La fermeture de Bloctel le 11 août 2026 et l’entrée en vigueur du consentement préalable pour le démarchage téléphonique ont placé les fichiers de prospection sous une surveillance renforcée. Dans le même temps, des informations publiques ont fait état d’un incident touchant un compte professionnel et des fichiers utilisés dans le dispositif de lutte contre le démarchage. La question n’est pas seulement de savoir si un numéro a été diffusé : une entreprise doit déterminer si elle peut encore conserver, croiser ou appeler les personnes figurant dans le fichier.
Un numéro de téléphone reste une donnée à caractère personnel, même lorsqu’il a été copié dans une base, transmis par un partenaire ou rendu accessible à la suite d’une fuite. L’exposition d’un fichier ne crée aucun droit de prospection. Elle peut au contraire imposer la suspension immédiate des campagnes, l’analyse de la violation, la notification à la CNIL dans les meilleurs délais et, lorsque le risque est élevé, l’information des personnes concernées. L’entreprise doit aussi séparer les listes de consentement, les listes d’opposition et les données dont l’origine n’est plus démontrable.
Cette analyse présente les règles à appliquer après une fuite de données de prospects, les éléments à conserver pour démontrer sa conformité, les responsabilités respectives du donneur d’ordre et du sous-traitant, ainsi que les recours utiles pour une société située à Paris ou en Île-de-France.
I. Peut-on réutiliser un fichier de prospects exposé après la fuite de Bloctel ?
A. Pourquoi l’exposition d’un numéro ne vaut ni consentement ni autorisation de prospection
Le premier réflexe doit être de distinguer trois opérations souvent confondues : constater qu’une donnée a été exposée, la conserver pour gérer l’incident et la réutiliser pour contacter une personne. Ces opérations n’ont pas la même finalité et ne reposent pas nécessairement sur la même base juridique.
Un numéro de téléphone qui permet de joindre directement une personne physique constitue une donnée personnelle. Le fait qu’il figure dans un fichier transmis à un prestataire, dans une liste de vérification ou dans une base de prospection ne change pas cette qualification. Le fichier peut contenir seulement des numéros, sans nom ni adresse, tout en permettant une identification indirecte et un contact commercial. Le responsable doit donc raisonner sur la donnée et sur les opérations réellement effectuées, pas sur le format du fichier.
Le règlement (UE) 2016/679 impose une finalité déterminée, une base juridique et une sécurité adaptée. L’article 5 du RGPD commande notamment une collecte pour des finalités « déterminées, explicites et légitimes » et interdit un traitement ultérieur incompatible avec la finalité initiale. Une liste confiée à un service de filtrage pour éviter des appels non souhaités n’est donc pas une liste de personnes ayant demandé à être appelées. La logique juridique est même inverse : un numéro placé sur une liste d’opposition doit être écarté des campagnes.
La nouvelle rédaction de l’article L. 223-1 du Code de la consommation, applicable depuis le 11 août 2026, est particulièrement claire : « Il est interdit de démarcher par téléphone, directement ou par l’intermédiaire d’un tiers agissant pour son compte, un consommateur qui n’a pas exprimé préalablement son consentement à faire l’objet de prospections commerciales par ce moyen. » Le même texte définit le consentement comme une manifestation libre, spécifique, éclairée, univoque et révocable, recueillie par un acte positif clair. Il appartient au professionnel d’en apporter la preuve.
Cette règle interdit de transformer un incident de sécurité en source de contacts. Une entreprise qui reçoit un fichier exposé ne peut pas soutenir que les personnes ont accepté d’être appelées parce que leurs numéros étaient présents dans le fichier, parce qu’elles avaient été contactées auparavant ou parce qu’un tiers avait acheté la base. L’origine de la donnée, la finalité annoncée au moment de sa collecte et la preuve de l’accord doivent être vérifiées séparément.
La distinction entre consommateurs et professionnels doit aussi être conservée. Le nouveau régime de l’article L. 223-1 vise le démarchage des consommateurs, mais les numéros professionnels restent des données personnelles lorsqu’ils identifient une personne. Pour une prospection entre professionnels, l’entreprise doit encore respecter le RGPD, l’information des personnes, le droit d’opposition, la pertinence de l’offre au regard de l’activité et les règles contractuelles applicables. La mention « numéro professionnel » ne dispense donc pas d’une analyse.
