Lead gen : qui prouve le consentement quand la CNIL contrôle ?

Dans le métier de la génération de leads, tout le monde parle de consentement, peu de gens parlent de preuve du consentement. C'est pourtant là que se joue votre responsabilité. Le RGPD ne se contente pas d'exiger que le contact ait dit oui : il impose au responsable de traitement de pouvoir démontrer que ce oui a été recueilli de manière libre, spécifique, éclairée et univoque (article 7.1).

Concrètement, lorsqu'un prospect remplit votre landing page, coche une case ou valide un formulaire, vous ne livrez pas seulement une adresse e-mail et un numéro : vous livrez implicitement la promesse que ce contact est exploitable légalement par votre client. Si cette promesse ne tient pas, le lead que vous avez facturé 11,90€ ou 40€ devient une bombe à retardement.

La nuance est cruciale : un lead peut être commercialement excellent (profil parfait, intention d'achat forte) et juridiquement toxique si le consentement n'a pas été recueilli dans les règles. Votre client, lui, ne fera pas la différence le jour où il reçoit un courrier de la CNIL.

Pour qu'un consentement soit opposable, quatre conditions cumulatives doivent être réunies, et chacune doit être traçable :

• Libre : pas de consentement conditionné à l'accès à un service (pas de cases pré-cochées, pas de chantage au téléchargement du livre blanc).
• Spécifique : le contact consent à une finalité précise. Un consentement « pour recevoir des offres de nos partenaires » sans liste identifiable est attaquable.
• Éclairé : l'identité du responsable de traitement et la finalité doivent être affichées au moment de la collecte.
• Univoque : une action positive claire. Le silence ou l'inaction ne valent pas consentement.

À cela s'ajoute la directive e-Privacy qui encadre la prospection électronique : en B2B, le démarchage par e-mail est possible sous condition que le message concerne la profession de la personne sollicitée et qu'un mécanisme d'opposition simple existe. En B2C, le consentement préalable (opt-in) est la règle. Si vous mélangez des contacts B2B et B2C dans une même base livrée, vous exposez votre client à appliquer le mauvais régime.

Le double opt-in n'est pas obligatoire en droit, mais c'est l'outil de preuve le plus robuste à votre disposition. Le principe : après la collecte initiale, le contact reçoit un e-mail de confirmation et doit cliquer pour valider. Ce second clic génère une trace technique horodatée que vous conservez.

Pourquoi c'est décisif pour vous ? Parce qu'en cas de litige, vous devez pouvoir produire, contact par contact :

1. La date et l'heure exactes de la collecte ;
2. L'URL et le contenu du formulaire au moment du recueil (le texte affiché, les mentions légales, la finalité) ;
3. L'adresse IP ou l'empreinte technique de l'action ;
4. La preuve de la confirmation en double opt-in.

Un consentement non traçable équivaut, devant la CNIL, à une absence de consentement. La charge de la preuve pèse sur celui qui invoque l'avoir recueilli.

Le piège classique : vous changez le wording de votre landing page tous les mois pour optimiser le taux de conversion, mais vous ne versionnez pas les formulaires. Six mois plus tard, impossible de reconstituer ce qu'a réellement vu le prospect. La preuve s'évapore avec vos tests A/B.

Avant même de parler de preuve, une question détermine l'étendue de votre responsabilité : quel rôle jouez-vous au sens du RGPD ? La réponse n'est pas un détail administratif, elle conditionne qui répond de quoi devant la CNIL et devant votre client.

• Si vous définissez les finalités et les moyens de la collecte (vous choisissez la cible, le formulaire, les mentions), vous êtes vraisemblablement responsable de traitement, avec toutes les obligations qui en découlent.
• Si vous agissez sur instruction de votre client selon un cahier des charges précis, vous pouvez être sous-traitant, ce qui impose un contrat de sous-traitance conforme à l'article 28 du RGPD.
• Dans de nombreux montages de lead gen, vous et votre client êtes en réalité responsables conjoints, et la répartition des responsabilités doit être formalisée par un accord écrit.

Le danger : la plupart des prestataires n'ont jamais qualifié leur rôle par écrit. En cas de contrôle, c'est l'analyse factuelle qui tranche, et l'incertitude joue contre vous. Clarifier ce point en amont, dans vos contrats, réduit le flou juridique et facilite la mobilisation de votre RC Pro le jour où une réclamation survient.

Voici le scénario que beaucoup de prestataires lead gen découvrent trop tard. La CNIL contrôle votre client (le destinataire des leads), souvent suite à une plainte d'un prospect agacé d'être démarché. Votre client n'a aucune preuve du consentement : il vous l'a achetée, à vous. Il se retourne donc vers vous.

Deux responsabilités se superposent :

• Une responsabilité réglementaire vis-à-vis de la CNIL : selon les rôles (responsable de traitement, sous-traitant, responsables conjoints), la qualification juridique de votre position détermine votre exposition directe aux sanctions.
• Une responsabilité contractuelle et civile vis-à-vis de votre client : vous lui avez livré une prestation non conforme. C'est une faute professionnelle qui lui cause un préjudice financier (l'amende, mais aussi la désorganisation, la perte de la base devenue inexploitable).

C'est précisément ce préjudice immatériel que couvre l'assurance RC Pro : les dommages financiers causés au client par votre erreur, votre omission ou votre négligence, ainsi que vos frais de défense quand le litige dégénère. Sans elle, vous supportez seul le coût d'une amende répercutée et d'une procédure.

La meilleure assurance, c'est d'abord une organisation rigoureuse de la preuve. Voici les réflexes qui distinguent un prestataire amateur d'un professionnel défendable :

• Versionnez vos formulaires : conservez une capture horodatée de chaque version de landing page et de chaque libellé de consentement.
• Conservez les logs de collecte avec horodatage, source, et preuve de confirmation double opt-in.
• Documentez vos sources d'enrichissement : si vous enrichissez ou recoupez des bases, tracez la provenance et la base légale de chaque donnée.
• Encadrez contractuellement les rôles : un contrat de sous-traitance (article 28 RGPD) ou un accord de responsabilité conjointe clarifie qui répond de quoi.
• Purgez les contacts non confirmés : un lead sans preuve de consentement ne doit jamais être livré.

Cette discipline réduit la fréquence des litiges. Mais elle ne les supprime pas : un contact peut toujours se plaindre, un client peut toujours contester. C'est pourquoi la couche assurantielle reste indispensable pour absorber le risque résiduel et financer une défense parfois longue.

La traçabilité du consentement protège contre les litiges de conformité. Mais une base de contacts, c'est aussi un actif sensible exposé au vol et à la fuite. Une violation de données sur votre base de prospects déclenche des obligations de notification à la CNIL sous 72 heures et peut contaminer tous vos clients destinataires.

C'est le second pilier de votre couverture : la garantie Cyber prend en charge les frais de notification, l'expertise technique, la remédiation et la gestion de crise après un incident. Pour un métier dont la matière première est la donnée personnelle, conformité et cybersécurité sont les deux faces d'un même risque.

Vous voulez savoir comment ces garanties s'articulent pour votre activité précise ? Consultez notre page dédiée au métier de la génération de leads pour un éclairage adapté à votre modèle de facturation et à vos volumes.