Vous recevez sur votre adresse électronique professionnelle, ou en message privé sur LinkedIn, l’offre d’un prestataire que vous n’avez jamais contacté. Ni devis demandé, ni carte de visite échangée sur un salon, ni formulaire rempli. Quelqu’un détient vos coordonnées, les a peut-être achetées ou copiées quelque part, et s’en sert pour vous vendre. Cette situation relève d’un régime juridique précis, distinct de celui qui protège les consommateurs démarchés sur leur ligne personnelle. En prospection entre professionnels, l’expéditeur peut parfois vous écrire sans votre accord préalable, mais à des conditions strictes : un lien avec votre fonction, une information complète sur l’origine de vos données et un moyen simple de vous opposer. Quand l’une de ces conditions manque, vous disposez de leviers concrets : exiger la source de vos coordonnées, obtenir l’effacement et saisir la CNIL, qui a infligé en 2025 une amende de 900 000 euros à un acteur de cette chaîne. Cet article décrit d’abord d’où viennent ces données et ce que l’expéditeur doit démontrer, puis les démarches qui permettent d’agir, de la lettre à la sanction et à la réparation.
I. D’où viennent vos coordonnées professionnelles et ce que l’expéditeur doit démontrer
A. La chaîne qui mène jusqu’à votre boîte de réception
Vos coordonnées professionnelles circulent. Une adresse électronique qui figure sur le site de votre entreprise, sur un annuaire en ligne, sur votre profil LinkedIn ou dans les actes publiés au registre du commerce peut être relevée par un tiers, aspirée par un logiciel, agrégée dans une base puis cédée à des sociétés qui démarchent. La CNIL décrit ces pratiques sans détour : des sociétés récupèrent des données personnelles sur des sites web afin de constituer des fichiers, par exemple celles qui pratiquent la « pige immobilière » en aspirant les coordonnées des auteurs d’annonces en ligne pour les revendre à des agences, ou celles qui collectent l’ensemble des données d’un secteur géographique sur des annuaires avant de démarcher pour leur propre compte, comme l’explique la CNIL sur la réutilisation des données publiquement accessibles. Le fait que vos données soient publiquement accessibles ne les rend pas librement réutilisables : elles restent des données personnelles et ne peuvent être réexploitées à votre insu.
La chaîne comporte en général trois maillons. Le primo-collectant recueille les données le premier, par exemple un éditeur de site de jeux-concours ou de tests de produits qui fait remplir des formulaires, ou un opérateur qui aspire des annuaires. Le courtier ou l’intermédiaire achète ces fichiers et les revend. L’annonceur final utilise les coordonnées pour démarcher, directement ou par l’intermédiaire d’un prestataire d’envoi. La sanction prononcée le 15 mai 2025 contre la société Solocal Marketing Services illustre ce montage : la société achetait des données de prospects auprès de plusieurs courtiers, qui les collectaient via des formulaires de jeux-concours ou de tests de produits, puis démarchait les personnes par SMS ou courrier électronique pour le compte d’annonceurs, et transmettait parfois les données à ses clients pour qu’ils démarchent eux-mêmes par téléphone ou par voie postale, comme le retrace la CNIL dans sa décision SAN-2025-001. L’amende de 900 000 euros sanctionne à la fois le démarchage sans consentement et la transmission des données aux partenaires sans base légale valable.
Un autre arrêt récent éclaire la responsabilité de celui qui transmet. La société Tagadamedia collectait sur ses sites les données de participants, dont leurs noms, adresses postale et électronique et numéros de téléphone, en vue d’une prospection par ses partenaires. La CNIL lui a infligé 75 000 euros d’amende pour manquements aux articles 6 et 30 du RGPD, avec injonction de mettre en place un formulaire recueillant un consentement libre, spécifique, éclairé et univoque à la transmission des données aux partenaires. Le Conseil d’État, le 20 mai 2026, a ramené l’amende à 50 000 euros tout en confirmant l’essentiel : laisser croire aux utilisateurs que toutes leurs données étaient transmises sur le fondement de leur consentement, alors que certaines l’étaient à leur insu sur le fondement d’un intérêt légitime, sans option pour s’y opposer, caractérise un traitement déloyal (Conseil d’État, 20 mai 2026, n° 492836). Celui qui vous écrit doit donc pouvoir justifier toute la chaîne en amont, et celui qui a transmis vos données engage sa propre responsabilité.