La conservation temporaire du fichier peut être justifiée par la gestion de l’incident : établir ce qui a été exposé, identifier les destinataires, analyser le risque, préserver les journaux et répondre aux demandes. Cette conservation doit rester limitée à cette finalité. Elle ne permet pas de relancer une campagne, d’enrichir le CRM ou de vendre la base. Il faut créer une copie de travail protégée, restreindre les accès et documenter chaque consultation.
Le même raisonnement s’applique à un fichier téléchargé à partir d’un espace partagé, reçu d’un centre d’appels ou communiqué par un courtier en données. Une entreprise qui ignore l’origine exacte de la liste ne dispose pas, par cette seule ignorance, d’une autorisation. Elle doit suspendre l’usage commercial, interroger le fournisseur et vérifier les garanties contractuelles. Si le fournisseur ne peut pas démontrer la collecte et l’information des personnes, la liste ne doit pas être réactivée.
La Cour de cassation a déjà rappelé, dans sa décision du 16 décembre 2020, pourvoi n° 19-10.531, que la mécanique d’un message ne suffit pas à établir un accord préalable lorsque « l’utilisateur n’ayant jamais été préalablement invité à donner son accord à la réception des SMS ». Cette décision de la chambre commerciale est accessible sur le site officiel de la Cour de cassation. Même si l’affaire concernait des SMS, le principe probatoire est utile : une possibilité de renoncer après réception ne remplace pas un accord donné avant le contact.
Le fichier exposé doit donc être considéré comme une liste à risque. La question préalable n’est pas « combien de contacts puis-je encore appeler ? », mais « quelles données ont été touchées, pour quelle finalité, avec quelle preuve et quelles oppositions doivent être maintenues ? ». Cette inversion du raisonnement évite de lancer une campagne qui aggraverait l’incident.
B. Quelles mesures prendre avant toute conservation ou réutilisation du fichier ?
La première mesure consiste à mettre en pause toutes les campagnes utilisant le fichier, y compris celles confiées à un prestataire. La suspension doit être écrite et datée. Elle doit viser les appels, les SMS, les courriels, les exports CRM et les rapprochements avec d’autres bases. Une campagne qui continue pendant l’analyse peut faire disparaître la frontière entre la violation initiale et un manquement ultérieur imputable à l’entreprise.
Il faut ensuite conserver les éléments techniques utiles : date de découverte, compte compromis, journaux de connexion, fichiers téléchargés, destinataires connus, messages reçus, captures d’écran, échanges avec le gestionnaire de la plateforme, contrats, instructions adressées au call center et mesures de révocation des accès. La suppression précipitée des fichiers ou des journaux peut empêcher de déterminer l’étendue de l’incident. À l’inverse, une copie non protégée peut multiplier les accès non autorisés.
Le responsable du traitement doit établir une cartographie simple. Pour chaque colonne, il faut préciser la donnée, la source, la date de collecte, la finalité, la durée de conservation, la base juridique, les destinataires et l’existence d’une opposition. Pour chaque mouvement, il faut indiquer qui a envoyé le fichier, qui l’a reçu, qui l’a enrichi et qui a lancé une campagne. Cette cartographie permet de distinguer le fichier de consentement du fichier repoussoir.
Une opposition ne disparaît pas parce que Bloctel a cessé d’être le dispositif de référence. La CNIL recommande la constitution d’une liste repoussoir afin de respecter l’opposition dans la durée. Elle indique que les informations nécessaires à la prise en compte de l’opposition peuvent être conservées au minimum trois ans et recommande le hachage d’un numéro ou d’une adresse avant comparaison. L’entreprise doit donc maintenir une empreinte de suppression, séparée des contacts commerciaux, et ne pas effacer les oppositions avec le reste du fichier.
