Téléprospection et RGPD : responsabilités du donneur d’ordre
En téléprospection et RGPD, externaliser les appels ne signifie pas externaliser toutes les responsabilités. L’entreprise qui définit l’objectif de la campagne, les prospects ciblés et l’utilisation des données reste généralement responsable du traitement. Le prestataire agit alors comme sous-traitant lorsqu’il traite les données uniquement pour son compte.
Cependant, le sous-traitant possède lui aussi des obligations propres. Par conséquent, la conformité repose sur une répartition claire des rôles, un contrat adapté, une base de prospection maîtrisée et des procédures réellement appliquées pendant les appels.
Qui est responsable en téléprospection et RGPD ?
Le RGPD distingue principalement le responsable du traitement et le sous-traitant. Le premier détermine les finalités et les moyens essentiels du traitement. Le second traite les données pour son compte et selon ses instructions documentées.
Ainsi, lorsqu’une entreprise décide de lancer une campagne, choisit les profils ciblés et définit les objectifs commerciaux, elle reste généralement responsable du traitement. Le centre de contacts chargé d’exécuter la campagne agit alors comme sous-traitant, sous réserve de l’organisation réelle du dispositif.
Cette distinction ne signifie toutefois pas que le prestataire ne porte aucune responsabilité. Le RGPD lui impose notamment des obligations de sécurité, de confidentialité, de traçabilité, d’assistance et d’alerte.
La CNIL rappelle que le responsable du traitement doit choisir des sous-traitants présentant des garanties suffisantes. Le donneur d’ordre doit donc vérifier ces garanties avant, mais aussi pendant la prestation.
Que doit vérifier le donneur d’ordre avant de lancer la campagne ?
Avant le premier appel, plusieurs éléments doivent être cadrés. D’abord, l’entreprise doit connaître l’origine de la base utilisée. Ensuite, elle doit déterminer pourquoi elle peut utiliser ces données pour prospecter. Enfin, elle doit définir les informations que le prestataire peut consulter, modifier ou enrichir.
Le cadrage peut notamment vérifier :
- l’origine des coordonnées utilisées ;
- les catégories de prospects ciblés ;
- la pertinence de la sollicitation par rapport à leur activité professionnelle ;
- les informations données aux personnes contactées ;
- la procédure d’opposition à de nouveaux appels ;
- les données enregistrées dans le CRM ;
- les éventuels enregistrements d’appels ;
- les personnes autorisées à accéder aux données.
Par conséquent, la conformité ne se limite pas à ajouter une phrase RGPD au script. Elle concerne toute la chaîne de traitement, depuis la constitution de la cible jusqu’au suivi du prospect après l’appel.
Que doit contenir le contrat avec le prestataire de téléprospection ?
L’article 28 du RGPD impose un encadrement contractuel lorsque le prestataire agit comme sous-traitant. Le contrat doit donc être beaucoup plus précis qu’une simple clause générale de confidentialité.
Il doit notamment définir :
- l’objet et la durée du traitement ;
- sa nature et ses finalités ;
- les catégories de données traitées ;
- les catégories de personnes concernées ;
- les droits et obligations du responsable du traitement ;
- les instructions que doit suivre le prestataire ;
- les engagements de confidentialité ;
- les mesures de sécurité attendues ;
- les conditions de recours à d’autres sous-traitants ;
- l’assistance en cas d’exercice de droits ou d’incident ;
- le sort des données à la fin de la prestation ;
- les informations nécessaires aux contrôles et audits.
Ainsi, le contrat doit décrire le fonctionnement concret du traitement. La CNIL fournit d’ailleurs des exemples de clauses de sous-traitance fondées sur ces obligations.
Le prestataire peut-il utiliser les données pour son propre compte ?
Pas librement. Un prestataire qui reçoit une base pour exécuter une campagne ne peut pas décider ensuite de l’utiliser comme sa propre base commerciale.
En principe, il traite les données conformément aux instructions documentées du responsable du traitement. Toute utilisation pour une autre finalité nécessite donc une analyse spécifique et ne peut pas être considérée comme automatiquement autorisée par le contrat initial.
Cette règle protège notamment les fichiers commerciaux constitués ou enrichis pendant la campagne.
Quelles règles s’appliquent à la prospection téléphonique B2B depuis août 2026 ?
Depuis le 11 août 2026, les règles françaises de prospection téléphonique distinguent clairement les consommateurs et les professionnels. Pour les consommateurs, le consentement préalable constitue désormais le principe, sous réserve des exceptions prévues par les textes.
