Chaque matin apporte son lot de SMS promotionnels et d’e-mails commerciaux que vous n’avez jamais sollicités : rénovation énergétique, mutuelle, formation, « partenaire » inconnu qui affirme détenir votre accord. Vous cliquez sur le lien de désinscription, parfois plusieurs fois, et les messages continuent, sous une autre marque, avec le même contenu. Cette persistance n relève ni de la fatalité ni d’une simple gêne : la prospection électronique adressée à un particulier suppose, sauf exception étroite, un consentement préalable démontrable, et votre opposition impose l’arrêt des envois. Encore faut-il identifier l’expéditeur réel, prouver l’absence d’accord ou de désinscription effective, puis actionner les bons leviers : mise en demeure, demande d’effacement, plainte devant la CNIL et, lorsque le préjudice le justifie, réparation devant le juge. Cet article décrit la méthode complète, fondée sur les textes vérifiés et les décisions récentes du Conseil d’État, pour faire cesser le spam subi et obtenir réparation en 2026.
ARTICLE2
I. La prospection par SMS et par e-mail suppose votre consentement préalable
A. Un principe d’interdiction assorti de deux seules exceptions
Le point de départ de votre dossier tient en une phrase de l’article L. 34-5 du code des postes et des communications électroniques : « Est interdite la prospection directe au moyen de système automatisé de communications électroniques […] d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique […] qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. » Le texte ajoute que constitue une prospection directe « l’envoi de tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l’image d’une personne vendant des biens ou fournissant des services ». Un SMS qui vante une offre de rénovation énergétique, un e-mail qui propose une mutuelle ou un message qui relaie les « bons plans » d’un site marchand entrent donc dans le champ de l’interdiction dès lors que vous ne les avez pas sollicités.
Cette règle nationale transpose une exigence européenne. L’article 13 de la directive 2002/58/CE dite ePrivacy dispose que « L’utilisation de systèmes automatisés d’appel sans intervention humaine (automates d’appel), de télécopieurs ou de courrier électronique à des fins de prospection directe ne peut être autorisée que si elle vise des abonnés ayant donné leur consentement préalable. » Le consentement préalable constitue donc la clé de voûte du régime : sans votre accord exprimé avant le premier envoi, la prospection électronique visant un particulier reste illicite, quel que soit le sérieux apparent de l’expéditeur.
La CNIL, dans sa page consacrée à la prospection commerciale par courrier électronique, SMS-MMS et automate d’appel, actualisée le 10 juin 2026, résume la règle applicable aux particuliers : la publicité par voie électronique n’est possible qu’à la condition que les personnes aient donné leur consentement avant d’être démarchées. Ce contenu, de nature pédagogique, ne constitue pas une décision sanctionnatrice, mais il décrit fidèlement l’état du droit et sert de référence pratique pour qualifier les manquements. Pour les professionnels démarchés sur leurs coordonnées professionnelles, le régime diffère : l’envoi reste possible à condition d’informer la personne et de lui laisser la faculté de s’opposer, ce qui explique que votre dossier commence toujours par l’identification du traitement en cause, des parties et du contrat éventuel : êtes-vous prospecté comme particulier ou comme professionnel, sur une adresse personnelle ou professionnelle, par l’entreprise avec laquelle vous avez contracté ou par un tiers inconnu ?
Deux exceptions seulement autorisent la prospection électronique sans consentement préalable, et chacune obéit à des conditions strictes. La première vise le client déjà connu : lorsque vos coordonnées ont été recueillies à l’occasion d’une vente ou d’une prestation, dans le respect de la loi n° 78-17 du 6 janvier 1978, le même professionnel peut vous adresser des messages portant sur des produits ou services analogues à ceux que vous avez achetés, pour autant qu’il vous ait offert, au moment de la collecte puis lors de chaque message, la faculté de vous opposer sans frais et de manière simple. Un garagiste qui vous écrit pour proposer l’entretien du véhicule que vous lui avez acheté se situe dans ce cadre ; le même garagiste qui cède votre adresse à un vendeur de cuisines ou qui vous propose des produits sans rapport avec votre achat en sort. La seconde exception concerne la prospection entre professionnels sur des coordonnées professionnelles, sous réserve d’une information claire et d’un droit d’opposition effectif. En dehors de ces deux hypothèses, l’expéditeur doit détenir votre accord préalable, et c’est à lui de le démontrer.