Une liste repoussoir ne doit pas devenir une liste de prospection inversée. Elle sert uniquement à empêcher un nouveau contact. Les collaborateurs et prestataires doivent recevoir une instruction précise : une correspondance entre un numéro reçu et l’empreinte d’opposition commande l’exclusion du numéro, l’arrêt de l’enrichissement et la conservation de la preuve de l’exclusion. L’accès à cette liste doit être limité aux personnes qui contrôlent la conformité des campagnes.
L’entreprise doit ensuite tester la provenance des consentements. Une preuve exploitable comporte au minimum la date et l’heure, le formulaire utilisé, la version de la notice, l’identité de l’entité bénéficiaire, le canal de collecte, la finalité, le moyen de retrait et le lien entre la personne et le numéro. Un tableau Excel rédigé après l’incident ne suffit pas à reconstituer un accord. La preuve peut être constituée par des journaux fiables, des enregistrements de parcours, des cases non pré-cochées, des mentions accessibles et des données d’horodatage cohérentes.
Un consentement donné pour recevoir un devis d’une entreprise ne permet pas automatiquement à dix partenaires de rappeler la personne. Si le formulaire prévoyait une transmission à des partenaires déterminés, il faut vérifier l’identité de ces partenaires, la finalité et le canal. Si le fichier a été revendu ou fusionné avec une autre base, le nouvel utilisateur doit procéder à sa propre analyse. La CNIL rappelle les règles relatives à la transmission de données de clients ou de prospects et à leur réutilisation à des fins de prospection.
Le professionnel doit aussi vérifier la qualité du fournisseur. Il faut demander son registre des traitements, la source des numéros, la preuve de l’information, la gestion des oppositions, la liste des sous-traitants ultérieurs, les mesures de sécurité et les journaux de transmission. Une clause générale affirmant que les contacts sont « conformes RGPD » ne remplace pas ces vérifications. Le contrat doit prévoir l’assistance en cas d’incident, la restitution ou la destruction des données, la notification rapide et la répartition des coûts.
Lorsque le fichier a été communiqué par une société de prospection, la responsabilité peut être partagée. Le donneur d’ordre qui détermine le produit, la cible et la campagne peut être responsable du traitement, tandis que le centre d’appels agit comme sous-traitant. Le fournisseur d’une base qui détermine ses propres finalités peut avoir une qualification différente. Il faut partir des rôles réellement exercés, et non du titre donné au contrat.
La règle de prudence est la suivante : une donnée dont la source, la finalité ou le consentement ne peuvent pas être démontrés doit rester bloquée. Si l’entreprise perd une opportunité commerciale, elle peut reconstruire une collecte régulière. Elle ne doit pas prendre le risque de transformer des numéros exposés ou opposés en campagne non consentie.
Sur le terrain contractuel, l’entreprise qui subit une fuite chez un prestataire doit mettre en demeure celui-ci de préserver les preuves, de communiquer la liste des données touchées et de coopérer à l’analyse. Une inexécution contractuelle peut relever de l’article 1231-1 du Code civil, qui prévoit que le débiteur peut être condamné à des dommages et intérêts en cas d’inexécution ou de retard. Une faute de sécurité ou une divulgation fautive peut aussi être examinée au regard de l’article 1240 du Code civil et de l’article 1241 du Code civil.
II. Quand notifier la CNIL et comment limiter la responsabilité de l’entreprise ?
A. Comment appliquer le délai de 72 heures et répartir les rôles entre responsable et sous-traitant
Une violation de données personnelles est une atteinte à la confidentialité, à l’intégrité ou à la disponibilité des données. Elle peut résulter d’un piratage, d’un téléchargement par un compte compromis, d’une erreur d’envoi, d’une perte, d’un accès trop large ou d’une transmission à un destinataire non autorisé. L’entreprise n’a pas à attendre de connaître le nombre définitif de personnes avant de commencer l’analyse.
Le point de départ du délai correspond à la connaissance suffisamment certaine de la violation et de son risque potentiel. Il faut enregistrer la date et l’heure auxquelles le responsable, son délégué à la protection des données ou son prestataire a reçu l’alerte crédible. Un échange du 12 août 2026, un courriel du gestionnaire, un signalement interne ou une découverte dans un journal peuvent servir de point de départ. La date à laquelle la direction a enfin lu le message n’est pas nécessairement la date juridique de connaissance si l’organisation avait déjà reçu une alerte exploitable.
