Acheter un fichier d'adresses, c'est acheter du temps. La promesse tient en une ligne : quelques centaines d'euros, plusieurs milliers de contacts, une campagne lancée dans la semaine. Elle séduit surtout les entreprises dont le site ne génère pas encore assez de demandes entrantes.
La question n'est pas de savoir si l'emailing fonctionne, mais ce que vous achetez, ce que vous avez le droit d'en faire, et qui porte la responsabilité si la collecte d'origine était bancale. Depuis la première version de cet article, en 2016, le cadre a changé deux fois en profondeur : le RGPD en 2018, puis le passage du démarchage téléphonique au consentement préalable en août 2026. Les boîtes de réception, elles, filtrent bien plus sévèrement qu'avant.
Ce que la loi autorise, selon la personne que vous contactez
Vers un particulier : consentement préalable
L'article L34-5 du code des postes et des communications électroniques interdit la prospection par courriel, SMS ou automate d'appel vers une personne physique qui n'a pas exprimé au préalable son consentement à recevoir ce type de message. Ce consentement doit être libre, spécifique, éclairé et univoque : une case cochée d'avance ne vaut rien, et une mention noyée dans des conditions générales non plus.
Une seule exception pratique existe : écrire à une personne dont vous avez collecté l'adresse à l'occasion d'une vente, pour des produits ou services analogues, avec un moyen simple et gratuit de s'opposer à chaque envoi. Elle couvre vos propres clients, pas une liste achetée. La fiche de la CNIL sur la prospection par voie électronique, mise à jour le 10 juin 2026, reprend ce cadre.
Vers un professionnel : régime d'opposition, mais sous conditions
En B2B, la CNIL admet que la prospection repose sur l'intérêt légitime lorsque l'objet de la sollicitation est en rapport avec la profession de la personne démarchée : présenter un logiciel de sauvegarde au responsable informatique d'une PME, par exemple. Quatre conditions accompagnent cette tolérance : la personne a été informée, elle dispose d'un moyen d'opposition simple et gratuit dans chaque message, l'expéditeur est clairement identifié, et l'objet du courriel correspond à son contenu.
Nuance utile : une adresse nominative du type prenom.nom@entreprise.fr est une donnée personnelle et relève de ce régime. Une adresse générique comme contact@entreprise.fr ne se rattache pas à une personne identifiée, mais un envoi massif vers ces adresses reste un envoi massif, avec les mêmes effets sur votre réputation d'expéditeur.
Le téléphone est passé en opt-in le 11 août 2026
Ce point change la valeur des fichiers multicanaux. Depuis le 11 août 2026, l'article L223-1 du code de la consommation, issu de la loi n° 2025-594 du 30 juin 2025 et précisé par le décret n° 2026-662 du 23 juillet 2026, interdit de démarcher par téléphone un consommateur qui n'a pas exprimé préalablement son consentement, hors contrat en cours. La preuve du consentement incombe au professionnel. La liste d'opposition Bloctel, qui reposait sur la logique inverse, a disparu de cette version du code (texte en vigueur sur Légifrance).
Conséquence concrète : un fichier de numéros de particuliers vendu sans preuve de consentement nominatif n'a plus d'usage légal en prospection.
Acheter un fichier ne transfère pas la responsabilité
C'est le point que les acheteurs sous-estiment le plus. Le 15 mai 2025, la CNIL a sanctionné deux acteurs de ce marché le même jour : 900 000 € pour SOLOCAL MARKETING SERVICES et 80 000 € pour CALOGA. Dans le premier cas, la société avait acheté des données à des courtiers dont les formulaires mettaient en avant un bouton d'acceptation face à de discrets liens hypertextes, sans vérifier la validité du consentement avant ses campagnes ; elle a attendu près de dix-sept mois avant de cesser d'utiliser les données d'un de ses fournisseurs.
La leçon est simple : la CNIL regarde l'utilisateur final du fichier, pas seulement le vendeur. Si vous exploitez une base, vous devez pouvoir démontrer la validité du consentement qui la sous-tend, et informer les personnes dont vous n'avez pas collecté vous-même les données, au plus tard un mois après l'obtention du fichier (article 14 du RGPD).