L’identification des rôles conditionne toute la suite. L’annonceur qui décide de la campagne, choisit les cibles et rédige le message agit comme responsable du traitement au sens du règlement général sur la protection des données. Le routeur qui expédie techniquement les messages pour son compte, le courtier qui loue ou vend le fichier de prospects et l’agence qui conçoit le ciblage occupent des positions distinctes, responsables conjoints ou sous-traitants selon leur marge de manœuvre réelle. Cette cartographie n’a rien d’académique : elle détermine contre qui diriger la mise en demeure, la demande d’effacement et, le cas échéant, la plainte puis l’assignation. Lorsqu’un message signé d’une marque affirme que vos coordonnées ont été « transmises par un partenaire », exigez le nom de ce partenaire, la date et le support de votre consentement : la réponse, ou son absence, oriente déjà l’issue du litige.
Un point mérite une honnêteté particulière car le droit applicable n’est pas entièrement stabilisé. Dans l’affaire ayant opposé la société Groupe Canal + à la CNIL, qui lui avait infligé une amende de 600 000 euros notamment pour des manquements liés au recueil du consentement à la prospection des partenaires, le Conseil d’État, par sa décision du 5 mai 2025 (n° 490202), a sursis à statuer et saisi la Cour de justice de l’Union européenne de questions préjudicielles. La première porte précisément sur le point qui intéresse votre dossier : le consentement donné auprès d’un primo-collectant à ce que les données soient utilisées par une catégorie de destinataires désignée comme ses « partenaires » peut-il valoir consentement libre, spécifique, éclairé et univoque permettant à chacun de ces partenaires de prospecter sans solliciter un nouveau consentement, ou faut-il que chaque destinataire, dont l’identité n’était pas connue au moment du consentement, recueille lui-même l’accord de la personne ? Tant que la Cour ne s’est pas prononcée, aucune réponse définitive ne peut être opposée sur ce point précis. En pratique, cette incertitude joue en faveur du consommateur vigilant : face à un expéditeur qui se retranche derrière le consentement recueilli par « un partenaire », contestez la portée de cet accord, demandez la preuve d’une information sur l’identité des destinataires et maintenez vos demandes de cessation et d’effacement, car l’expéditeur supporte le risque de l’ambiguïté.
B. Un consentement que l’expéditeur doit établir, jamais présumer
Le consentement valable répond à une définition cumulative posée par le règlement (UE) 2016/679, dit RGPD : toute manifestation de volonté libre, spécifique, éclairée et univoque, exprimée par une déclaration ou un acte positif clair. Chacun de ces adjectifs emporte une conséquence contentieuse. Libre signifie que le refus ne doit entraîner aucune conséquence négative et que le consentement ne peut être noyé dans l’acceptation globale des conditions générales. Spécifique signifie qu’un accord distinct doit couvrir la prospection elle-même, et idéalement chaque canal : une case unique qui mêle inscription à un jeu-concours, acceptation des conditions de vente et accord pour recevoir « des offres de nos partenaires » ne satisfait pas cette exigence. Éclairé suppose une information préalable sur l’identité de l’organisme, les finalités et les destinataires. Univoque exclut le silence, les cases pré-cochées et l’inaction interprétée comme un accord.
Surtout, le régime probatoire inverse la charge habituelle : aux termes de l’article 7, paragraphe 1, du RGPD, « Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant. » Concrètement, lorsque vous contestez la prospection, ce n’est pas à vous de prouver que vous n’avez jamais consenti ; c’est à l’expéditeur d’exhiber la trace de votre accord : copie du formulaire tel qu’il se présentait au jour de la collecte, date et heure de la validation, contenu exact de l’information délivrée, périmètre précis de l’autorisation donnée. Une simple affirmation du type « vous avez accepté lors de votre inscription » ne constitue pas une preuve. La CNIL l’exprime en termes pratiques : un accord valable suppose une action positive et spécifique de la personne, par exemple une case à cocher dédiée qui ne soit pas pré-cochée, et la simple acceptation des conditions générales d’utilisation ne suffit pas.