De cette chaîne découle votre première exigence : connaître la source. Lorsque vos données n’ont pas été collectées auprès de vous, le responsable du traitement doit vous fournir, parmi les informations dues, « la source d’où proviennent les données à caractère personnel et, le cas échéant, une mention indiquant qu’elles sont issues ou non de sources accessibles au public », selon l’article 14, paragraphe 2, point f) du RGPD. Cette information doit vous parvenir « au plus tard au moment de la première communication » avec vous, en application du paragraphe 3, point b) du même article. Concrètement, le premier message commercial que vous recevez d’une société inconnue devrait déjà indiquer d’où elle tient vos coordonnées. L’absence de cette mention constitue un premier indice d’irrégularité, que les contrôles de la CNIL relevèrent dès 2019 : absence d’information des personnes démarchées, en particulier sur la source des données, défaut de consentement avant démarchage électronique et non-respect du droit d’opposition.
B. La règle applicable selon le canal utilisé
La prospection adressée à des professionnels obéit à une règle plus souple que celle qui protège les consommateurs, sans être libre. La CNIL admet que la prospection à l’égard de professionnels soit fondée sur l’intérêt légitime de l’organisme, prévu par l’article 6, paragraphe 1, point f) du RGPD, lorsque l’objet de la sollicitation est en rapport avec la profession de la personne démarchée. L’exemple donné est celui d’un appel présentant les mérites d’un logiciel au directeur informatique d’une entreprise. Trois conditions encadrent cette tolérance. D’abord, le lien avec votre fonction : un message sans rapport avec votre activité ne peut se réclamer de l’intérêt légitime. Ensuite, l’information préalable sur l’utilisation possible de votre adresse ou de votre numéro à des fins de prospection. Enfin, la capacité effective de vous y opposer. Les adresses génériques de type [email protected] ou [email protected], qui concernent des personnes morales, échappent à ce cadre, mais votre adresse nominative [email protected] et votre numéro direct restent des données personnelles protégées.
Le canal du message fait varier l’exigence. Par courrier électronique, SMS ou automate d’appel, l’article L. 34-5 du code des postes et des communications électroniques dispose : « Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. » L’exception vise les coordonnées recueillies auprès du destinataire à l’occasion d’une vente ou d’une prestation, pour des produits ou services analogues du même fournisseur, avec une possibilité d’opposition à chaque envoi. En B2B, la CNIL articule ce texte avec l’intérêt légitime : le consentement préalable n’est pas exigé quand la sollicitation est en rapport avec votre fonction, mais l’information et l’opposition restent dues, et chaque message doit permettre de se désinscrire et identifier son expéditeur. Un message LinkedIn automatisé envoyé en masse à des fins commerciales s’analyse de la même façon : le réseau social n’est pas une zone franche, et l’aspiration de profils pour constituer un fichier de prospection doit respecter l’obligation d’information sur la source.
Par téléphone, la distinction entre consommateur et professionnel est nette. Depuis le 11 août 2026, l’article L. 223-1 du code de la consommation dispose : « Il est interdit de démarcher par téléphone, directement ou par l’intermédiaire d’un tiers agissant pour son compte, un consommateur qui n’a pas exprimé préalablement son consentement à faire l’objet de prospections commerciales par ce moyen. » Ce régime d’opt-in protège les consommateurs, comme le confirme la fiche officielle de Service-public sur le démarchage abusif, et son manquement expose le professionnel à une amende administrative de 75 000 euros pour une personne physique et 375 000 euros pour une personne morale en application de l’article L. 242-16 du même code. Au stade du recueil, l’article L. 223-2 du code de la consommation impose au professionnel qui recueille les données téléphoniques d’un consommateur de l’informer que toute sollicitation suppose son consentement préalable : conservez donc aussi la preuve du contexte dans lequel votre numéro a été collecté. Démarché sur votre ligne professionnelle en tant que tel, vous relevez du régime B2B décrit plus haut plutôt que de ce texte, mais la frontière se brouille vite : un appel sur votre numéro personnel relevé dans un annuaire, ou une offre sans rapport avec votre métier, fait basculer l’analyse vers l’irrégularité. La qualification exacte dépend des faits, et c’est elle qui conditionne le fondement de votre contestation.
