Génération de leads et RGPD au Luxembourg : appeler, transmettre, mesurer

Une campagne de génération de leads touche au droit des données à chaque étape : quand on rappelle une personne, quand on transmet ses coordonnées, quand on renvoie une adresse e-mail hachée à une plateforme publicitaire, quand on mesure la visite avec un pixel. Cette note rassemble les textes et les décisions qui s’appliquent au Luxembourg, d’après les sources lues. Elle sert à poser les bonnes questions ; elle ne remplace pas l’avis d’un juriste ou d’un délégué à la protection des données.

01Appeler une personne qui n’a rien demandé

Le texte de référence est l’article 11 de la loi modifiée du 30 mai 2005, sur la vie privée dans les communications électroniques.¹ Il distingue trois cas.

Automates d’appel, télécopie et courrier électronique

La prospection directe n’est possible qu’avec le consentement préalable de la personne (paragraphe 1).

Clients existants

Une entreprise qui a obtenu l’adresse électronique d’un client lors d’une vente peut lui écrire pour des produits ou services analogues qu’elle fournit elle-même, à condition de lui offrir, à la collecte et à chaque message, un moyen simple et gratuit de s’y opposer (paragraphe 2).

Tous les autres moyens

L’envoi de communications non sollicitées à des fins de prospection directe n’est possible que si la personne a donné son consentement préalable (paragraphe 3).

Le paragraphe 3 ne fait pas d’exception pour l’appel passé par une personne. Lu à la lettre, il couvre donc aussi l’appel commercial humain, ce qui rend le Luxembourg plus strict que beaucoup de pays voisins. Le paragraphe 5 précise que les paragraphes 1 et 3 s’appliquent à l’abonné qui est une personne physique. La façon dont cette distinction s’applique à un salarié joint sur sa ligne professionnelle nominative mérite l’avis d’un juriste. Les infractions à l’article 11 sont punies d’un emprisonnement de huit jours à un an et d’une amende de 251 à 125 000 euros, ou de l’une de ces peines seulement (paragraphe 6).

Nous n’avons trouvé au Luxembourg aucune liste d’opposition comparable à l’ancien Bloctel français. Ce n’est pas une preuve d’absence, mais le régime du consentement préalable rend une telle liste moins nécessaire.

En pratique, une demande envoyée par un formulaire n’est pas une prospection non sollicitée : la personne a demandé à être recontactée. Le formulaire doit cependant dire clairement qui la rappellera, pour quoi, et par quel moyen.

02Pour les entreprises qui démarchent en France

Depuis le 11 août 2026, le démarchage téléphonique commercial est interdit en France par principe, dans tous les secteurs.⁹ Il n’est permis que si l’appel concerne un contrat en cours et a un rapport avec son objet, ou si le consommateur a donné son accord préalable, de manière libre, éclairée et par un acte positif clair. Cet accord porte sur des biens ou services précisés, pour une durée qui ne peut pas dépasser un an, sans renouvellement tacite. Une entreprise luxembourgeoise qui appelle des consommateurs en France doit en tenir compte ; le champ exact d’application est à vérifier avec un juriste.

03L’intérêt légitime ne remplace pas le consentement exigé par la loi

Le RGPD permet parfois de fonder un traitement sur l’intérêt légitime de l’entreprise. Le comité européen de la protection des données (EDPB) rappelle dans ses lignes directrices de 2024 que, lorsque la directive ePrivacy impose le consentement, pour l’e-mail, le SMS ou les traceurs, le traitement à des fins de prospection ne peut pas reposer sur l’intérêt légitime.⁴ Il rappelle aussi que le droit de s’opposer à la prospection, prévu à l’article 21 du RGPD, ne peut pas être écarté par des motifs légitimes de l’entreprise.

La Cour de justice de l’Union européenne a précisé le cas de la transmission de données contre rémunération, dans un arrêt du 4 octobre 2024 sur une fédération de tennis néerlandaise.⁶ Une telle transmission ne peut reposer sur l’intérêt légitime que si elle est strictement nécessaire, et si les droits des personnes ne prévalent pas. La Cour relève qu’il serait possible d’informer d’abord les membres et de leur demander s’ils acceptent que leurs données soient transmises à des fins de publicité ; elle y voit un moyen moins attentatoire à leurs droits.

