Le 12 août 2026, la DGCCRF a indiqué dans son communiqué officiel qu’un accès frauduleux à un compte professionnel avait permis de récupérer des fichiers contenant environ 3 millions de numéros de téléphone, dont 600 000 inscrits sur Bloctel. Les investigations mentionnées dans le communiqué ont retenu une exposition des numéros seuls, sans nom ni adresse, et précisé que la base de données Bloctel elle-même n’avait pas été compromise. La CNIL a été notifiée et les comptes professionnels ont fait l’objet de vérifications.
Cette actualité soulève une question immédiate pour toute entreprise qui conserve, achète, loue ou exploite un fichier de prospection téléphonique : que faire lorsqu’un accès non autorisé a pu rendre les numéros accessibles ? La réponse ne se limite pas à changer un mot de passe. L’entreprise doit qualifier la violation de données, déterminer son rôle dans le traitement, préserver les preuves, suspendre les campagnes dont la base juridique n’est pas démontrée et organiser la réponse aux demandes des personnes concernées.
Le calendrier renforce le risque. Depuis le 11 août 2026, le régime du démarchage téléphonique des particuliers repose sur le consentement préalable, et non plus sur l’inscription du consommateur sur une liste d’opposition. Un fichier ancien, même présenté comme « conforme Bloctel », ne prouve donc pas à lui seul qu’un appel peut être passé. L’analyse suivante distingue la sécurité du fichier, la preuve du consentement, les notifications à effectuer et les responsabilités susceptibles d’être engagées.
I. Fuite de données Bloctel : quelles obligations pour l’entreprise qui conserve le fichier ?
A. Pourquoi un fichier de numéros est-il une violation de données et qui doit agir ?
Un numéro de téléphone rattachable à une personne est une donnée à caractère personnel. Le fait que le fichier ne contienne ni nom ni adresse ne le fait pas sortir du champ de la protection des données : un numéro peut être utilisé pour appeler, envoyer un SMS, rechercher une identité dans une autre base ou déclencher une opération de réinitialisation de compte. La qualification dépend de la possibilité raisonnable d’identifier une personne, directement ou par rapprochement avec d’autres informations.
Une violation de données ne suppose pas que le fichier ait été publié sur internet ou que les numéros aient déjà été utilisés par un fraudeur. Un accès non autorisé, une extraction, une perte, une transmission à un destinataire non habilité ou une mauvaise configuration peuvent suffire. La question de la faute vient ensuite. Il faut d’abord déterminer ce qui s’est passé, quelles données étaient accessibles, pendant combien de temps, à qui et avec quelles conséquences possibles.
Cette analyse ciblée complète les recours étudiés après une cyberattaque de clients dans l’article consacré à la responsabilité de l’entreprise victime d’une fuite de données : ici, le point décisif est la conservation d’un fichier de prospection téléphonique et la preuve du droit d’appeler après le changement de régime.
La première entreprise concernée est celle qui décide pourquoi les numéros sont collectés et comment ils sont exploités : elle est généralement responsable du traitement. Une plateforme de centre d’appels, un hébergeur ou un prestataire de gestion de campagne peut agir comme sous-traitant lorsqu’il traite les données sur instruction. La qualification dépend des faits et du contrat, pas du seul intitulé commercial. Plusieurs intervenants peuvent donc devoir coopérer, chacun sur son périmètre, sans que le donneur d’ordre puisse se décharger de toute analyse sur son prestataire.
La communication de la DGCCRF est utile pour mesurer le risque, mais elle ne fournit pas une exonération générale. Elle indique que « la base de données Bloctel elle-même n’a pas été compromise ». Cela signifie que l’incident décrit porte sur des fichiers accessibles depuis un compte professionnel, et non sur une intrusion dans la base centrale. Une entreprise qui détenait une copie, un export, une liste de campagne ou un fichier fourni par un partenaire doit donc étudier son propre traitement et ses propres accès.
Le règlement (UE) 2016/679, dit RGPD, impose au responsable du traitement et au sous-traitant des mesures de sécurité adaptées au risque. Le Conseil d’État a rappelé cette exigence dans sa décision du 22 juillet 2022, n° 449694, relative à des données médicales rendues accessibles en ligne. Le texte cité par la décision demande des « mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». La taille du fichier, la possibilité de fraude téléphonique et le nombre de personnes touchées entrent dans cette appréciation.
