Démarchage téléphonique : le consentement suffit-il à rendre la prospection conforme au RGPD ?
Le démarchage téléphonique n’est pas une pratique nouvelle. Depuis plusieurs années, les particuliers sont sollicités par des entreprises dont les fichiers proviennent de formulaires en ligne, de partenaires commerciaux ou de courtiers en données.
Avec la réforme entrée en vigueur le 11 août 2026, une nouvelle étape est franchie. Il ne s’agit plus seulement de limiter les horaires d’appel ou de permettre aux consommateurs de s’opposer à la prospection. Les entreprises qui démarchent des particuliers doivent désormais être capables de démontrer que ceux-ci ont préalablement accepté d’être contactés.
Pour les professionnels du B2C, une question devient donc centrale : comment recueillir, conserver et utiliser un consentement réellement conforme au RGPD ?
Un numéro de téléphone est-il une simple donnée commerciale ?
Un numéro de téléphone constitue une donnée à caractère personnel dès lors qu’il permet d’identifier directement ou indirectement une personne. Sa collecte, sa conservation, sa transmission ou son utilisation à des fins de prospection constituent donc des traitements soumis au RGPD.
Le professionnel ne peut pas considérer qu’un numéro disponible dans une base constitue automatiquement une autorisation d’appeler.
Le fait qu’une personne ait communiqué ses coordonnées ne signifie pas nécessairement qu’elle a accepté de recevoir des sollicitations commerciales par téléphone.
Deux situations doivent notamment être distinguées :
- la personne renseigne son numéro pour être recontactée au sujet d’une demande précise ;
- la personne accepte d’être contactée à des fins de prospection commerciale.
Dans la première situation, l’entreprise ne peut pas nécessairement utiliser le numéro pour proposer d’autres produits ou services. Dans la seconde situation, elle doit pouvoir démontrer que le consentement recueilli couvre bien le démarchage téléphonique, la finalité poursuivie et, le cas échéant, l’identité des partenaires concernés.
Un consentement général à recevoir des offres commerciales permet-il pour autant à n’importe quelle entreprise d’appeler ? Une inscription à une newsletter vaut-elle accord pour un démarchage téléphonique ? La réponse est loin d’être automatique.
Le consentement est-il réellement libre, spécifique et éclairé ?
Le RGPD exige que le consentement soit libre, spécifique, éclairé et univoque. Il doit résulter d’un acte positif clair et pouvoir être retiré à tout moment.
Ces exigences dépassent largement la présence d’une case à cocher sur un formulaire. Le professionnel doit vérifier que la personne a compris :
- qui utilisera ses données ;
- pour quelle finalité ;
- par quel canal elle sera contactée ;
- quels produits ou services pourront lui être proposés ;
- si ses données seront transmises à des partenaires.
Une formulation telle que « J’accepte d’être contacté par nos partenaires » peut se révéler insuffisante si les partenaires ne sont pas identifiés, si les finalités restent imprécises ou si la prospection téléphonique n’est pas clairement mentionnée.
Le consentement au démarchage téléphonique ne doit pas non plus être confondu avec le consentement à recevoir des courriels ou des SMS. Chaque canal de prospection correspond à une utilisation différente des données et doit être couvert de manière suffisamment précise.
La preuve du consentement devient-elle le véritable enjeu ?
Pour les entreprises, recueillir un consentement ne suffit pas. Il faut pouvoir le prouver.
Le professionnel doit être capable de retrouver, pour chaque contact :
- la date et l’heure du recueil ;
- le formulaire utilisé ;
- la version de la mention d’information ;
- le contenu exact de la case à cocher ;
- l’identité du responsable du traitement ;
- les finalités autorisées ;
- les partenaires éventuellement désignés ;
- la date d’expiration du consentement ;
- la preuve d’un éventuel retrait.
Un fichier acheté auprès d’un courtier ne constitue donc pas, à lui seul, une preuve de conformité. La transmission d’une base ne transfère pas automatiquement la responsabilité à son fournisseur.
L’entreprise qui utilise les données doit être en mesure de vérifier leur origine, les conditions de leur collecte et la compatibilité entre le consentement obtenu et la campagne envisagée.
Un numéro peut-il réellement être utilisé parce qu’il figure dans un fichier réputé « conforme » ? La réponse dépend moins de l’étiquette donnée au fichier que de la capacité à reconstituer son parcours.
Les anciens consentements restent-ils valables ?
De nombreuses entreprises disposent de bases constituées avant la réforme. Elles pourraient être tentées de considérer que les consentements recueillis à cette époque restent automatiquement utilisables.
