Un SMS qui annonce un gain à un jeu auquel vous n’avez jamais participé, un appel en numéro masqué pour une isolation à un euro, puis une avalanche de courriels de sociétés partenaires dont vous n’avez jamais entendu parler : la prospection non sollicitée reste l’un des contentieux de masse les plus concrets du droit des données personnelles. Derrière l’agacement quotidien se cache un cadre juridique précis, des sanctions qui atteignent plusieurs centaines de milliers d’euros et des recours accessibles à chaque destinataire.
La règle de départ tient en une phrase, posée par le code des postes et des communications électroniques : « Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. » Autrement dit, sans votre accord préalable, le SMS, le courriel ou le robot d’appel commercial est en principe interdit. Comme le rappelle la CNIL, la publicité électronique n’est possible qu’avec le consentement préalable des personnes démarchées.
Cet article répond aux deux questions que ce contentieux soulève, côté destinataire puis côté entreprise : que faire quand on reçoit des spams par SMS, courriel ou téléphone, comment prouver, faire cesser, signaler et obtenir réparation ; et comment une entreprise qui prospecte évite la mise en demeure, l’amende de la CNIL et la condamnation judiciaire. Les décisions récentes du Conseil d’État, dont deux rendues en 2025, éclairent ces deux faces avec une netteté inédite.
I. Ce que la prospection commerciale interdit vraiment
A. SMS, courriels et automates d’appel : le consentement préalable est la règle
Le régime de la prospection par voie électronique repose sur l’article L. 34-5 du code des postes et des communications électroniques, qui transpose en droit français l’article 13 de la directive 2002/58/CE du 12 juillet 2002, dite directive vie privée et communications électroniques. Pour ce texte, le consentement s’entend de « toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe » (article L. 34-5). La définition rejoint celle du règlement général sur la protection des données, dont l’article 4, paragraphe 11, vise « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».
Concrètement, une case pré-cochée, une mention noyée dans des conditions générales ou un accord extorqué au détour d’un jeu-concours ne valent pas consentement. La CNIL exige une action positive et spécifique, par exemple une case à cocher dédiée qui ne soit pas pré-cochée, et rappelle que l’acceptation de conditions générales d’utilisation ne suffit pas. L’accord doit pouvoir être retiré à tout moment, et chaque message doit offrir un moyen simple de ne plus en recevoir.
Deux exceptions seulement permettent de prospecter sans consentement préalable. La première vise les clients : lorsque les coordonnées ont été recueillies à l’occasion d’une vente ou d’une prestation, dans le respect de la loi du 6 janvier 1978, la prospection reste autorisée si elle concerne des produits ou services analogues fournis par la même personne et si le destinataire peut s’y opposer, sans frais et simplement, au moment de la collecte puis à chaque envoi. La seconde distingue les professionnels : comme l’indique la CNIL, les particuliers doivent consentir au préalable tandis que les professionnels disposent d’un droit d’opposition. Un démarchage vers une adresse professionnelle générique, du type contact@société.fr, obéit donc à un régime d’opposition plutôt que de consentement préalable, à condition de respecter l’objet professionnel du message et de traiter immédiatement toute demande de retrait.
Dans tous les cas, la loi interdit d’envoyer des messages de prospection « sans indiquer de coordonnées valables auxquelles le destinataire puisse utilement transmettre une demande tendant à obtenir que ces communications cessent » (article L. 34-5), ainsi que de dissimuler l’identité de l’annonceur ou d’afficher un objet sans rapport avec l’offre. Un SMS anonyme, sans expéditeur identifiable ni lien de désinscription fonctionnel, cumule donc les manquements.
La charge de la preuve pèse sur l’entreprise. L’article 7, paragraphe 1, du RGPD dispose que « Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant. » Une société incapable de produire la trace de l’opt-in — date, support, formulation exacte de la case cochée — perdra devant la CNIL comme devant le juge. L’achat d’un fichier de prospects auprès d’un courtier n’y change rien : l’acquéreur devient responsable du traitement de prospection qu’il met en œuvre et doit démontrer un consentement éclairé.
