À partir du 11 août 2026, la loi Cazenave (loi n° 2025-594 du 30 juin 2025) impose le consentement préalable pour toute prospection téléphonique. Conséquence directe pour tous les acteurs de la donnée : une source de leads ne vaut que ce que vaut sa page de collecte.
Chez MKD Groupe, nous auditons chaque page partenaire avant de référencer une source. Cet article partage notre méthode : ce qu'il faut contrôler, dans quel ordre, et ce qui est éliminatoire.
Pourquoi auditer la page, et pas seulement la politique de confidentialité
Une politique de confidentialité bien rédigée ne prouve rien. Ce qui compte juridiquement, c'est ce que la personne a réellement vu au moment où elle a consenti : le formulaire affiché, le libellé de la case, les mentions présentes à l'écran.
Notre expérience d'audit le confirme : les incohérences bloquantes se trouvent presque toujours dans la confrontation entre trois éléments la politique affichée, le formulaire réel et les CGU complètes. CGU recyclées d'un autre site, mention Bloctel utilisée à contre-sens, contradiction entre l'hébergeur déclaré et l'hébergement réel : autant de signaux qui invalident la source, quelle que soit la qualité apparente de la politique de confidentialité.
La checklist d'audit : 6 blocs de contrôle
1. Le formulaire de collecte (le cœur de l'audit)
- Case à cocher non pré-cochée pour chaque finalité , le consentement exige une action positive (RGPD, art. 4.11).
- Un consentement par finalité : la prospection téléphonique, l'email, le SMS et le dépôt de traceurs sont des finalités distinctes. Une case unique groupant « prospection multi-canaux + cookies » est éliminatoire : elle contredit l'exigence de consentement spécifique.
- Libellé clair de l'opt-in : qui va appeler (l'éditeur ? des « partenaires » ? lesquels ?), sur quel canal, pour quoi.
- Liste des destinataires accessible : si les données sont transmises à des partenaires, leur liste doit être consultable avant le consentement.
- Aucune case obligatoire pour accéder au service qui conditionnerait l'accès au consentement marketing (liberté du consentement).
2. Les mentions d'information (RGPD, art. 13)
Doivent être visibles au moment de la collecte, pas seulement dans une page distante :
- Identité du responsable de traitement (raison sociale réelle, pas une marque commerciale sans existence juridique)
- Finalités et bases légales
- Destinataires ou catégories de destinataires
- Durées de conservation
- Droits des personnes et modalités d'exercice
- Existence éventuelle de transferts hors UE et garanties associées
3. La cohérence documentaire (là où les fraudes se voient)
- CGU cohérentes avec le site : un template recyclé mentionnant un autre éditeur, une autre activité ou un autre pays est éliminatoire.
- Cohérence de l'hébergement : l'hébergeur déclaré dans les mentions légales doit correspondre à la réalité technique. Une contradiction est un signal de non-maîtrise, donc de risque.
- Mention Bloctel à jour et employée correctement : après le 11 août 2026, une page qui présente Bloctel comme base de licéité du démarchage révèle une méconnaissance du cadre — et un fichier probablement non conforme.
- Transferts hors UE : un transfert vers un pays tiers sans clauses contractuelles types ni décision d'adéquation (exemple rencontré en audit : hébergement en Australie sans garanties) est éliminatoire.