Pourtant, un consentement ancien ne peut être conservé que s’il respecte les exigences applicables et s’il couvre précisément le démarchage téléphonique envisagé. Une autorisation générale, ambiguë ou impossible à documenter présente un risque important.
La réforme impose donc aux professionnels de réexaminer leurs bases. Les contacts dont l’origine est inconnue, dont la preuve est incomplète ou dont le consentement ne couvre pas le canal téléphonique devraient être écartés ou faire l’objet d’une nouvelle collecte.
La conservation historique d’une donnée ne suffit pas à justifier son utilisation actuelle.
Le retrait du consentement est-il vraiment immédiat ?
Le consentement peut être retiré à tout moment. Ce retrait doit être simple et produire rapidement ses effets.
En pratique, le retrait du consentement d’un particulier doit être prise en compte dans le CRM, les outils de prospection, les listes transmises aux centres d’appels et les bases détenues par les partenaires.
Le risque apparaît lorsque les systèmes ne communiquent pas entre eux. Une personne peut avoir demandé à ne plus être appelée, tout en continuant à recevoir des sollicitations parce que son numéro figure encore dans une ancienne liste.
Le professionnel doit donc prévoir une liste d’exclusion centralisée, des règles de synchronisation et des contrôles réguliers. Une erreur technique ne fait pas disparaître l’obligation de respecter les droits de la personne.
Le RGPD protège-t-il aussi les prospects qui n’ont jamais été clients ?
Le démarchage téléphonique repose souvent sur des personnes qui n’ont jamais eu de relation commerciale avec l’entreprise. Elles ne sont pourtant pas dépourvues de droits.
Le RGPD impose notamment :
- une information claire et accessible ;
- une limitation des finalités ;
- une durée de conservation définie ;
- une minimisation des données ;
- une sécurisation des fichiers ;
- la possibilité d’exercer ses droits.
Lorsque les données sont collectées indirectement, l’entreprise doit également s’interroger sur l’information qui a été fournie au moment de la collecte et sur l’origine réelle du numéro.
Le prospect n’est pas une simple opportunité commerciale. Il est une personne concernée, dont les données doivent être traitées dans un cadre documenté et contrôlable.
Quelles conséquences pour les entreprises B2C ?
La réforme peut avoir des conséquences directes sur le fonctionnement des entreprises.
Certaines bases devront être supprimées ou mises en quarantaine. Les volumes d’appels vont diminuer. Les coûts d’acquisition risquent d’augmenter en raison de la refonte des formulaires, de l’achat de solutions de gestion du consentement, de l’audit des partenaires et de la formation des équipes.
Les entreprises devront également revoir leurs indicateurs de performance. Le nombre d’appels réalisés ne pourra plus être considéré isolément. La qualité du consentement, le taux de transformation et la capacité à démontrer la conformité deviendront tout aussi importants.
Cette évolution peut toutefois produire un effet positif. Un contact ayant véritablement accepté d’être appelé est généralement plus intéressée qu’une personne sélectionnée uniquement parce que son numéro figurait dans une base.
La prospection pourrait donc devenir moins massive, mais plus ciblée.
Le prestataire porte-t-il seul la responsabilité ?
Les entreprises font souvent appel à des agences marketing, des courtiers ou des centres d’appels. Cette organisation ne les exonère pas automatiquement de leurs obligations.
Les contrats doivent notamment préciser :
- le rôle de chaque intervenant ;
- les responsabilités respectives ;
- les modalités de collecte du consentement ;
- les mesures de sécurité ;
- la gestion des retraits ;
- les contrôles pouvant être réalisés ;
- la restitution ou la suppression des données.
Un prestataire peut intervenir dans la collecte ou l’utilisation des données, mais l’entreprise doit conserver une visibilité suffisante sur le traitement réalisé pour son compte.
La question n’est donc pas seulement de savoir qui appelle, mais aussi qui a collecté le numéro, dans quelles conditions et pour quelle finalité.
Vers une gouvernance du consentement téléphonique ?
Le démarchage téléphonique ne peut plus être isolé du reste de la conformité RGPD. Il doit être intégré au registre des traitements, aux politiques de conservation, aux contrats avec les partenaires et aux procédures de gestion des droits.
Les entreprises doivent désormais être capables de suivre le consentement tout au long de son cycle de vie : sa collecte, son utilisation, son expiration et son retrait.
Le véritable enjeu n’est donc pas uniquement de savoir si un appel est autorisé. Il consiste à démontrer que chaque étape du traitement a été pensée, documentée et contrôlée.
Le numéro de téléphone n’est plus simplement une porte d’entrée vers un client potentiel. Il devient le point de départ d’une responsabilité : celle de traiter une donnée personnelle dans le respect des droits de la personne qu’elle permet de contacter.