04Données reçues d’un tiers

Quand une entreprise reçoit des coordonnées qu’elle n’a pas recueillies elle-même, par exemple d’un fournisseur de leads, l’article 14 du RGPD l’oblige à informer la personne : identité de l’entreprise, finalités, base juridique, source des données, droits.³ Cette information doit être donnée dans un délai raisonnable ne dépassant pas un mois, ou au plus tard lors du premier contact si les données servent à communiquer avec la personne. La note « Générer ses leads ou les acheter : ce que l’on achète vraiment » revient sur les conséquences pour l’achat de leads.

05Les adresses hachées restent des données personnelles

Pour renvoyer les ventes à Google, Meta ou LinkedIn (voir « Relier votre CRM à Google, Meta et LinkedIn »), les adresses e-mail et les numéros de téléphone sont hachés, c’est-à-dire transformés en une suite de caractères par une fonction comme SHA-256. Ce hachage protège les données pendant le transfert, mais ne les rend pas anonymes. Le considérant 26 du RGPD prévoit que des données pseudonymisées, qui peuvent être rattachées à une personne avec des informations supplémentaires, restent des informations sur une personne identifiable.³ L’EDPB en donne un exemple : si l’on sait qu’une donnée est le simple hachage SHA-256 d’un nom, on peut hacher tous les noms dont on dispose et comparer les résultats.⁵

La CNIL a sanctionné de 3,5 millions d’euros, le 30 décembre 2025, une entreprise qui transmettait depuis 2018 les adresses e-mail et numéros de téléphone des membres de son programme de fidélité à un réseau social, pour afficher des publicités ciblées.⁷ Elle a jugé que le consentement invoqué n’était pas valable : le formulaire d’adhésion ne mentionnait pas cette transmission, et les autres documents ne permettaient pas d’en comprendre la finalité. La décision rappelle que l’envoi de listes de clients à une plateforme publicitaire est un traitement à part entière, qui demande sa propre base légale et une information claire.

06Les cookies et les pixels

La CNPD a publié en 2022 ses lignes directrices sur les cookies et autres traceurs.² Elles s’appliquent aussi aux pixels invisibles et aux technologies comparables qui lisent ou déposent des informations sur l’appareil de l’utilisateur. Plusieurs points concernent directement les campagnes.

• Le premier niveau d’information, la bannière, doit permettre d’accepter ou de refuser ; la CNPD recommande des boutons « tout accepter » et « tout refuser », en plus d’un choix par finalité.
• Quitter le mécanisme de consentement, par exemple en cliquant sur la croix de fermeture, est à considérer comme un refus.
• La CNPD recommande que le consentement ne soit pas valable plus de 12 mois.
• Retirer son consentement doit être aussi facile que de le donner.

Les notes « Consent Mode : ce qu’il fait, et ce qu’il ne fait pas » et « Tracking côté serveur : ce qu’il change, et ce qu’il ne change pas » expliquent ce que ces règles changent pour la mesure des conversions.

07La procédure Amazon au Luxembourg

La CNPD avait infligé à Amazon une amende de 746 millions d’euros, portant notamment sur la base légale de sa publicité fondée sur les centres d’intérêt. Par un arrêt du 12 mars 2026, la Cour administrative a confirmé l’essentiel des violations du RGPD retenues, mais a annulé la décision et renvoyé l’affaire devant la CNPD.⁸ Selon le communiqué de la justice luxembourgeoise, la CNPD n’avait pas analysé l’existence d’une faute, intentionnelle ou par négligence, ni choisi la mesure la plus adéquate parmi celles que prévoit le RGPD. Le montant de la sanction reste donc à redéterminer.

08Les questions à poser avant une campagne

• Le formulaire dit-il qui rappellera la personne, pourquoi et comment ?
• Les données reçues d’un tiers sont-elles accompagnées de la preuve d’un consentement valable, et la personne est-elle informée dans le mois ?
• La transmission des listes de clients aux plateformes est-elle annoncée dans l’information donnée aux personnes, avec une base légale adaptée ?
• La bannière de cookies permet-elle de tout refuser au premier niveau, et la fermeture vaut-elle refus ?
• Qui, dans l’entreprise, peut répondre à une demande d’opposition ou d’effacement ?

Pour relier ce travail à vos campagnes et à votre équipe commerciale, découvrez notre accompagnement en génération de leads.

Sources consultées le 13 octobre 2026.