Sanctions CNIL en prospection : 3 décisions à connaître (et comment les éviter)
·
Par 
Aymeric Guyard · 6 min de lecture
En bref
- Trois sanctions publiques de la CNIL éclairent les erreurs les plus fréquentes en prospection : collecte illicite de données (Kaspr, 240 000 €), consentement mal recueilli (Accor, 600 000 €), formulaires trompeurs avec preuve défaillante (SoLocal MS, 900 000 €). Point commun : un consentement mal obtenu ou impossible à prouver.
Panorama des 3 sanctions
| Organisme | Montant | Date | Erreur principale |
|---|---|---|---|
| Kaspr | 240 000 € | 5 décembre 2024 | Collecte de données par scraping, conservation trop longue |
| Accor | 600 000 € | 3 août 2022 | Case de consentement newsletter pré-cochée |
| SoLocal MS | 900 000 € | 15 mai 2025 | Formulaires trompeurs (dark patterns), preuve défaillante |
1. Kaspr (240 000 €) — la collecte illicite des données
Ce qui est reproché : un enrichissement de données réalisé à partir de profils LinkedIn à visibilité limitée (scraping), une durée de conservation excessive et une gestion insuffisante des droits d'accès.
La leçon : l'origine de vos données compte autant que leur usage. Avant d'intégrer une base — achetée, enrichie ou scrapée — vérifiez sa licéité et documentez sa source. En prospection, une base « pratique » mais illicite est une bombe à retardement.
2. Accor (600 000 €) — le consentement mal recueilli
Ce qui est reproché : une case de consentement à la newsletter pré-cochée, associée à une information et un droit d'opposition défaillants. Le consentement n'était donc pas valable.
La leçon : un consentement doit résulter d'un acte positif. Pas de case pré-cochée, pas d'inactivité valant accord. Chaque finalité doit être présentée clairement, avec une possibilité de refus aussi simple que l'acceptation. Voir Prospection B2C et RGPD.
3. SoLocal MS (900 000 €) — les dark patterns et la preuve
Ce qui est reproché : des formulaires trompeurs sur des jeux-concours (dark patterns) et l'incapacité à prouver un consentement valable pour les personnes prospectées.
La leçon : au-delà du recueil, c'est la preuve qui fait défaut. L'article 7.1 du RGPD impose de démontrer, contact par contact, que le consentement a bien été donné — avec la date, le formulaire et l'information affichée.
Le fil rouge : recueillir ET prouver
Ces trois décisions convergent vers un même message : la conformité de la prospection ne se joue pas seulement au moment de l'envoi, mais avant (licéité, consentement) et après (preuve, respect des droits).
Trois réflexes suffisent à éviter la majorité de ces situations :
- Vérifier l'origine de chaque donnée et sa base légale.
- Recueillir un consentement valable — libre, spécifique, éclairé, univoque — sans dark pattern.
- Conserver la preuve de façon individualisée.
La conformité, un frein ou un levier ?
Vu comme une contrainte, le RGPD ralentit la prospection : autocensure, canaux mis de côté, angoisse du contrôle. Maîtrisé, il devient un levier commercial : tous les canaux ouverts en toute légalité, une meilleure délivrabilité, des données propres et des équipes qui vendent au lieu de « réparer ». Les entreprises qui structurent leur conformité affichent aussi un argument de confiance auprès de leurs clients.
Sources : délibérations CNIL — Kaspr (5 déc. 2024), Accor (3 août 2022), SoLocal MS (15 mai 2025) ; RGPD art. 7.1.
Passez à l’action
Documentez la licéité de vos données et préparez un éventuel contrôle CNIL : évaluez votre conformité avec Data Comply One.
Mesurer mon score RGPD →Demander une démo