C’est précisément ce point qui fait aujourd’hui l’objet du litige le plus important de la matière. Par une délibération n° SAN-2023-015 du 12 octobre 2023, la formation restreinte de la CNIL a infligé au groupe Canal+ une amende de 600 000 euros pour des opérations de prospection menées en 2021 auprès d’environ 3,9 millions de personnes dont les données avaient été collectées par deux fournisseurs d’accès à internet : les formulaires invitaient à cocher une case acceptant l’utilisation des données par les « partenaires » des fournisseurs, sans que ces partenaires soient nommément identifiés. Saisi du recours, le Conseil d’État a, par une décision du 5 mai 2025, n° 490202, sursis à statuer et renvoyé à la Cour de justice de l’Union européenne la question de savoir si le consentement donné à un primo-collectant pour une « catégorie de destinataires » comme ses « partenaires » peut valoir consentement éclairé, ou si chaque destinataire dont l’identité n’était pas connue doit recueillir un nouveau consentement avant de prospecter. Tant que la Cour ne s’est pas prononcée, aucune entreprise ne peut considérer qu’une case « partenaires » générique la met à l’abri : la prudence commande d’exiger des listes où l’annonceur est nommément désigné ou de recueillir soi-même le consentement.
B. Démarchage téléphonique et opposition sans motif : le second verrou
Le démarchage par téléphone obéit depuis la loi du 24 juillet 2020 à la même logique d’accord préalable. L’article L. 223-1 du code de la consommation dispose : « Il est interdit de démarcher par téléphone, directement ou par l’intermédiaire d’un tiers agissant pour son compte, un consommateur qui n’a pas exprimé préalablement son consentement à faire l’objet de prospections commerciales par ce moyen. » Le consentement y est défini comme « toute manifestation de volonté libre, spécifique, éclairée, univoque et révocable par laquelle une personne accepte, par un acte positif clair, que des données à caractère personnel la concernant soient utilisées à des fins de prospection commerciale par voie téléphonique ». L’inscription sur la liste d’opposition Bloctel ne suffit donc plus à elle seule : c’est l’absence de consentement qui rend l’appel illicite, et il appartient au professionnel de rapporter la preuve de cet accord.
Les sanctions financières sont dissuasives. L’article L. 242-16 du code de la consommation prévoit que « Tout manquement aux dispositions des articles L. 223-1 à L. 223-5 est passible d’une amende administrative dont le montant ne peut excéder 75 000 € pour une personne physique et 375 000 € pour une personne morale. » Cette amende, prononcée par l’autorité chargée de la concurrence et de la consommation, est publiée aux frais de la personne sanctionnée. Elle se cumule potentiellement avec les sanctions prononcées par la CNIL sur le fondement du RGPD, dont l’article 83 permet des amendes « pouvant s’élever jusqu’à 20 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent » (règlement général sur la protection des données).
Parallèlement, chaque personne dispose d’un droit d’opposition qu’aucun argument commercial ne peut écarter. La CNIL l’exprime simplement : l’opposition à la prospection commerciale n’a pas besoin d’être motivée. En matière de prospection, il n’est donc jamais nécessaire d’expliquer pourquoi on ne veut plus être démarché : la demande suffit et le responsable doit cesser le traitement. Ce droit, garanti par l’article 21 du RGPD et relayé aux articles 49 à 56 de la loi du 6 janvier 1978, s’exerce auprès de chaque annonceur, y compris après un achat : un client peut exiger de ne plus recevoir d’offres tout en restant client pour la gestion de ses commandes.
Le Conseil d’État a précisé le 1er mars 2021, dans une décision n° 437808 concernant la société Futura Internationale, démarchée téléphoniquement malgré des oppositions exprimées oralement puis par courrier, que le non-respect du droit d’opposition compte parmi les manquements les plus graves : données excessives, défaut d’information, non-respect de l’opposition, défaut de coopération avec la CNIL et transferts hors Union européenne non encadrés ont justifié une amende de 500 000 euros, « représentant 2,5% de son chiffre d’affaires en 2018 » (Conseil d’État, 1er mars 2021, n° 437808), assortie d’une injonction sous astreinte de 500 euros par jour de retard et d’une publication de la sanction pendant deux ans. La décision valide aussi la méthode de la CNIL : des manquements constatés avant le 25 mai 2018 mais poursuivis après cette date relèvent du RGPD, et les mises en conformité tardives, intervenues en cours de procédure, n’effacent pas les manquements déjà constitués.
II. Agir face aux spams : parcours du destinataire et réflexes de l’entreprise
A. Signaler, prouver, saisir la CNIL et le juge quand on est démarché
La première réaction utile consiste à conserver des preuves. Capture d’écran du SMS avec le numéro expéditeur, le contenu et la date, conservation du courriel avec ses en-têtes complets, enregistrement de la date et de l’heure de l’appel avec le numéro affiché : ces éléments établissent la réalité des envois et permettront de démontrer l’absence de relation contractuelle. Il faut également conserver la trace de toute demande de désinscription — lien cliqué, courriel de refus, capture du formulaire — car la poursuite des envois après une opposition caractérise un manquement distinct et aggrave la sanction encourue.
