Temps de lecture : 3 min
Céder un fichier clients à des fins commerciales reste possible, à condition que la collecte initiale soit licite et que vendeur comme acquéreur tracent droits, filtres et preuves.
« Le piège fréquent : transmettre toute la base « clients » y compris les opposants et les dossiers purement comptables, puis découvrir que l'acquéreur ne peut plus prouver un consentement électronique »
Ce que dit la CNIL
La vente d'un fichier clients est-elle interdite ?
Non. La CNIL rappelle que la vente n’est pas interdite par le RGPD, mais encadrée. Un fichier clients contient des données personnelles (identité, email, téléphone, adresse). Sa transmission à des fins de prospection n’est licite que si la collecte initiale respectait déjà la réglementation. En pratique, toute vente de fichiers clients doit être préparée comme un transfert de responsabilité, pas comme un simple export Excel. Public : DPO, responsables data / conformité / marketing qui achètent ou cèdent des bases.
Le texte de référence est la fiche CNIL « Vente de fichiers clients : la CNIL rappelle les règles ». Pour le transfert vers des partenaires hors vente pure, voir aussi comment transférer des données aux partenaires.
Checklist : avant toute cession
- Finalité écrite de la vente de fichiers clients (prospection, reprise d’activité…)
- Preuve de licéité de la collecte initiale
- Cartographie des canaux (postal, téléphone, email, SMS)
- Clause contractuelle sécurité / confidentialité
- Contact DPO ou référent conformité nommé
Obligations du vendeur
Que doit filtrer le vendeur avant de transmettre ?
Le vendeur ne transmet que des clients actifs au sens de la prospection : données utilisables pendant la relation commerciale, puis, sauf exception, 3 ans après la fin de cette relation (dernier achat, fin de garantie, dernier contact client), selon les recommandations de la CNIL. Les données gardées uniquement pour la comptabilité ou le contentieux ne partent pas.
Retirez avant cession : opposants au postal / téléphone, et personnes sans consentement pour la prospection électronique si l’acquéreur vise email ou SMS. Les conditions d’envoi doivent garantir sécurité et confidentialité.
Obligation : ne céder que des données encore nécessaires à la finalité prospection, après filtres opposition / consentement. Bonne pratique : journaliser la date de dernier contact et le statut opt-in par canal. Gestion du risque : un contrat de cession ne remplace pas la preuve de consentement.
Checklist : filtre vendeur
- Exclure dossiers admin / contentieux seuls
- Appliquer la règle des 3 ans (sauf exception documentée)
- Purger opposants postal / téléphone
- Purger absents de consentement email / SMS si canal électronique
- Conserver une copie de la preuve de collecte
Obligations de l'acquéreur
Que doit faire l'acheteur dès la réception du fichier ?
L’acquéreur informe les personnes dès que possible, au plus tard dans un délai d’un mois, sauf si elles ont déjà reçu les informations nécessaires. L’information comporte notamment la source des données (nom de la société vendeuse). S’il prospecte par voie électronique, il doit pouvoir démontrer un consentement éclairé.
Deux cas utiles. Cas 1 : le vendeur avait déjà recueilli le consentement pour l’acquéreur (identité de l’acquéreur listée comme partenaire) : l’acquéreur peut démarcher ces personnes sur ce canal. Cas 2 : pas de consentement pour l’acquéreur : il doit le recueillir lui-même avant email / SMS. Sur la location / activation côté campagne, croisez avec votre fichier de prospection et le nettoyage de données.
Checklist : côté acquéreur
- Information art. 14 dans le mois (source nommée)
- Preuve de consentement électronique avant email / SMS
- Droits d’accès / effacement / opposition opérationnels
- Durées de conservation alignées
- Journal de premier contact
Avant fin octobre 2026 : auditer un fichier en cours d’achat ou de vente (filtres 3 ans + opposition + consentement), et verrouiller le modèle d’information « source des données » pour le premier contact.
Limites et périmètre
Synthèse opérationnelle de la fiche CNIL sur la vente de fichiers clients. Hors scope : rédaction d’un contrat de cession, analyse d’un dossier nominatif, conseil d’avocat.
Sources
- Vente de fichiers clients : la CNIL rappelle les règles
- RGPD – page CNIL
- Transférer des données aux partenaires – MKD
- Fichier de prospection – MKD
- Data cleansing – MKD
* Contenus assistés ou générés en partie par intelligence artificielle (illustrations, personas fictifs, aide à la rédaction ou à la correction), avec relecture et validation humaine avant publication. Les portraits d'auteurs générés par IA sont des personas fictifs et ne représentent pas des personnes réelles. Information fournie au titre de la transparence applicable aux contenus générés ou manipulés par IA (règlement (UE) 2024/1689, art. 50).
