnement sans engagement et notre rôle d’éditeur de logiciel sont publics ; la conformité de votre propre prospection, elle, reste entre vos mains.

Questions fréquentes

Ce qui revient le plus souvent quand un cabinet ouvre un fichier acheté — et qui se tranche sur des textes, pas sur des usages.