Les données de prospects tiers sont-elles conformes à la KVKK ? Risques des listes clients achetées

Mise à jour : 3 septembre 2026 · Catégorie : Publicité, ciblage et conformité CRM

Les données de prospects tiers sont-elles conformes à la KVKK ? Risques des listes clients achetées

Pour une liste de prospects achetée, l’essentiel n’est pas la simple présence de données : il faut connaître le fondement juridique de leur collecte, les finalités de transfert autorisées, le contenu de la notice d’information et la conformité aux règles sur les communications électroniques commerciales.

Table des matières

Réponse courte
Pourquoi est-ce important ?
Qu'est-ce que les entreprises devraient faire?
Comment mesurer les résultats ?
Sources
Questions fréquentes

Réponse courte

La réception d’une liste de prospects achetée ou fournie par un tiers ne rend pas automatiquement conforme à la KVKK l’utilisation des données personnelles qu’elle contient. L’entreprise destinataire doit examiner séparément le fondement de son propre traitement, l’origine des données, la chaîne de transferts et les informations à fournir aux personnes concernées. Pour le marketing par SMS, courriel ou téléphone, les règles des communications électroniques commerciales et le statut İYS doivent aussi être vérifiés séparément.

Pourquoi est-ce important ?

L’erreur la plus courante lors de l’achat de prospects consiste à considérer la déclaration « conforme à la KVKK » du fournisseur comme une preuve suffisante. La possibilité d’acheter un jeu de données et le droit du nouveau responsable de traiter ses données personnelles pour une finalité marketing précise sont deux questions juridiques distinctes.

Il faut d’abord examiner la méthode et la finalité initiale de collecte, l’existence d’un fondement juridique valable pour le transfert et la compatibilité de l’usage prévu avec cette chaîne. Le contrat fournisseur participe à cet examen, mais ne constitue pas à lui seul un fondement de traitement.

Que montre la décision 2026/1183 ?

La décision KVKK 2026/1183 du 10 juin 2026 ne concerne pas directement une liste clients achetée à un courtier en données. Elle porte sur une société de financement par l’épargne qui obtenait auprès de ses clients les numéros de tiers dans un programme d’« ambassadeurs de marque » et contactait ces personnes à des fins de marketing.

Le Conseil n’a pas considéré la poursuite de l’appel commercial comme un consentement explicite valide après la transmission du numéro de la personne à l’entreprise par un tiers. Il a souligné que le consentement doit être spécifique, éclairé et libre. Il a infligé au responsable une amende administrative de 1 000 000 TRY pour traitement sans fondement valable.

Cette décision importe pour les listes de prospects achetées : donner son numéro à un tiers, répondre à un appel, écouter une campagne ou l’affirmation du fournisseur qu’une autorisation existe ne constitue pas, à lui seul, un fondement valable pour le traitement par l’entreprise destinataire.

Autorisation KVKK et consentement aux messages commerciaux sont distincts

Le droit de traiter un numéro sous la KVKK et celui d’envoyer des SMS ou courriels marketing ou de passer des appels commerciaux relèvent de contrôles distincts. Un fondement de traitement des données personnelles ne supprime pas automatiquement l’exigence de consentement aux communications électroniques commerciales.

De même, un canal indiqué comme autorisé dans İYS ne répond pas à lui seul à toutes les questions sur l’origine des données et le fondement sous la KVKK. Les dossiers CRM et İYS doivent être évalués ensemble, mais pour des finalités juridiques distinctes.

Que doivent faire les entreprises ? 10 étapes pour accepter des prospects de tiers

Identifiez l’entreprise source. Consignez l’identité de la personne physique ou morale qui transmet la liste et son rôle dans la chaîne de données.
Demandez la méthode de collecte. Documentez si la collecte provient d’un formulaire web, d’un événement, d’une recommandation, d’une campagne, d’un courtier en données ou d’un autre processus.
Établissez la finalité initiale de collecte. Identifiez le service ou la finalité pour lesquels les données ont été obtenues à l’origine.
Examinez le fondement du transfert. Vérifiez le fondement invoqué pour transférer les données à une autre entreprise à des fins de marketing.
Déterminez votre propre fondement de traitement. Évaluez séparément l’activité du destinataire au lieu de reprendre le fondement du fournisseur.
Planifiez le moment de l’information des personnes. Si les données n’ont pas été obtenues directement auprès de la personne, intégrez les règles applicables à la collecte indirecte dans le processus.
Vérifiez le statut des communications commerciales. Vérifiez İYS et le statut du consentement ou de l’opposition pour les SMS, courriels et appels.
Vérifiez les listes d’exclusion. Avant l’importation, excluez les personnes ayant déjà refusé les contacts ou figurant sur la liste interne d’exclusion.
Ne prenez que le minimum de données. N’importez pas dans le CRM l’âge, l’adresse, la profession ou d’autres champs inutiles à la campagne au seul motif qu’ils sont « dans la liste ».
Mettez la liste en quarantaine si les preuves manquent. Ne donnez pas accès à la liste aux équipes commerciales ou aux systèmes de campagne avant vérification de l’origine et du droit d’utilisation.