L’article 33 du RGPD, présenté par la CNIL, impose au responsable de notifier la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, lorsque la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes. Le dépassement du délai ne justifie pas l’inaction : l’entreprise doit notifier dès que possible et expliquer le retard.
La notification peut être complétée. Il faut donner les éléments connus sur la nature de la violation, les catégories de personnes et de données, le nombre approximatif de personnes touchées, les conséquences probables, les mesures prises ou envisagées et le contact de la personne chargée du suivi. Si l’analyse n’est pas terminée, l’entreprise peut transmettre une première notification puis compléter le dossier. Cette méthode est préférable à une attente qui ferait perdre le délai.
Le seuil d’analyse n’est pas celui d’une certitude absolue. Pour des numéros de téléphone, le risque dépend de la nature du fichier, de la possibilité de relier les numéros à des identités, de la présence d’adresses ou de données financières, de l’existence d’une opposition, de la facilité de téléchargement et de la possibilité d’appels frauduleux. Un fichier comprenant uniquement des numéros déjà publics n’est pas automatiquement sans risque. Un fichier contenant les numéros de personnes qui avaient demandé à ne plus être démarchées appelle une analyse renforcée, car il révèle une préférence et peut exposer les personnes à des sollicitations qu’elles avaient voulu éviter.
L’article 34 du RGPD, également expliqué par la CNIL dans son service de notification, impose d’informer les personnes lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés. Le message doit être compréhensible et exposer la nature de la violation, les conséquences probables et les mesures prises. Il ne faut pas utiliser cette information pour promouvoir les services de l’entreprise ni demander aux personnes de confirmer leurs coordonnées par un lien non sécurisé.
Le rôle du sous-traitant est déterminant. Il doit alerter le responsable du traitement sans délai et fournir les informations techniques nécessaires. Lorsqu’il traite aussi des données pour son propre compte, il doit examiner ses propres obligations. La CNIL décrit le cas d’un sous-traitant placé au centre d’une crise : il doit aider ses clients concernés, leur transmettre les éléments utiles et peut devoir notifier l’incident correspondant à ses propres traitements.
Le jugement du tribunal judiciaire de Paris du 13 février 2025, RG n° 21/07085, accessible dans la base officielle Judilibre de la Cour de cassation, rappelle la logique de responsabilité démontrable : « Le responsable du traitement est responsable du respect du paragraphe 1 de ces dispositions et est en mesure de démontrer que celles-ci ont été respectées. » La décision cite les principes de licéité, de finalité, de minimisation, de sécurité et de responsabilité. Pour une entreprise, cela implique de conserver la chronologie des alertes, les décisions prises et les raisons d’une notification ou d’une absence de notification.
Le responsable doit produire une fiche d’incident structurée. Elle peut comporter cinq parties : faits connus, données touchées, analyse du risque, mesures immédiates et plan de suivi. La fiche doit préciser ce qui reste incertain. Une formule vague comme « aucun risque identifié » est fragile si l’entreprise n’a pas vérifié les téléchargements, les destinataires, les sauvegardes et les prestataires secondaires.
La communication interne doit être maîtrisée. Les équipes commerciales doivent recevoir une consigne d’arrêt, le service informatique doit préserver les journaux, le DPO ou le conseil doit piloter l’analyse et la direction doit désigner une personne habilitée à communiquer avec la CNIL. Les salariés ne doivent pas copier le fichier dans des espaces personnels ou tenter d’appeler quelques contacts pour « vérifier » l’incident. Chaque nouvel accès peut créer un événement à notifier.
B. Quelles preuves conserver et quels recours préparer à Paris et en Île-de-France ?
La notification n’épuise pas la responsabilité. Une entreprise doit pouvoir répondre à une demande d’accès, à une opposition, à une plainte, à un contrôle de la CNIL, à une demande d’un partenaire ou à une assignation. Les preuves utiles comprennent le registre des violations, les rapports techniques, les contrats, les instructions au sous-traitant, les copies des notices d’information, les journaux de consentement, les listes repoussoirs, les tickets de sécurité, les décisions de suspension et les comptes rendus de réunion.