Pour situer : dans son bilan des sanctions 2025 publié le 9 février 2026, la CNIL recense 83 sanctions prononcées sur l'année pour 486 839 500 € d'amendes cumulées, dont 10 décisions visant la prospection commerciale ou politique (périmètre : décisions de l'autorité française, tous secteurs).
Le coût caché : votre délivrabilité
Même parfaitement conforme, un fichier acheté pose un problème technique. Depuis le 1er février 2024, les consignes de Google pour les expéditeurs imposent à ceux qui envoient plus de 5 000 messages par jour vers Gmail l'authentification SPF et DKIM, un enregistrement DMARC, un désabonnement en un clic et un taux de spam maintenu sous 0,3 % dans Postmaster Tools, Google recommandant de rester sous 0,10 %.
Une base achetée arrive avec des adresses inactives, des adresses pièges et des destinataires qui ignorent qui vous êtes. Le taux de plainte grimpe, et il se calcule sur votre domaine expéditeur, pas sur celui du vendeur. Vous ne dégradez donc pas que la campagne en cours : vous abîmez la délivrabilité de votre newsletter, voire de vos messages transactionnels. Une réputation d'expéditeur se perd en quelques envois et se reconstruit en plusieurs mois.
Si vous testez malgré tout une base, isolez-la sur un sous-domaine d'envoi distinct et suivez trois indicateurs par source : taux de plainte, taux de désinscription et taux de rebonds durs. Un tableau de bord dans Data Studio (ex-Looker Studio) ou dans les rapports de votre routeur suffit, à condition de comparer les sources entre elles : c'est le suivi que nous installons dans une mission de mesure et pilotage webmarketing.
Évaluer une offre avant de payer
Les courtiers sérieux existent : plus chers, plus lents, beaucoup moins généreux en volume. Voici les questions que je pose avant tout achat.
| Question au vendeur | Réponse acceptable | Signal d'alerte |
|---|---|---|
| D'où viennent les adresses ? | Le nom des sites collecteurs, la date de collecte et le libellé exact du formulaire | « Sources multiples », « réseau de partenaires » |
| Le consentement couvre-t-il mon entreprise ? | Une preuve horodatée, avec le périmètre annoncé aux personnes | Un consentement générique « et ses partenaires » |
| Vente ou location ? | Location, avec envoi opéré par le propriétaire de la base | Livraison d'un fichier CSV à bas prix |
| Quelle est la fraîcheur des données ? | Une date de collecte et un taux de rebonds contractuel | « Base mise à jour en continu », sans chiffre |
| Puis-je tester un échantillon ? | Un test limité, facturé, avec restitution des indicateurs | Refus, ou engagement minimum élevé |
Un détail sert d'indicateur. Quand j'ai écrit la première version de cet article, en juin 2016, les pages de vente que j'avais relevées promettaient de quelques millions à plusieurs centaines de millions d'adresses, et facturaient le fichier « généraliste » au même prix que le fichier ciblé. Quand le prix ne varie pas avec le ciblage, c'est que le ciblage ne coûte rien au vendeur. J'avais noté aussi que ces sociétés achetaient massivement des annonces Google Ads : si une base d'adresses suffisait à générer des clients, elles n'auraient pas eu besoin d'acheter du clic.
La base que vous construisez vaut plus cher que celle que vous achetez
Le raisonnement rejoint celui qui oppose publicité payante et référencement naturel : l'une produit un effet immédiat mais s'arrête avec le budget, l'autre met des mois à démarrer puis coûte de moins en moins cher au contact. Une liste constituée par vos soins réunit des personnes qui vous connaissent déjà, ce qui change le taux d'ouverture, le taux de plainte et la durée de vie du contact.
La mécanique est connue : produire des contenus qui répondent aux questions réelles de vos prospects, proposer une contrepartie utile en échange de l'adresse (modèle de document, checklist, comparatif chiffré), confirmer l'inscription par double opt-in, puis segmenter. C'est plus lent qu'un achat, et c'est le seul actif que vous gardez. Nos conseils pour une campagne emailing couvrent la partie opérationnelle ; l'acquisition, elle, se joue dans la qualité des pages qui attirent ces visiteurs, donc dans le référencement naturel.