En B2B, les professionnels conservent la possibilité de s’opposer aux sollicitations. De plus, l’entreprise doit leur fournir les informations nécessaires sur l’utilisation de leurs données.
La CNIL détaille les règles applicables à la prospection commerciale par téléphone depuis cette évolution.
Par conséquent, une campagne B2B ne doit pas être confondue avec une campagne auprès de particuliers. La qualification correcte de la cible constitue déjà un élément essentiel du dispositif de conformité.
Bloctel s’applique-t-il encore à la téléprospection ?
Le dispositif Bloctel concernait la protection des consommateurs contre le démarchage téléphonique. Toutefois, avec l’entrée en vigueur du nouveau régime le 11 août 2026, ce service a cessé de fonctionner.
Pour une campagne B2B, le sujet principal devient donc la gestion correcte de l’opposition exprimée directement par le professionnel contacté. Lorsqu’une personne demande à ne plus recevoir d’appels, cette information doit être enregistrée et appliquée aux campagnes suivantes concernées.
Comment gérer l’opposition d’un prospect ?
Le processus doit être simple pour le conseiller et fiable pour l’entreprise. Dès qu’une personne exprime clairement son opposition, le téléprospecteur doit pouvoir l’enregistrer sans procédure complexe.
Un workflow peut suivre quatre étapes :
- le prospect exprime son opposition ;
- le conseiller la renseigne dans l’outil prévu ;
- l’information remonte vers la base de référence ;
- les prochaines campagnes excluent le contact selon les règles applicables.
Ainsi, l’opposition ne reste pas seulement dans une note de compte rendu. Elle devient une information réellement exploitable par les systèmes utilisés pour les prochaines campagnes.
La CNIL recommande notamment l’utilisation de dispositifs permettant d’éviter de solliciter à nouveau les personnes qui se sont opposées à la prospection.
Que faut-il prévoir dans la trame d’appel ?
Une campagne conforme doit traduire les règles juridiques en consignes simples pour le conseiller. Sinon, un contrat parfaitement rédigé peut rester sans effet sur le terrain.
La trame doit notamment préciser :
- comment identifier clairement l’entreprise à l’origine de la campagne ;
- comment présenter l’objet de l’appel ;
- quelles informations communiquer au prospect ;
- comment répondre à une question sur l’origine des coordonnées ;
- comment enregistrer une opposition ;
- quelles données noter après l’appel ;
- quelles informations ne doivent pas être collectées inutilement.
De plus, ces consignes doivent être intégrées à la formation initiale. Ensuite, la supervision vérifie leur application sur le terrain.
Comment encadrer la qualification des prospects ?
Le principe de minimisation implique de ne collecter que les données nécessaires à l’objectif poursuivi. Par conséquent, un téléprospecteur ne doit pas enrichir systématiquement une fiche avec toutes les informations obtenues pendant la conversation.
Il faut définir à l’avance les champs réellement utiles. Par exemple, une campagne B2B peut avoir besoin du poste de l’interlocuteur, de son besoin, de l’échéance du projet ou du statut du rendez-vous.
En revanche, une donnée sans utilité commerciale ou opérationnelle claire ne devrait pas être collectée simplement parce qu’elle est disponible.
Cette discipline améliore également la qualité du CRM. Les conseillers savent précisément ce qu’ils doivent rechercher et enregistrer.
Que faire lorsque les appels sont enregistrés ?
L’enregistrement des appels peut servir à la formation, au contrôle qualité ou à la preuve dans certains contextes. Toutefois, il constitue lui-même un traitement de données personnelles.
Par conséquent, l’entreprise doit définir sa finalité, informer les personnes concernées, limiter les accès et déterminer une durée de conservation adaptée à l’objectif poursuivi.
Le conseiller doit également connaître la formulation à utiliser lorsqu’une information orale est nécessaire. Ainsi, l’obligation réglementaire devient une étape normale du processus plutôt qu’une improvisation différente à chaque appel.
Comment contrôler le prestataire pendant la campagne ?
Le donneur d’ordre ne doit pas s’arrêter à la signature du contrat. En effet, l’article 28 impose de travailler avec un prestataire qui offre des garanties suffisantes pendant toute la durée du traitement.
Le dispositif de supervision peut notamment vérifier :
- l’application correcte de la trame d’appel ;
- la gestion des oppositions ;
- la qualité des données saisies ;
- le respect des habilitations ;
- les incidents éventuels ;
- les changements de sous-traitants ultérieurs ;
- le respect des procédures prévues au contrat.