Quelles preuves demander lors de la vérification du fournisseur ?

Au lieu d’une simple assurance « conforme à la KVKK », demandez un exemple de l’interface ou du processus de collecte, la version de la notice utilisée, l’éventuel texte de consentement explicite, le périmètre du transfert, la date de collecte et la gestion des oppositions. Ces documents ne doivent pas nécessairement être identiques pour chaque fiche ; pour les listes de sources multiples, ils peuvent être conservés par lot d’origine.

Les garanties contractuelles sur l’origine, les obligations de signalement des données fournies illégalement, les procédures de suppression ou de rappel et les droits d’audit offrent des protections opérationnelles. Un contrat ne rend toutefois pas licite un jeu de données collecté illégalement.

Créer une matrice d’acceptation ou de rejet des listes

Les fichiers de prospects peuvent être classés par risque faible, moyen ou élevé plutôt que seulement « acceptés » ou « rejetés ». Un jeu doté de preuves complètes sur son origine et d’une finalité limitée peut être admis sous contrôle ; un fichier ancien, d’origine incertaine, aux champs excessifs ou sans preuve d’autorisation peut être mis en quarantaine.

Modèle de mesure proposé pour B10

Zone de contrôle	KPI	Signal de risque
Source	Proportion de prospects dont l’origine est vérifiée	Fiche d’origine inconnue
Preuves	Taux de lots aux preuves complètes	Jeu de données non documenté
Fondement juridique	Couverture de l’examen du fondement juridique	Étiquette générale « autorisé au titre de la KVKK »
İYS	Vérification du consentement de la voie de communication	Campagne non couverte par le consentement
Opposition	Taux de correspondance avec les listes d’exclusion	Contact d’une personne ayant refusé les communications
Âge	Proportion de fiches de prospects obsolètes	Liste ancienne à l’actualité incertaine
Fournisseur	Score des données probantes fournies	Déclaration de conformité en une phrase

Ce modèle mesure la vérifiabilité du droit d’utiliser les données plutôt que la taille de la liste. Une grande liste peu couverte par des preuves peut créer un risque de conformité supérieur à sa valeur commerciale.

Évaluation spécialisée

La question centrale pour les prospects de tiers devrait être : « À quelle étape de cette chaîne la personne a-t-elle été informée de quelle finalité, et sur quel fondement l’entreprise traite-t-elle les données aujourd’hui ? », plutôt que seulement « Qui a vendu les données ? ».

Dans les programmes de parrainage ou de recommandation, le fait d’être recommandé par un ami ou un client existant n’autorise pas automatiquement à contacter la personne à des fins de marketing. La décision 2026/1183 illustre cette distinction par un exemple actuel et concret.

L’architecture la plus sûre place d’abord le fichier acheté dans une zone intermédiaire de contrôle de conformité. Seules les fiches appropriées rejoignent le vivier commercial actif après vérification de l’origine, des preuves, du fondement et des autorisations de communication, au lieu d’importer directement le fichier dans le CRM.

Analyse des risques numériques et de la conformité

B10 peut créer un audit des risques des prospects de tiers évaluant les fichiers selon l’origine, la collecte, la chaîne de transferts, le fondement juridique, le statut İYS ou du consentement et les listes d’exclusion. Les lots à haut risque peuvent ainsi être isolés avant leur arrivée aux équipes commerciales.

Contenus associés

Sources officielles et primaires

Questions fréquentes Pourquoi est-ce important maintenant?

Qu'est-ce que les entreprises devraient d'abord vérifier?

Dressez l’inventaire des pratiques actuelles et des flux de données et de travail.

Un contrôle ponctuel suffit-il ?

Non. L’affirmation du fournisseur qu’une liste est « conforme à la KVKK » ne dispense pas l’entreprise destinataire d’examiner séparément le fondement de son propre marketing et les conditions des communications commerciales.

Que peut apporter B10 ?

B10 peut rapprocher, par lot, l’origine des prospects de tiers, les preuves de collecte et de transfert, le statut İYS ou du consentement et l’usage CRM afin de révéler les jeux risqués avant leur utilisation commerciale ou en campagne.