Ce que vous avez LE DROIT de vendre (RGPD & monétisation)

Avant de monétiser des données, une question prime sur toutes les autres : avez-vous le droit de les vendre ? (Ce guide vulgarise des règles établies et ne constitue pas un conseil juridique : pour votre cas précis, consultez votre DPO, la CNIL ou un avocat.)

Tout commence par une distinction : la donnée est-elle personnelle ? Une donnée qui permet d'identifier une personne, directement ou indirectement, est personnelle et relève du RGPD (art. 4(1)). Vient ensuite une nuance décisive : une donnée anonyme — c'est-à-dire rendue irréversiblement non identifiante — sort du RGPD (considérant 26), tandis qu'une donnée seulement pseudonymisée reste personnelle (art. 4(5)). La CNIL impose trois tests pour parler d'anonymisation : impossibilité d'individualiser, de corréler et d'inférer.

Pour céder une donnée personnelle, il faut une base légale (art. 6(1)) : le consentement, ou l'intérêt légitime assorti d'un test de mise en balance. Attention, « vendre sous intérêt légitime » n'est pas une règle générale — c'est du cas par cas. Autre piège : revendre une donnée constitue une finalité nouvelle par rapport à la collecte (art. 5(1)(b) et 6(4)) ; en pratique, cela suppose un nouveau consentement, et des CGU acceptées « en bloc » ne valent pas consentement (CNIL). Côté prospection, le canal électronique exige un consentement préalable, tandis que la voie postale ou téléphonique peut s'appuyer sur l'intérêt légitime avec droit d'opposition.

Le B2B n'échappe pas au RGPD : une adresse générique « contact@société » est hors champ (considérant 14), mais un email nominatif « prenom.nom@ » ou le nom d'un salarié restent des données personnelles (CJUE, C-710/23) ; pour un auto-entrepreneur, les « données de l'entreprise » identifient souvent la personne. D'où une checklist en cinq questions : la donnée est-elle personnelle ? Ai-je une base légale pour la céder ? Est-ce compatible avec la finalité initiale ? Les personnes sont-elles informées et peuvent-elles s'opposer ? Les opposés sont-ils exclus, preuve à l'appui ?

Ce n'est pas théorique : le 15 mai 2025, la CNIL a sanctionné Solocal Marketing Services (900 000 €) et Caloga (80 000 €) pour usage et revente de données de prospection sans base légale valable. La leçon : une donnée conforme se vend, une donnée non conforme se sanctionne. Privilégiez l'agrégé et l'anonymisé, et faites qualifier vos données avant de les mettre sur le marché.