Prospection : la CNIL clôt l'injonction contre Solocal et juge satisfaisant son contrôle des consentements de ses partenaires

Par une délibération du 17 septembre 2026, annoncée le 24 septembre, la formation restreinte de la CNIL a clôturé l'injonction prononcée le 15 mai 2025 contre SOLOCAL MARKETING SERVICES, déjà sanctionnée de 900 000 euros pour avoir démarché des prospects sans consentement valable. L'astreinte de 10 000 euros par jour de retard n'est pas liquidée. Pour un DPO, l'intérêt est ailleurs que dans l'épilogue : la CNIL y décrit les mesures qu'elle a jugées satisfaisantes pour contrôler des consentements recueillis par des tiers.

Ce qui s'est passé

SOLOCAL MARKETING SERVICES achète des données de prospects, principalement auprès de courtiers en données, d'éditeurs de sites de jeux-concours et de tests de produits, puis démarche ces personnes par SMS ou par courrier électronique pour le compte de ses clients annonceurs. La CNIL l'avait contrôlée dans le cadre de sa thématique prioritaire de contrôle de 2022, consacrée à la prospection commerciale.

Le 15 mai 2025 (délibération SAN-2025-001), la formation restreinte a retenu deux manquements. D'une part, l'absence de consentement valable au sens de l'article L. 34-5 du code des postes et des communications électroniques : les formulaires des courtiers mettaient en valeur le bouton d'acceptation, tandis que le lien permettant de participer sans accepter la prospection était d'une taille nettement inférieure et se confondait avec le texte. D'autre part, l'impossibilité de démontrer ce consentement : la société n'a pas pu fournir la preuve du consentement des personnes dont les données provenaient de l'un de ses principaux fournisseurs, et a attendu près de 17 mois, après l'avoir constaté, pour cesser d'utiliser ces données.

En plus de l'amende, la CNIL avait enjoint à la société de cesser toute prospection électronique sans consentement valable, dans un délai de neuf mois, sous astreinte de 10 000 euros par jour de retard.

Pourquoi la clôture compte

Selon la CNIL, la société a justifié, dans les délais impartis, avoir mis en place des mesures lui permettant de vérifier la validité du consentement recueilli pour son compte par ses partenaires primo-collectants. Ces mesures reposent sur une analyse automatisée des formulaires de collecte, complétée par une appréciation humaine. La formation restreinte les a jugées satisfaisantes, avec une condition : qu'elles soient « scrupuleusement appliquées ».

La CNIL ajoute aussitôt une réserve : la société « reste responsable de la validité des consentements recueillis, pour son compte, par ses partenaires ». Un formulaire non valide qui échapperait au contrôle pourrait encore engager sa responsabilité. Autrement dit, le dispositif de contrôle n'est pas un transfert de risque vers le fournisseur.

C'était déjà la logique de la décision de 2025 : l'utilisatrice des données « doit s'assurer que les personnes ont exprimé un consentement valide » avant ses campagnes, et il lui appartient, en qualité de responsable de traitement, d'en apporter la preuve, conformément à l'article 7 du RGPD. En 2025, la CNIL avait jugé « manifestement insuffisantes » les exigences contractuelles imposées aux fournisseurs et les vérifications menées en aval. La clôture montre ce qui a été jugé suffisant à la place : un contrôle outillé des formulaires, relu par un humain.

Ce que ça change pour les organisations

Toute organisation qui achète ou loue des fichiers de prospects, ou qui confie des campagnes à un prestataire qui en achète, est dans la situation de SOLOCAL MARKETING SERVICES. Ce qu'un DPO peut vérifier dès cette semaine :

• Recenser les sources de données de prospection externes : courtiers, jeux-concours, partenaires de co-registration, fichiers loués par les agences.
• Pour chaque source, obtenir et archiver des captures des formulaires de collecte tels qu'ils étaient au moment de la collecte, et pas seulement une clause contractuelle de garantie.
• Vérifier que la preuve du consentement (date, formulaire, texte présenté) est transmise ou disponible sur demande, fichier par fichier.
• Prévoir la règle de sortie : une source incapable de produire la preuve est suspendue immédiatement, pas après plusieurs mois.
• Rappeler les règles de la prospection BtoC aux équipes marketing, et relire la frontière entre opt-in et opt-out précisée par la CNIL.

Ce que Leto en pense

La clôture est une bonne nouvelle pour tout le secteur, parce qu'elle donne un exemple concret de ce qui est jugé suffisant : un contrôle documenté des formulaires, automatisé quand les volumes l'imposent, relu par un humain. Elle rappelle aussi que la responsabilité ne se délègue pas par contrat. C'est un sujet d'accountability, pas de juriste : il se joue dans le registre des traitements, dans la cartographie des fournisseurs et dans la capacité à produire une preuve le jour où elle est demandée. Pour documenter vos traitements de prospection et vos fournisseurs de données, l'équipe Leto peut vous montrer comment.

Sources

• CNIL, « Clôture de l'injonction prononcée à l'encontre de la société SOLOCAL MARKETING SERVICES », 24 septembre 2026
• CNIL, délibération de la formation restreinte SAN-2026-012 du 17 septembre 2026, Légifrance
• CNIL, « Courtiers en données : sanction de 900 000 euros à l'encontre de la société SOLOCAL MARKETING SERVICES », 21 mai 2025
• CNIL, délibération de la formation restreinte SAN-2025-001 du 15 mai 2025, Légifrance