Dans une entreprise, l’action doit réunir la direction, le responsable informatique, le délégué à la protection des données lorsqu’il existe, l’équipe commerciale et les conseils externes utiles. Les personnes qui gèrent la campagne ne doivent pas supprimer les traces pour « nettoyer » la base avant l’analyse. Les journaux de connexion, exports, tickets, échanges avec le prestataire, captures de configuration et versions des formulaires de consentement peuvent devenir indispensables pour expliquer l’incident et démontrer la réaction apportée.
Le premier relevé doit répondre à des questions factuelles :
- quel compte a été utilisé, à quelle date et depuis quelle adresse ou quel appareil ;
- quels fichiers, colonnes, sauvegardes et exports ont été consultés ou téléchargés ;
- si les numéros étaient associés à une source, une date de collecte, une finalité, un statut de consentement ou une opposition ;
- quels collaborateurs, agences, courtiers de données ou centres d’appels pouvaient accéder au fichier ;
- si la campagne était encore active et si des appels ou messages ont suivi l’accès frauduleux ;
- quelles mesures ont été prises pour bloquer le compte, révoquer les sessions et empêcher une nouvelle extraction.
Le sous-traitant doit transmettre ces informations au responsable du traitement sans délai, selon le contrat et les circonstances. Le responsable doit conserver la chronologie des alertes et des décisions. Une entreprise qui apprend la fuite plusieurs jours après son prestataire doit documenter la date à laquelle elle en a effectivement pris connaissance, car cette date joue un rôle dans le délai de notification.
Le fait que la CNIL ait été informée par l’opérateur ou par une autre entité ne règle pas automatiquement la situation de chaque entreprise. Dans la décision n° 449694, le Conseil d’État a formulé une réserve liée aux circonstances précises dans lesquelles la CNIL avait elle-même informé le responsable et engagé un contrôle. Cette solution ne doit pas être transformée en règle générale : chaque responsable doit établir son propre risque et vérifier si une notification est nécessaire.
Enfin, l’entreprise doit séparer deux sujets qui se recoupent sans se confondre : la sécurité du fichier et la licéité de la prospection. Une base peut avoir été correctement protégée mais ne pas contenir une preuve de consentement valable. À l’inverse, un consentement peut avoir été recueilli dans des conditions acceptables alors que la sécurité du compte était insuffisante. Le dossier de réponse doit traiter les deux volets.
B. Peut-on encore appeler un consommateur après le 11 août 2026 et quelle preuve conserver ?
Depuis le 11 août 2026, l’article L. 223-1 du code de la consommation pose un principe d’interdiction lorsque le consommateur n’a pas accepté au préalable la prospection téléphonique. Le texte indique : « Il est interdit de démarcher par téléphone, directement ou par l’intermédiaire d’un tiers agissant pour son compte, un consommateur qui n’a pas exprimé préalablement son consentement ». Le passage vise aussi l’entreprise qui recourt à un tiers pour appeler. Externaliser la campagne ne transfère donc pas le risque juridique.
Le consentement exigé par ce texte doit être libre, spécifique, éclairé, univoque et révocable, avec un acte positif clair. Le professionnel doit en apporter la preuve. Une mention générale dans des conditions d’utilisation, une case précochée, une liste vendue par un intermédiaire ou l’ancienne inscription d’un numéro dans une base Bloctel ne suffisent pas, pris isolément, à établir cette preuve.
L’article L. 223-2 du code de la consommation impose en outre d’informer la personne lorsque le professionnel recueille ses données téléphoniques. Il prévoit que toute sollicitation commerciale suppose un consentement préalable, et le texte vise expressément « toute sollicitation téléphonique effectuée à des fins commerciales ». Lorsque le numéro est recueilli lors de la conclusion d’un contrat, le contrat doit mentionner clairement l’interdiction d’appeler sans ce consentement.
Un fichier touché par une fuite doit être placé en quarantaine pour les campagnes sortantes tant que l’entreprise ne peut pas reconstituer, numéro par numéro ou selon une méthode d’audit fiable, l’origine et la portée de l’autorisation. La fuite ne rend pas mécaniquement nul chaque consentement antérieur. Elle peut toutefois rendre impossible sa démonstration, révéler une transmission à des partenaires non prévus ou montrer que les oppositions n’étaient pas correctement répercutées. Dans ces cas, poursuivre la campagne expose l’entreprise à un risque distinct de l’incident de sécurité.