Ensuite, ces contrôles peuvent alimenter le pilotage régulier de la campagne. Le RGPD devient alors un élément du fonctionnement opérationnel et non un contrôle réalisé uniquement lors de la signature.
Quel rôle joue la boucle de supervision ?
Une campagne de téléprospection évolue rapidement. Les conseillers rencontrent de nouvelles objections, découvrent des cas particuliers et enrichissent progressivement leur connaissance de la cible.
La supervision doit donc vérifier à la fois la performance commerciale et l’application des consignes. Par exemple, une modification du script ne doit pas supprimer par inadvertance une information nécessaire aux prospects.
De même, une nouvelle donnée ajoutée au formulaire de qualification doit être examinée avant sa collecte systématique. Cette boucle réduit le risque qu’une campagne dérive progressivement par rapport au cadrage initial.
Quelles précautions prendre avec les sous-traitants ultérieurs ?
Un prestataire peut utiliser d’autres fournisseurs pour l’hébergement, la téléphonie, le CRM ou certaines fonctions techniques. Dans ce cas, le donneur d’ordre doit connaître le cadre prévu pour cette sous-traitance ultérieure.
L’article 28 du RGPD prévoit que le sous-traitant ne recrute pas un autre sous-traitant sans autorisation écrite préalable, spécifique ou générale, du responsable du traitement.
En cas d’autorisation générale, le prestataire doit également informer le client des changements prévus. Ainsi, celui-ci peut examiner l’arrivée d’un nouveau fournisseur et, lorsque le cadre le prévoit, formuler une objection.
Que vérifier lorsque les données sont traitées hors de l’Union européenne ?
L’implantation internationale d’un prestataire ajoute une question distincte : celle des transferts de données vers un pays tiers. Le simple fait de signer un contrat de sous-traitance ne règle pas automatiquement ce sujet.
Lorsqu’un traitement implique un transfert hors de l’Espace économique européen, les parties doivent vérifier le mécanisme juridique applicable. Selon la destination et la situation, cela peut notamment reposer sur une décision d’adéquation ou sur des garanties appropriées, telles que les clauses contractuelles types de la Commission européenne.
Par conséquent, le donneur d’ordre doit identifier où les données sont accessibles, où elles sont hébergées et quels prestataires techniques interviennent réellement.
Que se passe-t-il en cas de violation de données ?
Le prestataire doit disposer d’une procédure claire. Lorsqu’il constate un incident affectant des données traitées pour le compte du client, il doit alerter le responsable du traitement conformément aux obligations prévues par le RGPD et le contrat.
Le contrat doit donc préciser les interlocuteurs, les informations à transmettre et le circuit d’escalade. Ensuite, le responsable du traitement peut analyser l’incident et déterminer les démarches réglementaires éventuellement nécessaires.
Cette procédure doit exister avant l’incident. En effet, improviser les responsabilités une fois la violation découverte fait perdre un temps précieux.
Exemple d’une campagne de téléprospection mal cadrée
Prenons un exemple fictif. Une entreprise transmet une base de prospects à un prestataire sans procédure formalisée pour les oppositions. Lorsqu’un prospect demande à ne plus recevoir d’appels, le conseiller ajoute uniquement une note libre dans le CRM du prestataire.
Quelques mois plus tard, le donneur d’ordre lance une nouvelle campagne à partir de sa base d’origine. Comme l’opposition n’a jamais été répercutée, le prospect reçoit un nouvel appel.
Dans ce cas, le problème ne vient pas nécessairement de la bonne volonté du conseiller. Il vient surtout d’un workflow incomplet entre les outils des deux entreprises.
La correction consiste donc à définir une procédure structurée : statut d’opposition, synchronisation, responsable et contrôle régulier.
Comment auditer un prestataire avant de signer ?
Le donneur d’ordre doit rechercher des garanties concrètes plutôt qu’une simple déclaration de conformité. Ainsi, plusieurs questions peuvent être posées avant le démarrage.
- Où les données seront-elles hébergées et accessibles ?
- Quels collaborateurs pourront y accéder ?
- Comment les habilitations sont-elles gérées ?
- Quels sous-traitants ultérieurs interviennent ?
- Comment les oppositions sont-elles enregistrées ?
- Quelle procédure s’applique en cas d’incident ?
- Comment les données seront-elles restituées ou supprimées en fin de contrat ?
