L'achat de leads implique par définition le traitement de données personnelles : nom, coordonnées, description d'un besoin. En Suisse, ce traitement est encadré par la loi fédérale sur la protection des données (nLPD), entrée en vigueur dans sa version révisée en septembre 2023. Elle ne vise pas à empêcher l'achat de leads, qui reste une pratique commerciale parfaitement légale, mais à garantir que les personnes dont les données circulent ont donné leur accord et gardent un contrôle sur l'usage qui en est fait.
Ce dossier présente les principes généraux applicables à l'achat de leads B2B en Suisse. Il ne constitue pas un conseil juridique personnalisé : pour toute question spécifique à votre situation, l'avis d'un conseiller juridique reste recommandé. L'objectif ici est de vous donner les repères pour dialoguer utilement avec un fournisseur et évaluer son sérieux sur ce point.
Ce que dit la nLPD sur les données d'un client final
La nLPD encadre le traitement de toute donnée permettant d'identifier une personne physique — ce qui inclut un nom, un numéro de téléphone, une adresse e-mail ou une adresse postale, les données typiquement contenues dans un lead. Le principe central est celui de la transparence et de la finalité : une personne doit savoir à quoi vont servir ses données au moment où elle les communique, et ces données ne doivent être utilisées que dans ce cadre précis.
Appliqué à l'achat de leads, cela signifie que le client qui remplit un formulaire de demande doit être informé clairement qu'il sera recontacté par un ou plusieurs professionnels du secteur concerné pour répondre à sa demande. Cette information doit apparaître de façon visible au moment de la collecte, pas dans des conditions générales illisibles ou dans un texte séparé qu'il faudrait aller chercher.
Le consentement : ce qui est exigé concrètement
Le consentement à être recontacté doit être libre, spécifique et éclairé : la personne doit comprendre ce à quoi elle consent, sans case pré-cochée ni formulation ambiguë qui la pousserait à accepter sans y prêter attention. Une case à cocher active (non cochée par défaut), associée à un texte clair du type « j'accepte d'être recontacté par un professionnel du secteur pour cette demande », constitue une pratique conforme largement adoptée par les plateformes sérieuses.
Ce consentement doit également être tracé et horodaté par le fournisseur, de façon à pouvoir en démontrer l'existence en cas de contestation. Un fournisseur qui ne peut pas prouver l'origine et le moment du consentement — ou qui se contente d'affirmer que « toutes les données sont conformes » sans détail — n'offre pas les garanties suffisantes pour un achat de leads en toute sérénité.
Les obligations de l'entreprise qui achète des leads
En recevant les coordonnées d'un client via un lead, votre entreprise devient à son tour responsable du traitement de cette donnée personnelle, au sens de la nLPD. Concrètement, cela implique plusieurs obligations : ne conserver la donnée que le temps nécessaire au traitement de la demande (pas de conservation indéfinie « au cas où »), ne pas la transmettre à un tiers sans base légale, et respecter le droit du client à s'opposer à un contact ultérieur s'il en fait la demande.
Cela implique aussi de vérifier, au moins une fois, la manière dont votre fournisseur recueille le consentement — un fournisseur fiable doit pouvoir répondre à cette question sans détour. En cas de doute sur la conformité d'un fournisseur, le risque juridique reste attaché à l'entreprise qui utilise les données, pas seulement à celle qui les a collectées à l'origine.
Les obligations du fournisseur de leads
Un fournisseur de leads sérieux doit pouvoir démontrer l'origine de chaque consentement recueilli (formulaire, horodatage, texte exact présenté au client), limiter le nombre d'entreprises auxquelles une même donnée est transmise à ce qui a été annoncé au client (un lead dit « mutualisé entre 3 entreprises » ne devrait pas être revendu à dix), et permettre à tout moment à un client final de faire valoir son droit d'accès ou d'opposition sur ses propres données.
Ces obligations ne sont pas de simples formalités : elles conditionnent la fiabilité du lead lui-même. Un consentement mal recueilli ou mal tracé n'est pas seulement un risque juridique, c'est aussi souvent le signe d'une donnée de moindre qualité — collectée sans réel engagement du client, donc statistiquement moins susceptible d'aboutir à un rendez-vous.
Bonnes pratiques de conformité avant d'acheter
Avant de vous engager avec un fournisseur, quelques vérifications simples permettent de limiter le risque : demandez comment le consentement est recueilli et si ce point peut être documenté sur demande ; vérifiez que le fournisseur précise le niveau de mutualisation annoncé (exclusif ou partagé entre combien d'entreprises) ; et assurez-vous qu'il existe une procédure claire si un client final souhaite s'opposer à un contact ultérieur.
Côté interne, formalisez une règle simple pour votre équipe : ne conserver les données d'un lead que le temps de traiter la demande, et supprimer les contacts qui n'ont pas abouti après une période raisonnable. Cette discipline reste la meilleure protection, indépendamment de la qualité du fournisseur choisi, et s'applique à toute donnée client que vous traitez, pas seulement aux leads achetés.