Résolution au premier contact : améliorer le FCR sans réponses hâtives
Beaucoup d’entreprises pensent qu’externaliser leur téléprospection transfère aussi la responsabilité RGPD au prestataire. En réalité, ce n’est pas le cas. En pratique, le donneur d’ordre conserve la responsabilité du traitement, même quand un tiers passe les appels en son nom.
Cet article détaille ce que cette responsabilité implique concrètement. Il explique aussi ce que le contrat de sous-traitance doit couvrir, et comment évaluer un prestataire avant de signer. Enfin, il détaille les points de vigilance propres à la téléprospection.
Le donneur d’ordre reste responsable, même en sous-traitant l’appel
En droit des données personnelles, l’entreprise qui décide de la finalité d’une campagne de téléprospection porte un nom précis. Le règlement la qualifie de « responsable de traitement ». Le prestataire qui passe les appels agit, lui, comme « sous-traitant ». Concrètement, cette distinction dépasse la simple formalité juridique. Elle détermine qui répond d’un manquement en cas de contrôle.
Concrètement, si le prestataire commet une erreur, le donneur d’ordre continue d’en répondre devant la CNIL. C’est pourquoi le choix du prestataire mérite une attention particulière. Son encadrement contractuel compte autant que le script d’appel lui-même.
Ce que le contrat de sous-traitance doit couvrir
Le guide du sous-traitant publié par la CNIL rappelle que cette relation doit s’appuyer sur un contrat écrit. Quatre éléments reviennent systématiquement dans ce type de contrat :
- l’objet et la durée du traitement confié ;
- la nature des données transmises au prestataire ;
- les obligations respectives des deux parties ;
- le sort des données à la fin de la mission.
Un contrat qui ne précise pas ce dernier point laisse une zone grise fréquente. Que devient la base de contacts une fois la campagne terminée ? Cette question mérite une réponse écrite, plutôt qu’un accord tacite entre les deux parties.
Les points de vigilance propres à la téléprospection
Trois sujets reviennent plus souvent en téléprospection que dans d’autres formes de sous-traitance. D’abord, la mise à jour du fichier d’opposition. Quand un contact demande à ne plus être appelé, cette information doit remonter au donneur d’ordre. Elle ne doit pas rester uniquement chez le prestataire.
Ensuite, l’enregistrement des appels : dès qu’un appel comporte un enregistrement, une information préalable de la personne contactée devient nécessaire. Enfin, la propriété de la base de contacts constituée pendant la campagne mérite d’être clarifiée avant le démarrage. Ce point vaut mieux réglé en amont qu’à la fin du contrat.
Ce que dit la CNIL sur la prospection téléphonique B2B
La CNIL a mis à jour, le 10 juin 2026, sa page consacrée à la prospection commerciale par téléphone. Les nouvelles règles s’appliquent depuis le 11 août 2026. Elles couvrent explicitement le B2B : base légale de l’intérêt légitime, information préalable, et droit d’opposition à tout moment.
En clair, le donneur d’ordre doit s’assurer que son prestataire applique bien ces règles, plutôt que de supposer une conformité automatique. De fait, un audit ponctuel du script d’appel et des pratiques de collecte demeure la manière la plus simple de vérifier ce point.
Comment évaluer la conformité RGPD d’un prestataire avant de signer
Avant de signer, plusieurs vérifications permettent de limiter le risque en amont. D’abord, demander au prestataire son registre des activités de traitement, ou au minimum la fiche correspondant à la mission envisagée. Ensuite, vérifier que le contrat proposé reprend bien les quatre éléments mentionnés plus haut, et pas seulement une clause générique de confidentialité.
Un troisième point mérite une attention particulière : la sous-traitance en cascade. Le prestataire fait parfois lui-même appel à un outil tiers pour héberger les données ou passer les appels. Ce sous-traitant ultérieur doit alors apparaître dans le contrat, avec l’accord préalable du donneur d’ordre. En pratique, beaucoup de contrats omettent ce niveau, alors qu’il concentre une part importante du risque réel.