Le dossier de preuve doit comporter, lorsque ces éléments existent :
- la page ou le formulaire utilisé au moment de la collecte, avec sa version et sa date ;
- le texte présenté au consommateur et la finalité exacte de la prospection ;
- le journal de l’action positive : date, heure, identifiant technique et parcours suivi ;
- l’identité de l’entreprise ou des partenaires autorisés à recevoir les données ;
- la preuve de la transmission, de la mise à jour des oppositions et de la révocation ;
- le rapprochement entre la personne appelée et le consentement conservé ;
- la procédure appliquée lorsqu’une personne demande la suppression ou refuse un nouvel appel.
Une entreprise qui a acheté un fichier ne peut pas se contenter de produire la facture du fournisseur. Dans sa décision du 5 mai 2025, n° 490202, le Conseil d’État a examiné la prospection réalisée à partir de données collectées par des fournisseurs d’accès puis acquises par un partenaire. La décision rappelle que le responsable doit être capable de démontrer que les personnes ont donné un consentement éclairé. Elle reprend la formule du RGPD : « toute manifestation de volonté, libre, spécifique, éclairée et univoque ». Le fait que le fichier provienne d’un tiers ne dispense pas l’utilisateur final de contrôler la chaîne de collecte.
Cette même décision est particulièrement importante lorsque le formulaire parlait seulement de « partenaires ». Pour une campagne téléphonique, l’entreprise doit vérifier que l’information permettait de comprendre la finalité et, selon le montage, les destinataires ou catégories de destinataires. Une autorisation donnée à un site de jeu, à un comparateur ou à une agence ne vaut pas nécessairement consentement à l’appel d’une société qui n’était pas identifiable au moment de la collecte.
La décision du Conseil d’État du 23 mars 2015, n° 357556, Groupe DSE France, rappelle déjà que l’obligation d’information pèse de la même façon lorsque les données ont été « collectées directement ou indirectement ». Même ancienne, cette solution reste utile pour les fichiers loués ou achetés : l’entreprise qui exploite la liste doit vérifier l’information communiquée à la personne et son droit d’opposition, au lieu de supposer que le fournisseur a tout vérifié.
La décision du 20 mai 2026, n° 492836, Tagadamedia, montre aussi le danger des parcours ambigus. Le Conseil d’État a validé l’analyse d’un formulaire dont les boutons et la présentation pouvaient laisser croire à deux étapes d’inscription, « compte tenu de son caractère équivoque », et a maintenu une injonction de mise en conformité, avec une amende ramenée à 50 000 euros. Une société doit donc conserver non seulement le clic, mais aussi l’apparence et le sens du parcours qui l’a produit.
Le régime du téléphone doit enfin être distingué de celui des SMS, courriels et appels automatisés. L’article L. 34-5 du code des postes et des communications électroniques encadre la prospection directe par système automatisé, télécopieur ou courrier électronique utilisant les coordonnées d’une personne physique sans consentement préalable. Une fuite de numéros peut donc déclencher plusieurs analyses : l’appel d’un conseiller, l’envoi automatisé d’un SMS et une campagne de courriels ne reposent pas exactement sur les mêmes règles.
Le périmètre de l’article L. 223-1 concerne le consommateur. Un numéro professionnel utilisé dans une relation entre entreprises peut relever d’une analyse différente, mais l’étiquette « B2B » ne suffit pas lorsque le numéro renvoie à une personne physique ou lorsqu’un appel vise en réalité une offre destinée à un particulier. L’entreprise doit qualifier ses campagnes et ses fichiers, sans utiliser cette distinction comme un moyen automatique de contourner le consentement.
Les exceptions doivent être lues strictement. L’article L. 223-5 du code de la consommation prévoit une exception pour la prospection en vue de fournir des journaux, périodiques ou magazines. L’exception de la relation contractuelle en cours prévue par l’article L. 223-1 suppose un contrat réel et un rapport avec son objet. Elle ne transforme pas une ancienne base commerciale en permission générale de promouvoir n’importe quel service.
Le contrôle de la preuve ne doit pas conduire à détruire les éléments nécessaires à la défense. L’entreprise peut suspendre l’usage commercial d’un fichier, le rendre inaccessible aux équipes, conserver un exemplaire sécurisé de la base et archiver les journaux. La suppression des données demandée par une personne devra ensuite être conciliée avec les obligations de preuve, la liste d’opposition et la nécessité de ne pas la recontacter. Une procédure documentée vaut mieux qu’un effacement improvisé qui empêcherait de comprendre la fuite ou provoquerait un nouvel appel.