Le signalement au 33700 constitue la deuxième étape pour les SMS et appels indésirables. Comme l’indique service-public.fr, tout numéro suspect peut être signalé au 33 700, la plateforme officielle de lutte contre les spams vocaux et les spams par SMS. Le signalement s’effectue par SMS en transférant le message au 33700 ou en ligne sur le site de la plateforme, et les opérateurs procèdent à des vérifications avant de prendre des mesures contre les numéros concernés. Ce dispositif, utile pour tarir les campagnes frauduleuses, ne remplace ni l’opposition adressée à l’annonceur identifié ni la plainte devant la CNIL.
La troisième étape consiste à exercer ses droits directement auprès de l’organisme : demander l’origine des données, s’opposer à la prospection et exiger l’effacement des coordonnées de la base marketing. La demande doit être écrite, préciser l’objet — opposition à toute prospection par SMS, courriel et téléphone — et conserver une preuve d’envoi. Le responsable dispose en principe d’un mois pour répondre. L’absence de réponse, une réponse dilatoire ou la poursuite des envois ouvrent la voie de la plainte en ligne devant la CNIL, qui peut être saisie après l’exercice infructueux des droits auprès de l’organisme.
Le traitement de la plainte par la CNIL mérite d’être compris sans illusion ni découragement. L’article 8 de la loi du 6 janvier 1978 confie à la Commission le soin de traiter les plaintes, d’examiner ou d’enquêter « dans la mesure nécessaire » et d’informer le plaignant de l’issue dans un délai raisonnable, tandis que l’article 20 gradue ses réponses : avertissement, rappel aux obligations, mise en demeure, puis saisine de la formation restreinte en vue d’injonctions et de sanctions. Le Conseil d’État a jugé le 25 juillet 2025, n° 497392, à propos d’une plainte contre la société Décathlon pour un courriel de prospection envoyé après une opposition — la société invoquant une erreur technique et la CNIL ayant clôturé la plainte après un rappel aux obligations — que la Commission « dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués », du sérieux des indices, de leur date et du contexte. En l’espèce, face à un dysfonctionnement présenté comme involontaire et isolé, la clôture après rappel n’entachait la décision d’aucune erreur d’appréciation.
Cette tolérance a toutefois une limite que la même décision énonce avec force : lorsque le plaignant invoque la méconnaissance de ses droits individuels — accès, rectification, effacement, limitation, opposition, visés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978 — le pouvoir d’appréciation de la CNIL « s’exerce alors, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir » (Conseil d’État, 25 juillet 2025, n° 497392). Autrement dit, face à une opposition à la prospection ignorée de façon persistante, le juge censurera un classement sans suite complaisant. Le plaignant peut également agir devant le juge judiciaire pour faire cesser les envois sous astreinte et obtenir réparation de son préjudice sur le fondement de l’article 82 du RGPD, qui ouvre à toute personne ayant subi un dommage du fait d’une violation du règlement le droit d’obtenir réparation du responsable ou du sous-traitant. Devant le juge administratif, le plaignant qui conteste le classement de sa réclamation peut en outre demander la prise en charge de ses frais irrépétibles sur le fondement de l’article L. 761-1 du code de justice administrative, ce qui sécurise l’accès au recours contre un refus de la CNIL. Le préjudice, même modeste — temps perdu, intrusion répétée, exposition à la fraude — doit être documenté : nombre de messages, persistance après opposition, démarches accomplies.
B. Prospecter sans s’exposer : la conformité qui protège l’entreprise
Côté entreprise, la conformité commence avant le premier envoi, au stade de la collecte. Chaque base de prospection doit permettre de démontrer, contact par contact, l’existence d’un consentement libre, spécifique, éclairé et univoque, ou le rattachement à l’exception client — coordonnées recueillies lors d’une vente, offres de produits analogues, opposition proposée à chaque étape. Les cases « j’accepte de recevoir des offres des partenaires » sans identification des partenaires sont à proscrire tant que la Cour de justice ne s’est pas prononcée sur le renvoi du Conseil d’État dans l’affaire Canal+ : l’économie réalisée sur l’achat d’un fichier se paie ensuite en amende et en contentieux. Le contrat avec le fournisseur de fichiers doit identifier précisément l’origine des données, les formulations de recueil, les preuves conservées et les garanties de mise à jour, avec un droit d’audit et une clause de purge immédiate en cas de contestation.