La question du consentement donné une fois pour toutes à des « partenaires » non identifiés reste devant la justice. Dans l’affaire ayant valu à la société Groupe Canal+ une amende de 600 000 euros pour manquements aux articles 7, 12, 13, 14, 15, 28, 32 et 33 du RGPD et à l’article L. 34-5 du CPCE, le Conseil d’État a renvoyé à la Cour de justice la question de savoir si le caractère éclairé du consentement est nécessairement subordonné à l’information préalable des personnes sur l’identité des partenaires destinataires des données, et si une simple catégorie de « partenaires » suffit (Conseil d’État, 5 mai 2025, n° 490202). Tant que la Cour ne s’est pas prononcée, une société qui vous écrit en se prévalant d’un consentement que vous auriez donné ailleurs à des partenaires non nommés se trouve sur un terrain fragile. Retenez l’essentiel : en B2B, l’expéditeur doit démontrer soit un consentement valable, soit un intérêt légitime articulé avec votre fonction, et dans tous les cas vous informer de la source de vos données et vous offrir une opposition effective.
II. Exiger la source, obtenir l’effacement et faire sanctionner
A. Vos démarches écrites, dans l’ordre utile
Commencez par conserver les preuves. Gardez chaque message avec ses en-têtes complets, l’adresse d’expédition, la date, le contenu et, pour LinkedIn, une capture montrant le profil expéditeur et l’absence de relation préalable. Notez le contexte : premier contact ou relance, offre en rapport ou non avec votre fonction, présence ou absence d’un lien de désinscription et d’identification de l’expéditeur. Ces éléments détermineront si l’intérêt légitime peut être invoqué et si l’obligation d’information a été respectée. Photographiez aussi le formulaire d’origine si vous identifiez le site primo-collectant, car les présentations trompeuses, boutons mis en valeur contre liens de refus discrets, ont précisément fondé la sanction Solocal.
Adressez ensuite une demande écrite à la société qui vous démarche, en recommandé avec accusé de réception ou par un courrier électronique conservé. Cette lettre cumule trois demandes. Premièrement, l’information sur la source : d’où viennent mes coordonnées, quand ont-elles été obtenues, auprès de quel fournisseur, et sur quelle base légale le traitement repose. Le responsable doit vous répondre « d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples », selon l’article 12, paragraphe 1, du RGPD. Deuxièmement, l’opposition à la prospection : « Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection », énonce l’article 21, paragraphe 2, du RGPD. Et « Lorsque la personne concernée s’oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins », ajoute le paragraphe 3 du même article. En prospection, l’opposition n’est soumise à aucune condition de motif : elle s’impose, point. Troisièmement, l’effacement : « La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant », prévoit l’article 17, paragraphe 1, du RGPD, notamment quand les données ont fait l’objet d’un traitement illicite ou quand vous vous êtes opposé au traitement sans motif légitime impérieux contraire.
Le délai de réponse est encadré : le responsable « fournit à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande », selon l’article 12, paragraphe 3, du RGPD. Passé ce délai sans réponse, ou en cas de réponse évasive qui n’indique pas la source, l’inaction devient une pièce de votre dossier. La jurisprudence récente montre que le silence paie cher : la société Timework-it, qui n’avait pas répondu à une demande d’effacement malgré un rappel puis une mise en demeure de la CNIL, s’est vu infliger 15 000 euros d’amende en procédure simplifiée avec injonction sous astreinte de répondre, et son recours a été rejeté (Conseil d’État, 28 novembre 2025, n° 499566). Le Conseil d’État y juge que l’injonction de répondre était justifiée au moment où elle a été prononcée, même si la société s’est exécutée ensuite, et que la sanction n’était pas disproportionnée au regard de la gravité et de la persistance des manquements. Écrivez donc deux fois si nécessaire, puis cessez d’insister : chaque relance sans effet alimente la démonstration.
Si la société vous répond qu’elle a acheté vos coordonnées à un tiers, exigez l’identité de ce tiers et écrivez-lui également. Chacun des acteurs de la chaîne est responsable de son propre traitement : le vendeur devait vous informer et disposer d’une base légale pour céder vos données, l’acheteur devait vérifier le consentement ou l’information en amont. Dans l’affaire Solocal, la CNIL a jugé que les exigences contractuelles imposées aux fournisseurs et les vérifications affirmées en aval étaient manifestement insuffisantes, et que la société, utilisatrice des données, devait s’assurer du consentement valide avant de prospecter. Signalez le vendeur à l’acheteur et l’acheteur au vendeur, et demandez à chacun l’effacement et la preuve de la transmission de votre demande aux autres maillons. Vérifiez ensuite que la désinscription proposée couvre tous les canaux et tous les partenaires : dans l’affaire Tagadamedia, l’absence d’option pour s’opposer à la transmission des données a précisément caractérisé le traitement déloyal. Conservez une capture de chaque désinscription, car tout nouvel envoi postérieur à votre opposition contredit l’obligation faite au responsable de ne plus traiter vos données à ces fins.