La jurisprudence récente de la formation restreinte, contrôlée par le Conseil d’État, illustre le sort réservé aux formulaires ambigus. Dans l’affaire Tagadamedia, l’éditeur de sites de jeux-concours transmettait les coordonnées des participants à des partenaires commerciaux à des fins de prospection. Le Conseil d’État, par sa décision du 20 mai 2026 (n° 492836), a confirmé l’analyse de la CNIL sur le caractère équivoque d’un formulaire proposant deux boutons d’apparence identique, intitulés respectivement « j’accepte » et « étape suivante », surmontés d’un texte en caractères nettement plus petits précisant les conséquences du clic. L’intitulé des boutons laissait penser à l’utilisateur qu’ils exprimaient deux étapes successives du parcours d’inscription plutôt qu’un choix entre consentir et refuser ; le juge en a déduit que le formulaire ne répondait pas aux exigences du RGPD et a validé l’injonction de mise en conformité sous astreinte. Le montant de l’amende a été réformé et ramené à 50 000 euros, mais la qualification du manquement au consentement et l’injonction ont été maintenues. Pour votre dossier, l’enseignement se révèle directement exploitable : tout parcours d’inscription qui masque le choix, minimise l’information ou fait passer le consentement pour une étape technique obligatoire vicie l’accord invoqué, et l’expéditeur ne peut s’en prévaloir.
Tirez-en une méthode de preuve dès le premier message indésirable. Conservez les SMS et les e-mails avec leurs en-têtes complets, l’identité exacte de l’expéditeur, les dates et heures de réception, ainsi que les captures du lien de désinscription et de son résultat. Photographiez, si vous le pouvez encore, le formulaire d’inscription d’origine tel qu’il se présente aujourd’hui, et archivez les confirmations de commande ou d’inscription que vous avez reçues : elles établissent souvent, par leur silence même sur la prospection, l’absence d’information et d’accord. Notez chaque tentative de désinscription restée sans effet, chaque nouvel envoi postérieur à votre opposition et chaque changement d’expéditeur pour un contenu identique, signe fréquent d’une circulation de votre adresse entre partenaires. Ces pièces feront la matière de la mise en demeure, de la plainte à la CNIL et, si nécessaire, de la demande indemnitaire, car le juge apprécie la persistance des envois après opposition comme un indice déterminant de l’illicéité.
II. Faire cesser les envois, saisir la CNIL et obtenir réparation
A. Opposition, retrait et effacement : les trois gestes qui ferment le robinet
Le premier geste consiste à exercer votre droit d’opposition. Aux termes de l’article 21, paragraphe 2, du RGPD, « la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection », y compris au profilage lié à cette prospection. En matière de prospection, ce droit ne se discute pas : contrairement à l’opposition fondée sur votre situation particulière, qui autorise l’organisme à invoquer des motifs légitimes impérieux, l’opposition à la prospection impose l’arrêt des envois, sans que l’expéditeur puisse vous opposer un intérêt commercial à poursuivre. Adressez-la par écrit, à l’adresse de contact indiquée dans le message ou dans la politique de confidentialité de l’expéditeur, en identifiant précisément les coordonnées à ne plus prospecter : numéro de mobile pour les SMS, adresse électronique pour les e-mails. Conservez la preuve de cet envoi et de sa réception, car tout message postérieur à l’opposition matérialise la persistance du manquement.
Le deuxième geste vise le fondement même du traitement : le retrait du consentement. L’article 7, paragraphe 3, du RGPD énonce que « La personne concernée a le droit de retirer son consentement à tout moment. » Le retrait doit être aussi simple que l’accord initial : un lien de désinscription présent dans chaque message, fonctionnel, sans création de compte obligatoire ni formulaire décourageant. Lorsque le lien est absent, brisé ou sans effet, photographiez le message, testez le lien et capturez le résultat, puis doublez la démarche par un message direct à l’expéditeur. Le retrait ne rétroagit pas : il ne rend pas illicites les envois antérieurs couverts par un consentement valable, mais il prive de base juridique tout envoi postérieur, ce qui rend décisives la date de votre demande et la chronologie des messages reçus ensuite.