Il faut aussi préserver les éléments permettant de distinguer le dommage causé par la fuite du dommage causé par une campagne ultérieure. Une personne qui reçoit un appel après avoir été inscrite sur une liste d’opposition peut se plaindre de la prospection, de l’utilisation de ses données et de la violation de sa volonté. L’entreprise doit identifier la source de l’appel, le prestataire, la version du fichier utilisée et la preuve du consentement invoqué. Une politique générale de conformité ne suffit pas à expliquer un appel précis.
Le nouveau régime de démarchage prévoit une sanction administrative élevée. L’article L. 242-16 du Code de la consommation dispose que « Tout manquement aux dispositions des articles L. 223-1 à L. 223-5 est passible d’une amende administrative dont le montant ne peut excéder 75 000 € pour une personne physique et 375 000 € pour une personne morale. » L’article L. 522-1 du même code désigne l’autorité administrative compétente pour prononcer plusieurs amendes et suites de contrôle. La réparation d’une violation de données et la sanction du démarchage sont deux questions différentes, mais elles peuvent se cumuler dans un même dossier.
L’entreprise doit donc examiner le fichier sous deux angles. Le premier est la licéité de la campagne : consentement préalable, exception du contrat en cours, objet de l’appel, preuve et absence d’opposition. Le second est la sécurité : accès autorisés, hachage, authentification forte, journalisation, limitation des exports, encadrement des sous-traitants et réaction à l’incident. Une société peut avoir une base légale pour une partie de ses contacts et rester en faute sur la sécurité du fichier. Elle peut aussi avoir sécurisé ses serveurs mais ne disposer d’aucune preuve de consentement.
La question indemnitaire doit être traitée avec précision. Dans son arrêt du 24 juin 2026, pourvoi n° 24-22.792, publié au Bulletin, la chambre sociale de la Cour de cassation a rappelé que « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation ». Le texte intégral est disponible sur le site officiel de la Cour de cassation. La personne qui demande une indemnisation doit établir une violation, un dommage matériel ou moral et un lien entre les deux. Cela ne diminue pas l’importance de la conformité : cela signifie que la défense doit répondre aux faits et au dommage allégué.
Le droit à réparation prévu par l’article 82 du RGPD a une fonction compensatoire. Une personne peut invoquer une perte de contrôle, une inquiétude, une exposition à des appels frauduleux, une atteinte à la vie privée ou une conséquence financière, mais l’entreprise doit examiner concrètement les éléments fournis. Elle ne doit ni promettre une indemnisation automatique ni minimiser le risque sans analyse. Un dossier solide rapproche les données exposées, les circonstances, les appels reçus, les démarches accomplies et les conséquences démontrées.
Le respect de la minimisation compte aussi dans les échanges de preuves. Dans son arrêt du 3 octobre 2024, pourvoi n° 21-20.979, publié au Bulletin et au Rapport, la deuxième chambre civile a rappelé qu’il appartient au juge « de veiller au principe de minimisation des données à caractère personnel ». La décision officielle est consultable ici. Une entreprise assignée ne doit donc pas produire toute sa base de prospects. Elle doit limiter les documents aux éléments nécessaires, occulter les numéros et identifiants qui ne servent pas à la défense et encadrer les accès aux pièces.
L’article 9 du Code civil protège le respect de la vie privée et permet au juge de prescrire des mesures pour empêcher ou faire cesser une atteinte. Une personne peut demander la cessation d’un traitement, l’effacement lorsqu’il est justifié, la communication d’informations sur la source de la donnée et, selon les circonstances, la réparation de son préjudice. L’article 1240 du Code civil prévoit que tout fait fautif ayant causé un dommage oblige son auteur à le réparer. L’article 1241 vise également la négligence ou l’imprudence.