Cet effort n'a rien d'anecdotique pour une petite structure. Dans le baromètre France Num 2025 publié le 15 septembre 2025 par la Direction générale des Entreprises, auprès de 11 021 entreprises françaises dont 7 878 TPE, 78 % des dirigeants interrogés déclarent que le numérique leur apporte des bénéfices réels, la communication avec les clients figurant parmi les premiers cités. Enquête déclarative : elle mesure une perception, pas un chiffre d'affaires.
Alors, faut-il acheter un fichier ?
En B2C, non. Le consentement préalable exigé pour l'email et, depuis août 2026, pour le téléphone, rend l'achat de fichiers presque impraticable, et la charge de la preuve pèse sur vous.
En B2B, c'est défendable dans un cas précis : une cible étroite, une offre en rapport direct avec le métier des destinataires, une location auprès d'un acteur qui documente sa collecte et opère lui-même l'envoi, un volume de test limité et des indicateurs suivis source par source. Une opération d'appoint, avec un budget que vous acceptez de perdre. Pas le socle de votre acquisition.
Une dernière remarque sur les chiffres qui circulent. La version initiale de cet article reprenait le fameux ratio « 1 € dépensé, 38 € gagnés », issu d'un graphique de seconde main. Je l'ai retiré : la méthodologie n'en est pas vérifiable, et il mélange fidélisation de clients existants et prospection à froid. Mesurez votre propre ratio, sur vos propres campagnes.
Questions fréquentes
Est-il légal d'acheter un fichier email en France ?
L'achat n'est pas interdit en soi, mais son exploitation l'est dès que le consentement d'origine n'est pas valable. Pour prospecter un particulier par courriel, l'article L34-5 du code des postes et des communications électroniques impose un consentement préalable, libre, spécifique, éclairé et univoque. C'est à l'entreprise qui envoie les messages de pouvoir en apporter la preuve.
La prospection B2B échappe-t-elle au RGPD ?
Non. Une adresse nominative du type prenom.nom@entreprise.fr reste une donnée personnelle. La CNIL admet un régime d'opposition plutôt qu'un consentement préalable lorsque le message porte sur l'activité professionnelle du destinataire, à condition que la personne ait été informée, que l'expéditeur soit clairement identifié et qu'un moyen de désinscription simple et gratuit figure dans chaque envoi.
Que risque une entreprise qui utilise un fichier acheté non conforme ?
Une mise en demeure ou une sanction pécuniaire de la CNIL, prononcée contre l'utilisateur du fichier et pas seulement contre le courtier. Le 15 mai 2025, la CNIL a sanctionné SOLOCAL MARKETING SERVICES à hauteur de 900 000 € et CALOGA à hauteur de 80 000 €, notamment pour usage de données achetées dont le consentement n'avait pas été vérifié.
Peut-on encore démarcher par téléphone en 2026 ?
Vers un consommateur, seulement avec son consentement préalable. Depuis le 11 août 2026, l'article L223-1 du code de la consommation interdit le démarchage téléphonique sans accord exprès obtenu au préalable, sauf lien direct avec un contrat en cours, et fait peser la preuve sur le professionnel. La liste d'opposition Bloctel a été supprimée par ce nouveau dispositif.
Pourquoi un fichier acheté dégrade-t-il la délivrabilité ?
Parce que les filtres évaluent la réputation du domaine expéditeur, alimentée par les plaintes, les rebonds et les adresses pièges que contiennent souvent ces bases. Depuis février 2024, Google demande aux expéditeurs de plus de 5 000 messages par jour vers Gmail de maintenir leur taux de spam sous 0,3 %, avec authentification SPF, DKIM et DMARC. Une campagne ratée pénalise ensuite tous vos autres envois.
Combien de temps faut-il pour constituer sa propre base ?
Cela dépend du trafic du site et de la valeur de la contrepartie proposée. Comptez plusieurs mois avant d'atteindre un volume exploitable, avec une progression régulière plutôt qu'un pic. En contrepartie, ces contacts vous connaissent, se désinscrivent moins et restent utilisables dans la durée.