Nettoyage de listes email et RGPD : ce que dit la CNIL

La CNIL inflige 900 000 euros à Solocal Marketing Services le 15 mai 2025, pour prospection sans base légale valide et transmission de données à des partenaires sans consentement. Une adresse email nominative est une donnée personnelle au sens de l'article 4 du RGPD, au même titre qu'un numéro de téléphone.

Nettoyer une liste avant un envoi revient donc à traiter des données personnelles : base légale, contrat avec le prestataire, durée de conservation et localisation du traitement obéissent tous à des règles précises.

Une adresse professionnelle reste une donnée nominative

prenom.nom@entreprise.fr identifie une personne physique aussi sûrement qu'une carte d'identité. Une adresse générique comme contact@ échappe à cette qualification. Sur une liste B2B, la majorité des adresses collectées souvent via des techniques utilisées pour trouver des adresses email professionnelles sont nominatives, donc soumises à l'ensemble du RGPD.

La base légale du nettoyage : l'exactitude avant tout

Le RGPD fixe une règle précise sur ce point.

« Les données à caractère personnel doivent être exactes et, si nécessaire, tenues à jour. » — Article 5, paragraphe 1, point d, du règlement (UE) 2016/679.

Repérer les adresses obsolètes relève de cette mise à jour. La base légale mobilisée est l'intérêt légitime de l'expéditeur, article 6, paragraphe 1, point f. Cet intérêt couvre la maintenance du fichier. L'envoi qui suit reste soumis à ses propres règles.

Le prestataire de vérification, un sous-traitant au sens de l'article 28

Un service qui reçoit une liste pour en vérifier chaque adresse traite des données pour le compte de l'entreprise cliente. L'article 28 du RGPD qualifie ce rôle de sous-traitant et impose un contrat écrit avant tout transfert de fichier, le DPA, qui fixe l'objet, la durée et les instructions documentées à suivre sans les dépasser. Sans ce document, aucune analyse externe n'est régulière. Le prestataire ne peut ni conserver la liste au-delà du besoin ni la réutiliser pour ses propres finalités, et doit sécuriser les données qui lui sont confiées tout au long du traitement.

La localisation du traitement compte autant que le contrat

Beaucoup d'outils de vérification affichent une certification SOC 2 ou une conformité RGPD revendiquée sur leur page tarifaire. Un outil dont l'analyse des données est réalisée par une entité américaine ne respecte pas le RGPD, quelles que soient les certifications affichées. Depuis l'invalidation du Privacy Shield en 2020 et l'arrêt Schrems II, un tel traitement reste exposé au droit de surveillance américain. 

La CNIL a tiré la même conclusion sur Google Analytics, jugé contraire à l'article 44 du RGPD. Un opérateur français, tel que le vérificateur d'email CaptainVerify, traite les adresses sur des serveurs situés en France, ce qui écarte le risque de transfert hors UE. La localisation reste l'angle mort de beaucoup de contrats signés sans lecture attentive.

3 ans : la durée retenue par le référentiel CNIL

Le référentiel CNIL relatif à la gestion des activités commerciales fixe à 3 ans la durée de conservation d'un contact prospect, à compter de la collecte ou du dernier contact actif, un clic ou une réponse à un envoi. Ce délai est le point structurel du référentiel, largement ignoré des bases achetées depuis plusieurs années. Un nettoyage de liste ne le prolonge jamais ; il retire les adresses mortes, sans dispenser de purger les adresses vivantes mais trop anciennes.

Vérifier une adresse ne crée aucun droit de la contacter

Un fichier propre à 100 % garantit la délivrabilité technique, rien de plus. La légalité des envois se joue ailleurs, sur le consentement ou son équivalent en B2B. Pour un particulier, la prospection commerciale par email exige un consentement préalable, régime issu de la loi du 21 juin 2004 pour la confiance dans l'économie numérique. En B2B, l'article L34-5 du code des postes et des communications électroniques encadre la prospection B2B par mail et admet un régime plus souple, l'opt-out, sous deux conditions cumulatives :

• une adresse professionnelle en rapport avec la fonction du destinataire 
• un lien de désinscription qui fonctionne réellement

Cette tolérance a ses limites. Sans ce lien opérant, la CNIL retire le bénéfice de l'exemption, quelle que soit la qualité du fichier utilisé en amont.

Le coût d'une liste mal acquise

310 000 euros. C'est l'amende que la CNIL inflige à la société Foriou le 31 janvier 2024, pour avoir démarché des prospects issus de courtiers en données sans vérifier leur consentement. Hubside.store reçoit 525 000 euros en avril 2024 sur le même terrain. Solocal Marketing Services ferme la liste avec 900 000 euros en mai 2025. Le motif revient à chaque décision : des formulaires de collecte trompeurs, qui ne permettent pas de comprendre qu'on autorise une prospection commerciale.

Les gros expéditeurs, sous une surveillance parallèle

Depuis février 2024, Google et Yahoo imposent aux expéditeurs de plus de 5 000 messages quotidiens SPF, DKIM et DMARC, ainsi qu'un taux de plaintes inférieur à 0,3 %, mesuré via Postmaster Tools. Ce seuil rattrape vite les listes polluées par de vieilles adresses recyclées en spamtrap.

Aucune des sanctions citées ne vise le nettoyage de liste en tant que tel. Chacune vise l'absence de base légale documentée en amont, ce que la vérification technique d'une adresse ne remplace jamais.