4. La preuve du consentement : ce qu'il est obligatoire de récupérer
C'est le point central au 11 août 2026. La CNIL considère qu'un simple log technique ne suffit pas : il atteste d'un clic, pas de ce qui était affiché. Pour chaque lead, le partenaire doit pouvoir fournir :
| Élément de preuve | Pourquoi c'est obligatoire |
|---|---|
| Horodatage précis du consentement | Dater l'opt-in et vérifier sa fraîcheur |
| Identifiant du prospect (email/téléphone associé) | Rattacher la preuve à la personne |
| Version exacte du formulaire affiché (capture, PDF ou hachage du code source archivé) | Reconstituer ce que la personne a vu |
| Libellé de l'opt-in choisi et état des cases | Démontrer l'action positive et la finalité consentie |
| URL de collecte et mentions affichées | Contextualiser la collecte |
| Résultat du double opt-in (si applicable) | Confirmer la validité de l'adresse et du consentement |
| Export possible (CSV, PDF, JSON) à tout moment | Répondre à un contrôle CNIL ou à un donneur d'ordre |
Un partenaire incapable de produire ces éléments pour chaque consentement collecté à partir du 11 août 2026 ne peut pas alimenter une prospection téléphonique légale.
5. La gestion des retraits
- Procédure d'opposition simple et immédiate (lien, email, formulaire)
- Suppression effective des données en cas de retrait, avec propagation aux destinataires
- Conservation de la preuve du consentement pendant toute la durée du traitement — et suppression à l'issue
6. La contractualisation
- Convention encadrant la transmission des données (qualification des rôles : responsable de traitement / sous-traitant)
- Engagement du partenaire sur l'export de la preuve et l'audit
- Transmission du plan d'archivage et du registre des traitements sur demande
Les critères éliminatoires en résumé
Un seul de ces constats suffit à refuser la source :
- Consentement groupé multi-finalités (prospection + traceurs dans une même case)
- Case pré-cochée ou consentement implicite
- Impossibilité de produire la preuve contextualisée (formulaire versionné + horodatage + opt-in choisi)
- CGU incohérentes ou recyclées, contradiction d'hébergement
- Transfert hors UE sans garanties documentées
- Mention Bloctel présentée comme base de licéité après le 11 août 2026
Comment MKD Groupe applique cette méthode
Cette checklist n'est pas théorique : c'est notre processus de référencement. Chaque source candidate passe par un audit en deux temps — analyse documentaire (politique, mentions, CGU), puis confrontation au formulaire réel. Le verdict est révisé si le formulaire contredit les documents. Les sources refusées le sont par écrit, avec motifs.
Résultat pour nos clients : des fichiers dont chaque contact est adossé à un consentement démontrable, exportable et daté — la seule monnaie qui vaudra encore quelque chose en prospection téléphonique après le 11 août 2026.
FAQ
Qui est responsable si le fichier n'est pas conforme : le fournisseur ou l'annonceur ? Les deux peuvent être mis en cause. L'annonceur qui appelle doit pouvoir démontrer le consentement ; le fournisseur qui a collecté ou transmis les données engage aussi sa responsabilité. D'où l'importance de la chaîne de preuve contractualisée.
Une capture d'écran du formulaire suffit-elle comme preuve ? Elle est nécessaire mais pas suffisante seule : il faut l'associer à l'horodatage, à l'identifiant du prospect et au libellé de l'opt-in effectivement choisi, le tout exportable.
Combien de temps conserver les preuves de consentement ? Pendant toute la durée d'utilisation des données, et tant que la prospection fondée sur ce consentement est susceptible d'être contestée. La suppression doit être immédiate en cas de retrait.
Un opt-in collecté avant le 11 août 2026 reste-t-il valable ? Oui, s'il respectait déjà les exigences du RGPD (spécifique au canal téléphonique, action positive, preuve conservée). Un « opt-in » générique ou non prouvable ne le sera pas.
Vous voulez faire auditer vos sources de leads ou sécuriser votre dispositif de preuve avant l'échéance ? Contactez MKD Groupe ou écrivez à notre DPO : dpo@mkdgroupe.com.
Références : loi n° 2025-594 du 30 juin 2025 (Légifrance) ; RGPD, art. 4.11, 7 et 13 ; CNIL — lignes directrices sur le consentement et la prospection commerciale.
(Note interne : remplacer les liens mkdgroupe.com/contact par les URL exactes du site ; ajouter le lien croisé vers l'article 1 une fois publié.)