À Paris et en Île-de-France, la préparation du dossier doit tenir compte de la chaîne des prestataires. Une société peut avoir un service commercial à Paris, un centre d’appels en proche couronne, un hébergeur situé dans un autre État et un courtier ayant fourni la base. Les contrats, les journaux et les instructions doivent permettre d’identifier le rôle de chacun. Le tribunal compétent dépendra du litige, de la qualité des parties, du contrat et de la demande. Une société ne doit pas envoyer le dossier complet à tous les partenaires avant d’avoir défini les accès et les obligations de confidentialité.
Pour replacer l’incident dans la stratégie globale de l’entreprise, les dirigeants peuvent également consulter cette présentation du droit des affaires. Elle ne remplace pas l’analyse de la violation, mais aide à rattacher la crise de données aux contrats commerciaux, à la gouvernance et aux décisions à prendre avec les partenaires.
Une stratégie de recours peut comprendre plusieurs étapes. Il faut d’abord adresser une notification contractuelle au prestataire ou au fournisseur de données. Il faut ensuite demander les éléments techniques indispensables, réserver les droits de l’entreprise et vérifier l’assurance cyber ou responsabilité civile professionnelle. Si le prestataire refuse de coopérer, une mise en demeure peut préparer une action en exécution ou en réparation. Lorsque la situation est urgente, une procédure destinée à obtenir la conservation ou la communication de pièces peut être envisagée avec un avocat.
Si l’entreprise est mise en cause par une personne ou par la CNIL, elle doit éviter deux erreurs. La première consiste à détruire le fichier pour faire disparaître la difficulté : cette décision peut empêcher l’analyse, violer une obligation de conservation de preuve et rendre la défense incohérente. La seconde consiste à reconnaître indistinctement toutes les violations sans vérifier le périmètre : la réponse doit être exacte, factuelle et limitée à ce qui est établi. Un audit contradictoire et une chronologie documentée sont souvent plus utiles qu’une réponse générale.
Une checklist de reprise peut être appliquée avant toute campagne nouvelle :
- bloquer le fichier touché et révoquer les accès compromis ;
- identifier les données, les personnes, les destinataires et les téléchargements ;
- séparer consentements, oppositions, contacts professionnels et données à vérifier ;
- préserver les journaux, les contrats, les notices et les preuves d’horodatage ;
- évaluer le risque au regard de la nature des numéros et des informations associées ;
- notifier la CNIL dans les meilleurs délais lorsque le risque le justifie, puis compléter ;
- informer les personnes lorsque le risque élevé le commande ;
- conserver une liste repoussoir et tester chaque nouvelle campagne contre cette liste ;
- ne réactiver un contact qu’après vérification de la source, de la finalité, du consentement et de l’opposition ;
- préparer les recours contractuels et la défense avec les pièces strictement nécessaires.
Cette méthode protège à la fois les personnes concernées et l’entreprise. Elle montre que la société a interrompu le risque, recherché les causes, coopéré avec ses prestataires, évalué le dommage et mis en place des mesures correctrices. Elle permet également de répondre à une contestation individuelle sans diffuser davantage de données personnelles.
Conclusion
Un fichier de prospects exposé ne peut pas être réutilisé comme une base commerciale ordinaire. La fuite ne vaut ni consentement ni information régulière, et la fin de Bloctel ne transforme pas les numéros inscrits ou traités dans ce dispositif en contacts disponibles. L’entreprise doit suspendre les campagnes, préserver les preuves, maintenir les oppositions, vérifier la source de chaque consentement et déterminer rapidement si une notification à la CNIL ou aux personnes concernées est nécessaire.
La responsabilité dépend ensuite des rôles réellement exercés par le donneur d’ordre, le fournisseur de données et le sous-traitant. Les contrats, journaux, procédures de sécurité et preuves d’information doivent permettre de reconstituer les faits. En cas de contrôle, de plainte, de demande de réparation ou de conflit avec un prestataire, une analyse individualisée permet de défendre les intérêts de la société sans aggraver l’exposition des données.
Besoin d’un avis rapide sur votre dossier.
Consultation téléphonique en 48 heures avec un avocat du cabinet.
Nous analysons la fuite, le fichier, la notification CNIL et vos recours à Paris et en Île-de-France.
Appelez le 06 46 60 58 22 ou utilisez le formulaire de contact du cabinet.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.