Temps de lecture : 3 min
Un transfert de données vers un partenaire commercial n’est licite que si le canal de réutilisation (postal, email, SMS, téléphone) a sa base légale et que les personnes ont une opposition ou un consentement réellement actionnable.
« Le piège fréquent : cocher « partage partenaires » une fois pour toutes, sans liste accessible ni finalité par canal, puis laisser le partenaire enchaîner email et SMS sans preuve »
Ce que change le canal
Un transfert de données tient-il sur une seule case ?
Non. La CNIL distingue selon l’usage prévu par le partenaire. Pour une prospection postale, la transmission peut reposer sur l’intérêt légitime du cédant, à condition d’informer et d’offrir une opposition simple et gratuite. Pour l’email, le SMS ou l’automate d’appel, le consentement à la transmission (et souvent à la prospection du partenaire) est requis. Public : DPO, data marketing et alliances commerciales qui partagent des bases B2C.
Depuis le 11 août 2026 (loi Cazenave), le démarchage téléphonique B2C est interdit par principe : un transfert « pour appeler des particuliers » ne se traite plus comme un simple opt-out Bloctel (registre supprimé). Ne confondez pas non plus vente de fichier et partenariat récurrent : voir vente de fichiers clients.
Checklist : cartographier avant transfert
- Canal(s) d’usage prévus par le partenaire pour ce transfert de données
- Base légale par canal (intérêt légitime vs consentement)
- Public B2C / B2B séparé
- Finalité écrite (prospection, co-marketing…)
- Contact conformité des deux côtés
Côté organisme qui transmet
Que doit obtenir le cédant au moment de la collecte ?
Pour un canal soumis à consentement, l’organisme qui transfère doit recueillir un consentement éclairé : identité des partenaires (liste accessible), objectif d’usage, et possibilité de retirer l’accord aussi simplement qu’il a été donné. La CNIL recommande de préciser nombre approximatif et secteurs. Le consentement obtenu pour vos partenaires ne cascade pas à leurs propres partenaires : une nouvelle collecte est nécessaire.
Obligation : informer + base légale adaptée au canal. Bonne pratique : journaliser horodatage, libellé de case et version de la liste partenaires. Gestion du risque : un contrat de partenariat ne remplace pas le consentement personne par personne. Sur le fichier utile à activer ensuite, croisez fichier de prospection et activation data.
Checklist : preuves côté cédant
- Liste partenaires accessible depuis le formulaire
- Cases distinctes si plusieurs finalités / canaux
- Purge des opposants avant export
- Clause sécurité / confidentialité dans le contrat
- Conservation de la preuve (durée utile documentée)
Côté partenaire qui reçoit
Que doit faire le destinataire dès la première prise de contact ?
Si ce n’est pas déjà fait, le partenaire informe la personne au plus tard dans un délai d’un mois (caractéristiques du traitement, source). Avant email / SMS, il doit pouvoir démontrer un consentement valide pour son usage. S’il veut retransmettre à ses propres partenaires, il recommence le cycle consentement + information.
Avant le 31 octobre 2026 : revoir un formulaire de collecte (cases partenaires + liste) et un export type vers un partenaire email, avec test d’opposition et modèle d’information « source des données ».
Checklist : réception conforme
- Information sous un mois
- Preuve d’opt-in email / SMS avant envoi
- Pas de re-cession sans nouveau consentement
- Droits d’accès / opposition opérationnels
- Alignement des durées de conservation
Limites et périmètre
Guide opérationnel du transfert de données vers partenaires à des fins de prospection. Hors scope : rédaction du contrat de partenariat, analyse d’un dossier nominatif, conseil d’avocat.
Sources
- Transmission de données à des partenaires – CNIL
- RGPD – page CNIL
- Vente de fichiers clients – MKD
- Fichier de prospection – MKD
- Activation data – MKD
* Contenus assistés ou générés en partie par intelligence artificielle (illustrations, personas fictifs, aide à la rédaction ou à la correction), avec relecture et validation humaine avant publication. Les portraits d'auteurs générés par IA sont des personas fictifs et ne représentent pas des personnes réelles. Information fournie au titre de la transparence applicable aux contenus générés ou manipulés par IA (règlement (UE) 2024/1689, art. 50).