B. La CNIL, la DGCCRF et le juge : sanctions et réparation
Quand vos lettres restent sans effet ou que la prospection continue après votre opposition, saisissez la CNIL par sa plateforme de plainte en ligne, en joignant vos courriers et les preuves conservées. La CNIL traite les réclamations, enquête dans la mesure nécessaire et informe le plaignant de l’issue dans un délai raisonnable. Elle peut rappeler l’organisme à ses obligations, le mettre en demeure, puis saisir sa formation restreinte, qui prononce amendes et injonctions. Sachez toutefois que la CNIL dispose d’une marge d’appréciation : dans une affaire où un particulier se plaignait d’une prospection malgré son opposition, la CNIL avait procédé à un rappel de la réglementation, constaté l’enregistrement de l’opposition et la correction des liens de désinscription, puis clôturé la plainte, et le Conseil d’État a jugé qu’elle n’avait pas commis d’erreur d’appréciation en ne saisissant pas la formation restreinte (Conseil d’État, 25 juillet 2025, n° 497392). Une plainte bien documentée, avec source manquante, opposition ignorée et relances prouvées, maximise vos chances d’obtenir davantage qu’un rappel. Si vos messages relèvent aussi du démarchage téléphonique sur une ligne personnelle, signalez les faits sur SignalConso, la plateforme de la DGCCRF, comme l’indique Service-public, et transférez les spams par SMS au 33700.
Les sanctions prononcées ces derniers mois donnent la mesure du risque pour les prospecteurs et du poids de votre dossier. Outre les 900 000 euros de Solocal et les 50 000 euros de Tagadamedia après réformation, la formation restreinte avait infligé 600 000 euros à Groupe Canal+ pour des manquements au consentement, à l’information et à la prospection électronique. Ces montants s’expliquent : les fichiers de prospection portent sur des milliers de personnes, et chaque manquement se répète à chaque envoi. Pour votre action individuelle, la voie de la réparation passe par le juge. L’article 82, paragraphe 1, du RGPD dispose : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » L’article subordonne la réparation à un dommage causé par la violation : conservez donc la preuve de vos démarches, des dates d’envoi et de la persistance des messages après votre opposition. Le temps perdu à faire cesser des sollicitations répétées, l’impossibilité d’identifier la source malgré vos demandes, l’utilisation prolongée de vos coordonnées après opposition caractérisent un préjudice dont vous pouvez demander réparation sur ce fondement, le montant relevant de l’appréciation du juge.
Agissez contre le bon défendeur. Quand plusieurs acteurs participent au même traitement, chacun est tenu pour le tout envers vous, à charge pour celui qui a payé de se retourner contre les autres. Ciblez donc en priorité la société qui vous démarche, qui ne pourra se retrancher derrière son fournisseur : utilisatrice des données, elle devait vérifier la validité du consentement et tirer les conséquences d’un défaut de preuve, comme l’a jugé la CNIL dans l’affaire Solocal, où la société avait attendu près de dix-sept mois après avoir constaté l’incapacité de son partenaire à prouver le consentement avant de cesser d’utiliser les données. Si vous avez subi un contrat forcé ou des prélèvements à la suite d’un démarchage irrégulier, faites également constater la nullité encourue et l’indemnisation de vos frais. Pour situer votre situation dans l’ensemble de vos droits face aux organismes qui détiennent vos données, vous pouvez utilement relire notre article de fond sur le droit d’accès, la plainte CNIL et le recours au juge, qui détaille la mécanique commune à ces actions.
Démarché sur votre adresse professionnelle ou repéré sur LinkedIn, vous n’êtes pas démuni : la société qui vous écrit doit dire d’où elle tient vos coordonnées, démontrer sa base légale et cesser toute prospection dès votre opposition. À défaut, vos courriers puis votre plainte à la CNIL ouvrent la voie à la sanction, et votre action devant le juge à la réparation. Ne laissez pas passer les délais : écrivez dès le premier message suspect, opposez-vous dans le même envoi, et conservez tout.
Besoin d’un avis rapide sur votre dossier
Vous êtes démarché sur vos coordonnées professionnelles sans savoir d’où elles viennent, et vous voulez faire cesser la prospection, obtenir l’effacement et saisir la CNIL. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier et vous indique la démarche adaptée, de la lettre à la plainte et à l’action en réparation. Consultation téléphonique en 48 heures avec un avocat du cabinet. Appelez le 06 46 60 58 22 ou écrivez via la page contact du cabinet.