Enfin, un point de contact identifié chez le prestataire change beaucoup de choses en cas d’incident. Ce contact doit pouvoir répondre rapidement à une demande d’exercice de droits ou à une notification de violation de données. Cette capacité de réaction distingue en pratique un prestataire mature d’un prestataire qui découvre ces obligations au moment où elles se posent.
Illustration : une campagne mal encadrée
Prenons un exemple purement illustratif, sans lien avec un client réel. Une entreprise confierait sa téléprospection à un prestataire, sans avenant précisant le sort des données à la fin du contrat. Deux ans plus tard, elle changerait de prestataire, sans savoir si l’ancien avait supprimé la base de contacts constituée.
Ce flou n’aurait rien d’anecdotique. En cas de contrôle, l’entreprise donneuse d’ordre devrait démontrer elle-même le respect de ses obligations, plutôt que de s’en remettre à son ancien prestataire.
Comment ProContact encadre la conformité RGPD de ses campagnes
Depuis 2001, ProContact opère des campagnes de téléprospection B2B externalisée pour des clients en France et dans d’autres marchés francophones. Nous formalisons systématiquement un contrat de sous-traitance avant le démarrage d’une campagne, plutôt que de renvoyer ce point à un avenant ultérieur.
En tant que partenaire BPO en France, nous appliquons les mêmes principes de qualification que ceux détaillés dans notre article sur la téléprospection SaaS. Nous y ajoutons simplement les clauses propres à la conformité RGPD. Par ailleurs, un sujet proche, la comparaison entre les méthodes, les équipes et le reporting des sociétés de téléprospection, fait l’objet d’un article dédié.
Externaliser la téléprospection ne transfère jamais la responsabilité RGPD
Un contrat de sous-traitance bien écrit protège les deux parties, mais il ne dispense jamais le donneur d’ordre de sa vigilance. C’est cette vigilance, plus que le choix du prestataire lui-même, qui détermine le niveau de risque réel d’une campagne de téléprospection.
Questions fréquentes sur téléprospection et RGPD
Le prestataire de téléprospection est-il seul responsable en cas de manquement RGPD ?
Non. Le donneur d’ordre, en tant que responsable de traitement, continue de répondre de ses obligations même quand l’erreur vient du prestataire.
Faut-il un contrat de sous-traitance spécifique pour chaque campagne ?
Pas nécessairement une refonte complète. Chaque nouvelle campagne devrait toutefois être couverte au minimum par un avenant précisant son objet et sa durée.
Bloctel s’applique-t-il aux campagnes de téléprospection B2B ?
Non, Bloctel s’applique uniquement aux particuliers. Un numéro professionnel n’entre pas dans son champ, sous réserve du cas particulier des travailleurs indépendants.
Le donneur d’ordre doit-il auditer son prestataire de téléprospection ?
Un audit ponctuel du script d’appel et des pratiques de collecte demeure une bonne pratique, plutôt que de se fier uniquement aux engagements contractuels.
Que devient la base de contacts à la fin d’une campagne de téléprospection ?
Le contrat doit préciser ce point. À défaut de clause explicite, une restitution ou une suppression des données reste la pratique la plus prudente.
Faut-il informer les contacts que l’appel est enregistré ?
Oui, dès qu’un appel comporte un enregistrement, une information préalable de la personne contactée devient nécessaire.
Un changement de prestataire de téléprospection implique-t-il des démarches RGPD particulières ?
Oui, en général. Le sort de la base de contacts constituée par l’ancien prestataire doit être clarifié entre les parties, avant tout transfert vers le nouveau.
Le RGPD s’applique-t-il différemment selon le pays d’implantation du prestataire ?
Non. Le RGPD s’applique dès qu’un traitement porte sur des données de résidents européens. Le lieu d’implantation du prestataire qui exécute la mission n’entre pas en compte.