II. Que faire après une fuite Bloctel : notification, suppression, preuve et responsabilité ?
A. Quelles mesures prendre dans les premières heures et quels documents réunir ?
La première décision utile est de suspendre l’exploitation du compte ou du fichier concerné, tout en évitant de détruire les preuves. Il faut désactiver le compte compromis, révoquer les sessions et les jetons, renouveler les mots de passe, imposer l’authentification multifacteur, vérifier les comptes administrateurs et demander au prestataire d’immobiliser les exports. Les mesures doivent être datées, attribuées à une personne et conservées dans une chronologie.
L’entreprise doit ensuite geler les journaux et les configurations. Une copie forensique ou un export contrôlé peut être nécessaire pour éviter l’écrasement automatique des traces. Les équipes ne doivent pas se connecter successivement au compte compromis sans coordination : chaque connexion peut compliquer l’identification de l’intrus. Le prestataire informatique doit préciser ce qui est connu, ce qui est supposé et ce qui reste à confirmer.
Le registre d’incident doit distinguer les faits vérifiés des hypothèses. Il doit indiquer la date de découverte, la date estimée de l’accès, la nature des données, le nombre approximatif de personnes et d’enregistrements, les destinataires possibles, le risque de fraude ou de démarchage, les mesures de confinement et la décision prise concernant la notification. Une déclaration tardive ou incomplète peut être complétée, mais l’entreprise doit expliquer la raison de cette évolution.
La loi française renvoie directement aux obligations du RGPD. L’article 58 de la loi du 6 janvier 1978 indique que « Le responsable de traitement notifie à la Commission nationale de l’informatique et des libertés » et communique à la personne concernée toute violation dans les conditions des articles 33 et 34 du RGPD. En pratique, l’article 33 impose une notification à la CNIL lorsque la violation est susceptible d’engendrer un risque pour les droits et libertés, dans les meilleurs délais et, si possible, dans les 72 heures après la prise de connaissance.
La décision du Conseil d’État du 22 juillet 2022, n° 449694, rappelle la formulation à respecter : « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». Le délai ne signifie pas qu’il faut attendre une enquête technique parfaite. Une première notification peut exposer les éléments connus, les mesures déjà prises et le plan de complément.
La notification doit décrire la nature de l’incident, les catégories et le nombre approximatif de personnes et d’enregistrements, le point de contact, les conséquences probables et les mesures de remédiation. Pour une fuite de numéros, l’entreprise doit évaluer le risque d’appels frauduleux, de hameçonnage vocal, de changement de carte SIM, de réinitialisation de comptes utilisant le numéro comme identifiant et de démarchage illicite. L’absence de nom et d’adresse peut réduire certains scénarios, mais elle ne permet pas de conclure sans analyse que le risque est nul.
Lorsque le risque est élevé, les personnes concernées doivent recevoir une information compréhensible et utile. Elle doit expliquer ce qui s’est produit, les données touchées, les mesures prises et les actions de prudence. Une communication qui minimise l’incident ou qui laisse croire que Bloctel a été piraté alors que le communiqué officiel indique l’inverse peut créer une nouvelle difficulté. Le message doit rester exact : numéros exposés, périmètre connu, incertitudes restantes et canal de contact.
La personne concernée peut demander la suppression de ses données, exercer son droit d’opposition ou signaler un appel à la plateforme SignalConso. L’entreprise doit avoir une adresse et un processus permettant de traiter ces demandes. Le numéro ne doit pas être ajouté à une nouvelle campagne sous prétexte que le demandeur a répondu à l’appel. Il doit être marqué dans une liste d’opposition, avec une conservation limitée et sécurisée de l’information nécessaire à la non-réitération lorsque le droit applicable le justifie.
La réponse à une demande doit aussi rechercher les copies : CRM, outil du centre d’appels, fichier CSV, table de routage, sauvegarde, boîte courriel, espace de partage et outil d’analyse. Effacer une ligne dans le CRM ne supprime pas les duplications. Si un prestataire a reçu la liste, l’entreprise doit lui demander de suspendre l’utilisation, de supprimer ou isoler les copies selon les instructions documentées et de confirmer les actions réalisées.