Le troisième geste tend à l’effacement de vos coordonnées. L’article 17 du RGPD ouvre le droit d’obtenir l’effacement dans les meilleurs délais lorsque les données ne sont plus nécessaires au regard des finalités, lorsque vous avez retiré votre consentement sans autre fondement juridique, ou lorsque vous vous êtes opposé au traitement sans motif légitime prévalant. Demandez donc expressément, outre la cessation des envois, la suppression de vos coordonnées de la base de prospection et l’information sur l’origine de vos données : quel partenaire les a transmises, à quelle date, sur quel fondement. Cette demande d’information sur la source, adossée au droit d’accès, prépare utilement la suite : elle révèle la chaîne de transmission et désigne les co-responsables éventuels. Pour approfondir la stratégie d’accès et de plainte, notre analyse consacrée au droit d’accès et au recours devant la CNIL et le juge détaille les délais, la mise en demeure préalable et l’articulation entre les voies administrative et judiciaire.
En pratique, regroupez ces trois demandes dans une même mise en demeure : rappel des faits datés, exercice de l’opposition, retrait du consentement, demande d’effacement et de justification de l’origine des données, délai de réponse d’un mois. Adressez-la au responsable identifié et, lorsque le message mentionne un partenaire ou un routeur, à chacun d’eux. L’absence de réponse ou une réponse évasive conditionne la recevabilité pratique de la plainte : la CNIL attend en principe que vous ayez d’abord exercé vos droits auprès de l’organisme, sauf urgence particulière.
La plainte devant la CNIL constitue l’étape suivante. Déposez-la en ligne en joignant le dossier constitué : messages litigieux avec dates, preuve de l’opposition et du retrait, captures du lien de désinscription inopérant, mise en demeure restée sans effet, identification des expéditeurs successifs. La CNIL peut contrôler l’organisme, prononcer une mise en demeure publique, une injonction de mise en conformité sous astreinte et une amende administrative dont le montant tient compte de la gravité, de la durée et du nombre de personnes concernées. Les affaires récentes fixent l’échelle : dans le dossier Tagadamedia, la formation restreinte avait sanctionné la transmission de données à des partenaires sans consentement valable et imposé la refonte du formulaire, sanction partiellement réformée par le Conseil d’État (n° 492836) qui a maintenu la qualification et l’injonction en ramenant l’amende à 50 000 euros ; dans le dossier Canal+, l’amende initiale de 600 000 euros reste suspendue à l’examen du Conseil d’État (n° 490202) dans l’attente de la réponse de la Cour de justice sur la portée du consentement donné pour des « partenaires ». Ces décisions montrent que l’autorité sanctionne réellement les circuits de prospection sans consentement, tout en laissant au juge européen le soin de trancher la question la plus délicate.
Exigez enfin votre inscription sur la liste d’opposition interne que tout professionnel prospectant doit tenir : au-delà du cas individuel, cette inscription engage l’organisme pour l’avenir et fournit, en cas de nouvel envoi, la preuve d’une récidive. Si les messages proviennent d’expéditeurs multiples pour des offres identiques, signalez chaque expéditeur séparément et demandez à chacun l’origine de vos coordonnées : la convergence des réponses dessine la carte du fichier circulant et renforce chaque plainte.
B. La réparation du préjudice et le dossier qui l’emporte devant le juge
Parallèlement à la voie administrative, le RGPD ouvre une voie indemnitaire directe. Son article 82, paragraphe 1 dispose : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » Le texte désigne les débiteurs possibles : tout responsable ayant participé au traitement répond du dommage causé par la violation, tandis que le sous-traitant ne répond que s’il a méconnu les obligations qui lui incombent spécifiquement ou s’il a agi hors des instructions licites du responsable ou contrairement à elles. Chacun peut s’exonérer en prouvant que le fait dommageable ne lui est pas imputable. Pour la victime de spam persistant, cette architecture présente un avantage décisif : l’annonceur qui a ordonné la campagne et le prestataire qui l’a exécutée en connaissance de l’absence de consentement peuvent être recherchés ensemble, et leurs renvois de responsabilité réciproques ne la privent pas de réparation dès lors que la violation est établie.
