Données clients, RGPD et prospection externalisée : qui reste responsable

Responsable de traitement et sous-traitant : deux rôles, une seule responsabilité finale

Commençons par le mot qui tranche tout le reste. Le responsable de traitement, c'est celui qui décide pourquoi et comment des données sont utilisées. Quand vous lancez une campagne d'appels sur votre base de contacts, c'est vous qui choisissez la cible, le but et le fichier. La personne qui passe les appels pour vous est un sous-traitant au sens du RGPD, qui traite les données sur vos instructions, sans en décider l'usage.

Ce partage n'est pas un détail de vocabulaire. Il fixe qui répond devant l'autorité de contrôle, c'est-à-dire vous. Le sous-traitant a ses propres devoirs (sécurité, confidentialité, suivre vos consignes), mais il ne porte pas votre obligation à votre place. J'insiste là-dessus parce que beaucoup de dirigeants pensent l'inverse. Déléguer l'appel ne délègue pas la conformité. Les règles du démarchage commercial entre professionnels s'appliquent à votre campagne, quel que soit celui qui tient le combiné. Si vous hésitez encore sur l'opportunité d'externaliser votre prospection commerciale, intégrez ce point dès le départ, car il pèse autant que le coût ou le rendement attendu.

Le contrat de sous-traitance, ce qu'il doit verrouiller noir sur blanc

Un appel passé pour votre compte sans écrit laisse un angle mort. Le RGPD impose un contrat (ou un avenant) entre le responsable et son sous-traitant, et il doit dire des choses précises plutôt que rester poli et vague.

Les clauses qui comptent vraiment sont la finalité exacte (appeler pour qualifier, prendre des rendez-vous, rien d'autre), la durée, la nature des données transmises, l'interdiction de réutiliser le fichier pour un tiers, l'obligation de confidentialité, les mesures de sécurité attendues, et le sort des données en fin de mission (restitution ou suppression). Ajoutez l'aide que le sous-traitant doit vous apporter si un contact exerce un droit. Sur le « périmètre » et la durée, calez-vous sur la mission réelle, car selon la formule choisie le cadre n'est pas le même. Un contrat clair vous évite la zone grise où personne ne sait plus qui a le droit de faire quoi avec vos contacts.

Le registre des traitements, la trace qui vous protège

Le registre des activités de traitement n'est pas une formalité décorative. C'est le document qui prouve, le jour où on vous le demande, que vous savez ce que vous faites de vos données. Pour une campagne d'appels déléguée, il décrit le traitement « démarchage de prospects » avec sa finalité, les catégories de personnes (vos prospects B2B), les données concernées, qui y accède, la durée de conservation, et le recours à un sous-traitant nommé.

Tenez-le à jour avant la campagne, et non après l'incident. Une heure suffit pour une première campagne. C'est le réflexe qui distingue une démarche maîtrisée d'un envoi de fichier improvisé, car un fichier documenté et daté se pilote, un fichier flou vous expose. Si vous voulez aller plus loin sur la rigueur d'un fichier exploitable, voyez comment construire une grille de qualification du fichier. La conformité et la qualité du fichier avancent ensemble.

Ce que vous vérifiez vous-même, votre liste d'opposition et les droits de vos contacts

Voici la part que vous ne pouvez déléguer à personne. La conformité du fichier appelé reste de votre côté. Les personnes qui ont demandé à ne plus être appelées sortent de votre base avant que vous la confiiez. C'est au responsable du fichier de l'assurer, pas à la personne qui compose le numéro. Si le fichier contient des particuliers, ce n'est plus une liste à consulter. Depuis le 11 août 2026, il faut pouvoir prouver leur accord préalable, sauf contrat en cours.

Pendant et après la campagne, vos contacts gardent leurs droits, celui d'être informés de l'usage de leurs données, mais aussi pouvoir s'y opposer ou en demander l'effacement. Prévoyez le canal pour ces demandes et la façon dont le sous-traitant vous les remonte sans délai. Une opposition exprimée au téléphone doit redescendre dans votre fichier, sinon le même prospect sera rappelé, et cette fois la faute est documentée. Ce suivi des statuts de contact est la preuve vivante que vous respectez le choix des personnes.

Où vivent vos contacts pendant la mission

Au-delà du droit, il y a la pratique. Le fichier est-il envoyé par mail en pièce jointe, copié sur l'ordinateur de l'appelant, ou consulté dans un outil qui garde la trace de chaque accès ? Un cadre outillé change la sérénité. Sur JobPhoning, le donneur d'ordre garde la main sur son fichier et sur ses enregistrements. La plateforme sert d'outil d'appels et de mise en relation avec des indépendants, sans jamais acquérir vos données. Vous confiez l'appel, votre base reste à vous.

Exigez deux réflexes simples : la traçabilité des appels et une restitution claire du fichier en fin de mission. Quand le cadre est posé, le reste suit, et vous pilotez le rythme et la qualité au lieu de courir après vos propres contacts. Pour mesurer si l'opération tient la route côté rendement, regardez comment calculer le retour sur investissement de ses leads. Pour caler la fréquence des relances sans fatiguer la base, voyez la bonne cadence de relance d'un éditeur de logiciels. Et avant de signer avec une agence de prospection commerciale ou un indépendant, l'article pour auditer un prestataire avant de signer donne les bons réflexes de contrôle, y compris sur la façon dont le partenaire traite vos données.

Fichier confié à un indépendant, qui répond de quoi