Les contrats avec les courtiers de données, agences de génération de prospects, centres d’appels et hébergeurs doivent être relus. Les clauses utiles portent sur la provenance des données, la preuve du consentement, les sous-traitants ultérieurs, la notification des incidents, l’assistance aux demandes de droits, les audits, la restitution et la destruction des copies. Une clause générale de conformité ne remplace pas la production des pièces qui permettent de vérifier la campagne réellement exécutée.
La loi Informatique et libertés, article 83, prévoit un régime spécial pour les fournisseurs de services de communications électroniques accessibles au public, avec un inventaire des violations. Ce texte ne doit pas être appliqué indistinctement à toute société qui possède un fichier de prospection. Pour les autres responsables, l’analyse passe par le RGPD, la loi du 6 janvier 1978, les règles du démarchage et les contrats.
Le dossier interne devrait finalement réunir :
- une chronologie signée de l’accès frauduleux et des mesures de blocage ;
- la cartographie des fichiers, copies, utilisateurs et prestataires ;
- l’analyse des catégories de données, des personnes et des conséquences possibles ;
- la décision motivée de notifier ou non la CNIL et, le cas échéant, les personnes ;
- les versions des formulaires, preuves de consentement et listes d’opposition ;
- les courriers aux partenaires et les attestations de suppression ou de sécurisation ;
- le plan de reprise, avec une règle claire interdisant toute campagne dont la preuve n’est pas vérifiable.
B. Quelles sanctions, demandes de suppression et actions indemnitaires sont possibles ?
Le risque financier ne se résume pas à l’amende liée à la fuite. Si l’entreprise continue à appeler des consommateurs sans pouvoir démontrer leur consentement, l’article L. 242-16 du code de la consommation prévoit une amende administrative pouvant atteindre 375 000 euros pour une personne morale. Le texte précise également que la décision est publiée aux frais de la personne sanctionnée, sous réserve des règles applicables à la publication. La réputation commerciale et la relation avec les partenaires peuvent donc être affectées.
Le même article rappelle que les articles L. 223-1 à L. 223-5 sont sanctionnés. L’article L. 223-1 dispose aussi que le contrat conclu à la suite d’un démarchage réalisé en violation du régime est nul. La perspective n’est pas seulement administrative : une vente obtenue après un appel sans autorisation peut être contestée, et l’entreprise peut devoir restituer les sommes ou répondre des conséquences de la pratique.
Sur le terrain des données, la CNIL peut enjoindre une mise en conformité, limiter ou interdire un traitement, imposer l’effacement et prononcer une amende selon la gravité, le nombre de personnes, la durée, le bénéfice retiré, les mesures de sécurité et la coopération. La décision du Conseil d’État du 19 juin 2020, n° 430810, a rappelé qu’un consentement « ne peut qu’être un consentement exprès de l’utilisateur, donné en toute connaissance de cause » et qu’une information générale ou diluée peut être insuffisante. Cette décision concernait la personnalisation publicitaire, mais son raisonnement sur la qualité de l’information et la preuve éclaire aussi les bases de prospection.
Le Conseil d’État a aussi jugé, dans sa décision du 28 janvier 2022, n° 449209, qu’une opération de recueil ou de dépôt devait être précédée d’une « information préalable, claire et complète » et qu’un défaut de consentement ou d’opposition pouvait caractériser un manquement. Le litige concernait les traceurs, pas une campagne téléphonique. Il ne faut donc pas transposer mécaniquement les faits, mais retenir le principe probatoire : l’entreprise doit montrer ce qui a été présenté, ce qui a été choisi et comment le refus pouvait être exercé.
La responsabilité civile dépendra des faits. L’article 1240 du code civil prévoit que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». L’article 1241 du code civil ajoute que chacun répond du dommage causé « par sa négligence ou par son imprudence ». Une personne dont le numéro a été exposé devra établir, selon la demande, un dommage et un lien avec le manquement. L’exposition seule ne donne pas automatiquement droit à une indemnité forfaitaire, mais des appels frauduleux, une usurpation, une perte de temps importante ou une atteinte démontrée peuvent modifier l’analyse.
Une entreprise victime peut également agir contre un prestataire si celui-ci a laissé un compte trop largement ouvert, conservé des exports sans protection ou tardé à signaler l’incident. Le contrat, les instructions, les mesures réellement déployées et le partage des rôles seront examinés. Le responsable du traitement ne doit pas attendre que le prestataire reconnaisse une faute pour protéger les personnes : la réaction immédiate et le recours contractuel sont deux démarches distinctes.