Le juge compétent reste le juge judiciaire, juge de droit commun de la protection des données personnelles pour les litiges entre particuliers et organismes privés. Selon l’ampleur du préjudice et le montant demandé, le tribunal judiciaire statue, en procédure écrite ou orale, sur la cessation de l’illicite sous astreinte et sur l’indemnisation. Le préjudice réparable couvre le dommage matériel — achat provoqué par une pression commerciale, frais engagés pour faire cesser les envois — et surtout le dommage moral : intrusion répétée dans la vie privée, temps perdu à trier, signaler et se désinscrire, agacement devenu harcèlement lorsque les messages se comptent par dizaines malgré l’opposition. Les juridictions apprécient ce préjudice à l’aune de la persistance : un message isolé, même illicite, pèse moins que la campagne qui se poursuit après la désinscription, change d’expéditeur pour contourner les blocages et ressurgit sous une marque sœur. C’est pourquoi la chronologie documentée vaut plus que les affirmations générales : chaque envoi postérieur à l’opposition aggrave le manquement et justifie l’astreinte comme l’indemnité.
Construisez le dossier comme un enquêteur. Premier volet, l’illicite : messages conservés dans leur intégralité avec expéditeur, date et heure, captures du parcours d’inscription ou du formulaire d’origine, absence démontrée de case dédiée à la prospection, lien de désinscription testé et documenté. Deuxième volet, la persistance : tableau chronologique des envois avant et après l’opposition, copies des demandes de retrait et d’effacement avec leurs accusés, mise en demeure et réponse ou silence de l’organisme, récépissé de la plainte CNIL et suites connues. Troisième volet, le préjudice : décompte du temps consacré, attestations de proches ou collègues importunés sur une ligne partagée, justificatifs des démarches, capture des filtres et blocages mis en place. Quatrième volet, la chaîne des responsables : mentions du « partenaire » à l’origine des données, réponses contradictoires des expéditeurs sur la source du fichier, identité du routeur figurant dans les en-têtes techniques des e-mails. Ce dossier sert deux fois : il alimente la plainte administrative et fonde l’assignation, et sa solidité détermine souvent l’issue avant même l’audience, au stade de la mise en demeure d’avocat.
Un mot, enfin, sur l’articulation avec le démarchage téléphonique, souvent subi par les mêmes victimes. Depuis l’entrée en vigueur du nouveau régime, l’article L. 223-1 du code de la consommation dispose : « Il est interdit de démarcher par téléphone […] un consommateur qui n’a pas exprimé préalablement son consentement à faire l’objet de prospections commerciales par ce moyen. » Le professionnel doit rapporter la preuve de ce consentement, et l’article L. 223-2 l’oblige à informer le consommateur, lors de tout recueil de ses données téléphoniques, que toute sollicitation commerciale suppose son accord préalable. Si votre dossier mêle appels non sollicités et spam électronique, traitez les deux volets dans la même mise en demeure en distinguant les fondements : consentement préalable téléphonique d’un côté, consentement préalable électronique de l’autre, liste d’opposition interne et effacement pour les deux. Notre site consacre par ailleurs un décryptage dédié aux nouvelles règles du démarchage téléphonique et au consentement préalable pour le volet téléphonique ; le présent article couvre le volet électronique, SMS et e-mails, qui obéit à son régime propre et à sa jurisprudence propre.
En conclusion, ne subissez plus la prospection persistante comme une fatalité numérique. Vérifiez d’abord le fondement invoqué : sans votre consentement préalable, libre, spécifique, éclairé et univoque, les SMS et e-mails commerciaux adressés à un particulier restent illicites, hors les deux exceptions strictes du client analogue et du professionnel informé. Exigez ensuite de l’expéditeur la preuve de votre accord, car la charge de cette preuve pèse sur lui et non sur vous. Exercez ensemble l’opposition, le retrait et l’effacement, documentez chaque envoi postérieur, saisissez la CNIL d’une plainte étayée et faites chiffrer votre préjudice pour la voie judiciaire. La fermeté documentée obtient souvent la cessation rapide et, lorsque le contentieux s’impose, la réparation suit la preuve.
Besoin d’un avis rapide sur votre dossier
Vous êtes spammé par SMS et e-mails malgré votre refus et votre désinscription et vous souhaitez un avis sur votre dossier en numérique et données personnelles. Maître Reda KOHEN, avocat au Barreau de Paris, vous reçoit en consultation téléphonique. Appelez le 06 46 60 58 22 ou écrivez via notre formulaire de contact.