L’organisation interne constitue le deuxième pilier. Un lien de désinscription visible et fonctionnel dans chaque message, un traitement des oppositions sous quelques jours avec confirmation écrite, une liste interne de suppression partagée par tous les prestataires d’envoi, une information claire dès la collecte sur l’identité de l’annonceur et les finalités : ces mesures simples répondent directement aux manquements sanctionnés dans l’affaire Futura — défaut d’information, opposition ignorée, coopération défaillante. Au-delà des sanctions administratives, les pratiques les plus graves exposent leurs auteurs au volet pénal : l’article 226-18 du code pénal dispose que « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » Le moissonnage automatisé de numéros sur des sites, le détournement d’un fichier client à des fins de revente ou l’enrichissement sauvage d’une base par croisement sans information des personnes relèvent typiquement de cette incrimination, que le parquet peut poursuivre indépendamment de l’action de la CNIL et des recours civils des victimes. Pour une entreprise, cela signifie que l’audit de provenance des contacts n’est pas une option : tout lot de numéros dont l’origine licite n’est pas documentée doit être écarté avant le premier envoi.
La coopération avec la CNIL en cas de contrôle mérite une attention particulière : retard, réponses incomplètes ou obstruction caractérisent un manquement autonome qui aggrave systématiquement la sanction, tandis qu’une mise en conformité rapide et documentée, même si elle n’efface pas les faits passés, pèse favorablement dans l’appréciation de la formation restreinte et du juge.
La réception d’une mise en demeure ne doit jamais rester sans réponse : le délai imparti, généralement de quelques semaines à deux mois, conditionne la suite. Il faut inventorier les traitements concernés, suspendre les envois contestés le temps de vérifier les consentements, purger les contacts non justifiés, corriger les mentions et les parcours de désinscription, puis répondre point par point en joignant les preuves. L’expérience des sanctions publiées montre que les entreprises qui traitent la mise en demeure comme un plan de mise en conformité obtiennent des issues plus favorables que celles qui attendent la procédure de sanction pour agir.
Enfin, la dimension financière doit être intégrée aux décisions commerciales : outre les amendes administratives de la CNIL et de l’autorité de concurrence, la publication de la sanction sur le site de la CNIL pendant une durée pouvant atteindre plusieurs années cause un préjudice réputationnel durable, et les condamnations judiciaires à des dommages-intérêts, même unitaires modestes, deviennent significatives en cas d’action groupée ou de multiplication des demandes. Un audit annuel de la base de prospection, la documentation systématique des consentements et la formation des équipes marketing coûtent infiniment moins cher qu’une sanction à six chiffres.
Pour situer ce contentieux dans l’ensemble des droits des personnes, les lecteurs confrontés à un organisme qui ignore leurs demandes pourront utilement consulter notre analyse des recours ouverts quand l’organisme ne répond pas : droit d’accès RGPD, plainte CNIL, juge et réparation.
Conclusion
Le droit de la prospection oppose deux exigences simples : personne ne doit recevoir de SMS, de courriel ou d’appel commercial sans l’avoir accepté — ou sans pouvoir s’y opposer quand la loi le permet — et aucune entreprise ne peut prospecter sans prouver cet accord. Entre ces deux pôles, les outils existent : signalement au 33700, opposition sans motif, plainte à la CNIL sous entier contrôle du juge pour les droits individuels, action en cessation et en réparation ; côté entreprise, consentements documentés, fichiers identifiés, désinscription effective et réponse diligente aux mises en demeure.
L’actualité juridictionnelle de 2025 renforce ce cadre des deux côtés : le Conseil d’État valide une CNIL pragmatique face aux erreurs isolées tout en réservant son contrôle entier sur les droits individuels bafoués, et il place la question des fichiers « partenaires » entre les mains de la Cour de justice, ce qui interdit aux annonceurs tout pari sur une tolérance. Dans cet intervalle, la prudence reste la seule stratégie rentable : ne prospecter que des contacts dont le consentement est démontrable et cesser immédiatement tout envoi contesté.
Besoin d’un avis rapide sur votre dossier
Vous recevez des spams par SMS, courriel ou téléphone malgré vos demandes, ou votre entreprise prospecte et veut sécuriser ses campagnes avant un contrôle. Maître Reda KOHEN, avocat au Barreau de Paris, vous répond avec un avis sur votre dossier en numérique et données personnelles. Appelez le 06 46 60 58 22 ou écrivez via le formulaire de contact.