Pour un consommateur qui reçoit un appel suspect après la fuite, les preuves utiles sont le numéro affiché, la date et l’heure, l’enregistrement lorsqu’il est licite, le contenu de la conversation, le nom annoncé par l’appelant, les SMS ou courriels de suivi, les captures d’écran et la demande écrite de suppression. Le consommateur peut demander à l’entreprise l’origine de ses données, la finalité, les destinataires et la cessation des appels. Il peut aussi signaler la pratique à la DGCCRF et saisir la CNIL pour le volet données.
Pour l’entreprise, les preuves utiles sont différentes : copie du fichier avant et après l’incident, identifiants d’accès, logs, rapports du prestataire, procès-verbal interne, évaluation du risque, notification CNIL, messages envoyés aux personnes, export de la liste d’opposition, audits des campagnes et contrats des partenaires. Une réponse juridique solide doit pouvoir expliquer non seulement ce qui a été fait, mais aussi pourquoi une mesure n’a pas été retenue.
Paris et Île-de-France. Une société dont le siège, le centre d’appels ou le prestataire est situé à Paris ou en Île-de-France doit identifier dès le départ les interlocuteurs, les lieux de stockage et les juridictions susceptibles d’intervenir, sans confondre le lieu du siège avec la compétence automatique pour tout litige. Les demandes de suppression, la notification à la CNIL, les échanges avec un fournisseur et la conservation des journaux peuvent être préparés dans un dossier unique. Pour une campagne conduite depuis plusieurs sites, le contrat et le rôle de chaque entité doivent être établis avant toute réponse au consommateur.
Ce travail doit aussi être relié à la gouvernance commerciale. Le responsable des ventes doit avoir une règle simple : aucun numéro issu du fichier exposé ne repart en campagne tant que sa provenance, son consentement, sa finalité, son éventuel destinataire et son statut d’opposition ne sont pas vérifiables. Le responsable informatique doit contrôler les accès et les exports. La direction doit arbitrer la notification, l’information et les éventuelles mesures de réparation. Le Droit des affaires du cabinet peut être mobilisé pour coordonner la lecture des contrats, la gestion de crise et les suites contentieuses.
Une entreprise ne doit pas non plus publier la liste des numéros pour démontrer qu’elle les a bloqués. Elle doit limiter les destinataires, utiliser un canal sécurisé, vérifier l’identité des personnes qui demandent l’accès ou la suppression et conserver uniquement les éléments nécessaires. Les équipes commerciales doivent recevoir une consigne écrite sur les fichiers gelés et les campagnes interdites. Une simple note orale laisse subsister le risque qu’un ancien export soit réimporté dans l’outil d’appel.
La mise en conformité doit enfin être testée après la crise : revue des comptes privilégiés, authentification multifacteur, séparation des environnements, expiration des liens de téléchargement, limitation des exports, chiffrement, journalisation, revue des sous-traitants et exercice de réponse à incident. La sécurité n’est pas une formalité isolée ; elle doit protéger à la fois la confidentialité du fichier et la fiabilité des preuves commerciales.
Conclusion
La fuite de fichiers de numéros associée à l’actualité Bloctel oblige les entreprises à traiter deux urgences en parallèle. Elles doivent contenir la violation de données, qualifier le risque, conserver les preuves et notifier lorsque les conditions du RGPD sont réunies. Elles doivent aussi revoir chaque campagne téléphonique au regard du consentement préalable désormais exigé pour les consommateurs.
Un fichier provenant d’un partenaire, une ancienne inscription Bloctel ou une case cochée dans un formulaire générique ne suffit pas à prouver le droit d’appeler. Tant que la provenance, la finalité, l’identité des destinataires et la révocation ne sont pas vérifiables, la campagne doit rester suspendue. La bonne réponse repose sur une chronologie complète, un gel maîtrisé des données, une information exacte des personnes et une répartition claire des responsabilités entre l’entreprise et ses prestataires.
Besoin d’un avis rapide sur votre dossier
Vous pouvez obtenir une consultation téléphonique en 48 heures avec un avocat du cabinet pour examiner votre dossier.
Le cabinet peut analyser la fuite, les contrats de sous-traitance, la preuve du consentement, la notification à la CNIL et la stratégie de mise en conformité. Appelez le 06 46 60 58 22 ou utilisez le formulaire de contact du cabinet.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.