Dans le cadre de la prospection commerciale des entreprises, les données collectées des clients sont issues de 2 typologies de fichiers, les fichiers de données propres à l’entreprises issus de sa base de données et les fichiers de données achetés à des tiers. Or, sur ce dernier point, l’achat de fichiers auprès d’entreprises tierces constitue une collecte indirecte au regard du nouveau Règlement européen sur la protection des données personnelles (RGPD).
De manière générale, les entreprises à l’origine de la collecte doivent informer les personnes dont les données ont été collectées, des éléments figurant à l’article 13 du RGPD. Mais en pratique, les entreprises acquérant ces fichiers ne peuvent s’assurer du respect de l’obligation d’information. Il est donc fortement recommandé de s’assurer par le biais du contrat d’achat du respect de telles obligations d’information. Il pourrait même être envisageable de solliciter la copie du formulaire de collecte de données personnelles utilisé par la société vendeuse de ces données.
Outre ces précautions, les entreprises exploitant ces données issues de fichiers achetés devront apporter les informations mentionnées à l’article 14 du RGPD. Cette article détermine les informations à fournir lorsque des données personnelles n’ont pas été collectées auprès de la personne concernée.
Ces informations doivent être communiquées à la personne concernée dans les conditions suivantes. Dans un premier temps, l’information doit avoir été délivrée dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées. Dans un deuxième temps, si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne concernée, au plus tard au moment de la première communication à ladite personne. Enfin, il peut être envisagé de communiquer les informations à un autre destinataire, au plus tard lorsque les données à caractère personnel sont communiquées pour la première fois.
 
A ce titre, doivent notamment être communiquées, outre les informations telles que prévues à l’article 13, les informations concernant les catégories de données à caractère personnel concernées mais également la source d’où proviennent les données à caractère personnel et, le cas échéant, une mention indiquant qu’elles sont issues ou non de sources accessibles au public.