- Comment le prestataire peut-il contribuer aux demandes d’exercice de droits ?
De plus, le contrat doit permettre au responsable du traitement d’obtenir les informations nécessaires pour démontrer le respect des obligations prévues par l’article 28 et permettre les contrôles prévus par ce cadre.
Comment ProContact encadre une campagne de téléprospection ?
ProContact mène des opérations de téléprospection B2B depuis 2001. Lors du cadrage, nous définissons avec le client la cible, les critères de qualification, la trame d’appel, les informations à enregistrer et les règles de remontée des demandes particulières.
Ensuite, la supervision vérifie l’application des consignes et analyse les retours terrain. Cette boucle permet d’ajuster la campagne sans laisser les pratiques évoluer indépendamment du cadre défini avec le donneur d’ordre.
Cette organisation s’intègre à notre offre de téléprospection B2B externalisée. Nous détaillons également la logique de qualification dans notre article consacré à la téléprospection SaaS.
Enfin, pour les entreprises ciblant le marché français, notre organisation peut intervenir comme partenaire BPO en France, avec un cadrage adapté aux règles applicables à la campagne concernée.
Questions fréquentes sur la téléprospection et le RGPD
Externaliser une campagne transfère-t-il la responsabilité RGPD ?
Non. Lorsque le donneur d’ordre détermine les finalités et les moyens essentiels, il reste responsable du traitement. Toutefois, le sous-traitant possède également ses propres obligations au titre du RGPD.
Le prestataire peut-il être responsable d’un manquement ?
Oui. Le sous-traitant peut engager sa propre responsabilité lorsqu’il ne respecte pas les obligations que le RGPD lui impose ou lorsqu’il agit en dehors des instructions licites du responsable du traitement.
Faut-il un contrat spécifique à la protection des données ?
Le traitement doit être encadré par un contrat ou un autre acte juridique conforme à l’article 28. Celui-ci peut faire partie du contrat commercial ou prendre la forme d’une annexe dédiée.
Le prestataire peut-il choisir librement ses propres sous-traitants ?
Non. L’article 28 prévoit une autorisation écrite préalable, spécifique ou générale, du responsable du traitement pour le recours à un sous-traitant ultérieur.
Comment gérer un prospect qui refuse de nouveaux appels ?
Son opposition doit être enregistrée dans un système permettant d’éviter de nouvelles sollicitations concernées. De plus, cette information doit circuler entre le prestataire et le donneur d’ordre.
Bloctel s’applique-t-il encore depuis août 2026 ?
Le service Bloctel a cessé de fonctionner lors de l’entrée en vigueur du nouveau régime le 11 août 2026. La prospection téléphonique doit désormais respecter les règles applicables depuis cette date.
Faut-il informer un prospect lorsque l’appel est enregistré ?
Oui. L’enregistrement constitue un traitement de données personnelles. L’entreprise doit donc notamment définir sa finalité et informer les personnes concernées selon les règles applicables.
Le RGPD s’applique-t-il automatiquement dès qu’un prospect habite dans l’Union européenne ?
La portée territoriale du RGPD dépend des critères prévus par son article 3. Il faut notamment examiner l’établissement des acteurs et, pour certains organismes hors Union européenne, l’offre de biens ou services aux personnes concernées ou le suivi de leur comportement.
Peut-on confier des données à un prestataire situé hors de l’Union européenne ?
Oui, mais les éventuels transferts vers un pays tiers doivent respecter le chapitre V du RGPD. Selon la situation, une décision d’adéquation ou d’autres garanties appropriées peuvent être nécessaires.
Le donneur d’ordre doit-il contrôler son prestataire après la signature ?
Oui. Le choix initial ne suffit pas. Le responsable du traitement doit s’assurer que le prestataire continue à offrir les garanties nécessaires pendant l’exécution de la mission.
La conformité RGPD se pilote pendant toute la campagne
Au final, téléprospection et RGPD ne se résument pas à une clause contractuelle. La conformité dépend également de l’origine de la base, des informations données aux prospects, du traitement des oppositions, des accès aux données et de la supervision des pratiques.
Ainsi, le donneur d’ordre doit définir le cadre et contrôler son application. De son côté, le prestataire doit respecter ses instructions, appliquer les mesures prévues et l’alerter lorsqu’un problème apparaît.
Enfin, une campagne bien cadrée combine performance commerciale et maîtrise des données. Le contrat fixe les responsabilités, tandis que les procédures opérationnelles garantissent leur application au quotidien.
