Vous avez demandé à un organisme de cesser d’utiliser vos données. Les messages continuent, ou la réponse se limite à une formule sur l’intérêt légitime. Parfois, la Commission nationale de l’informatique et des libertés a déjà rappelé l’entreprise à l’ordre, puis classé la plainte. Ces trois issues ne se valent pas. Le droit d’opposition n’est pas un formulaire unique, et le classement d’une réclamation n’éteint ni le droit ni une action civile. Cet article décrit quand le traitement doit s’arrêter, quand un refus peut être juridiquement défendable, ce que décide réellement une clôture de la CNIL, et ce qu’il faut établir pour demander réparation.

Le point de départ est concret. Un magasin, une banque, une association, un site ou un prestataire qui prospecte pour le compte d’un autre continue d’écrire, d’appeler par automate, ou de réutiliser un fichier après une opposition datée. L’organisme invoque une erreur technique, un intérêt commercial, une obligation de conserver le dossier, ou le fait que la personne est encore cliente. La CNIL, saisie ensuite, peut se borner à un rappel et clôturer. Le lecteur a alors besoin de séparer la règle, ses conditions, ses exceptions, et la conséquence pratique de chaque voie : cessation d’une finalité, refus motivé, mise en demeure, ou action devant le juge.

Le régime des courriels et des SMS commerciaux reçus sans accord, celui du démarchage vocal, et le délai d’instruction d’une plainte déjà déposée ont été traités séparément. On n’y revient que pour marquer la frontière. Ici, la question est celle de l’opposition ignorée ou refusée, et du classement qui suit.

I. L’organisme peut-il continuer après votre opposition ?

A. La prospection doit cesser, et ce n’est pas le même régime que le consentement préalable

Lorsque des données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment à ce traitement, y compris au profilage lié à cette prospection. Le règlement (UE) 2016/679 du 27 avril 2016, à l’article 21, paragraphes 2 et 3, ne soumet pas cette opposition à une mise en balance. Une fois l’opposition formulée, les données ne sont plus traitées pour cette finalité de prospection. L’organisme ne peut pas maintenir les envois promotionnels en répondant seulement qu’il a un intérêt commercial, ou que la personne a déjà acheté. L’intérêt commercial peut expliquer pourquoi un fichier a été constitué. Il ne permet pas de passer outre une opposition visant la prospection elle-même.

Ce droit vise la finalité, pas nécessairement chaque copie du dossier. Cesser la prospection n’oblige pas, à lui seul, à effacer une facture, une garantie ou une pièce qu’une autre règle commande de conserver. L’opposition prévue à l’article 21, paragraphe 3, du règlement interdit de continuer à traiter les données pour la prospection. Elle ne se confond pas avec l’accès, qui s’exerce dans les conditions de l’article 15 du règlement, avec l’effacement, qui s’exerce dans les conditions de l’article 17, ni avec la limitation du traitement, qui s’exerce dans les conditions de l’article 18. L’article 49 de la loi du 6 janvier 1978 ajoute un outil de conservation de la preuve : « En cas de risque de dissimulation ou de disparition des données à caractère personnel, le juge compétent peut ordonner, y compris en référé, toutes mesures de nature à éviter cette dissimulation ou cette disparition. » Cette mesure ne remplace pas l’opposition. Elle peut éviter qu’un historique d’envois ou la trace de la demande disparaisse pendant le litige. La rectification d’une donnée inexacte reste un droit distinct. Une personne peut donc exiger l’arrêt des sollicitations tout en restant cliente pour l’exécution du contrat. Inversement, le maintien légitime d’un dossier de commande ne justifie pas de réinjecter les coordonnées dans une campagne.

L’article 21, paragraphe 4, du même règlement ajoute une obligation d’information. Au plus tard lors de la première communication, le droit d’opposition visé aux paragraphes 1 et 2 doit être porté explicitement à la connaissance de la personne, clairement, et séparément de toute autre information. Un lien perdu en bas d’une politique de confidentialité de plusieurs pages, ou une mention noyée dans des conditions générales, ne répond pas à cette exigence de présentation séparée au moment de la communication. L’absence de cette information est un manquement distinct de la poursuite des envois. Elle sert aussi de preuve : si le premier message ne disait pas comment s’opposer, l’organisme pourra difficilement reprocher à la personne d’avoir tardé ou d’avoir utilisé un autre canal.

Dans les services de la société de l’information, l’article 21, paragraphe 5, permet d’exercer l’opposition par des procédés automatisés et des spécifications techniques. Cette faculté s’ajoute aux autres modes. Elle ne retire pas le droit d’écrire, et elle ne dispense pas l’organisme de traiter une opposition reçue par courriel ou par courrier lorsque cette opposition est identifiable.

Le droit français de la prospection électronique ne se confond pas avec cette opposition, même s’il la croise. L’article L. 34-5 du code des postes et des communications électroniques, dans sa version applicable au 24 septembre 2026, dispose qu’« Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. » Le même article interdit de dissimuler l’identité de la personne pour le compte de laquelle la communication est émise, et d’indiquer un objet sans rapport avec la prestation proposée. Il exige aussi des coordonnées valables auxquelles le destinataire peut transmettre une demande tendant à ce que ces communications cessent. Le seul coût qui peut rester à la charge du destinataire est celui de la transmission de cette demande.

Une exception existe, et elle est étroite. La prospection par courrier électronique peut être licite sans consentement préalable lorsque les coordonnées ont été recueillies auprès de la personne, à l’occasion d’une vente ou d’une prestation, que la prospection porte sur des produits ou services analogues fournis par la même personne, et que le destinataire s’est vu offrir, de manière expresse et dénuée d’ambiguïté, la possibilité de s’opposer à l’utilisation de ses coordonnées au moment de la collecte et à chaque message, s’il n’a pas refusé d’emblée. Cette exception ne couvre pas un fichier acheté, un partenaire inconnu, ni un produit sans lien avec l’achat initial. Elle ne survit pas à une opposition. Dès que la personne s’oppose, l’article 21, paragraphe 3, du règlement et le mécanisme de l’article L. 34-5 commandent l’arrêt de cette prospection.

Deux conséquences pratiques en découlent. D’abord, un courriel promotionnel adressé à une personne physique sans consentement préalable, hors le cas limité des produits analogues, est déjà irrégulier avant même l’opposition. L’opposition n’est pas une condition pour que l’interdit s’applique. Ensuite, lorsque le message était initialement couvert par le consentement ou par l’exception des produits analogues, l’opposition fait cesser la finalité de prospection. Le mode opératoire détaillé pour les SMS et les courriels, y compris le signalement au 33700, est exposé dans l’article sur les SMS et courriels commerciaux reçus sans accord. Le démarchage vocal obéit à un régime distinct, exposé dans l’article sur le démarchage téléphonique. Les reprendre ici masquerait la question utile : que se passe-t-il lorsque l’opposition a été formulée et que l’usage continue.

Le profilage lié à la prospection suit le même sort. Un score d’appétence, une sélection d’audience ou un reciblage publicitaire qui sert à choisir qui reçoit une offre commerciale est couvert par l’opposition à la prospection, dans la mesure où ce profilage est lié à cette finalité. Cela ne règle pas, à soi seul, une décision automatisée qui produirait des effets juridiques ou affecterait la personne de manière significative en dehors de la prospection, par exemple un refus de crédit ou un rejet de candidature. Ce dernier régime est autre. L’opposition à la prospection arrête l’usage commercial visé. Elle ne tient pas lieu d’intervention humaine sur une décision individuelle automatisée.

Côté organisme, la mise en œuvre ne se limite pas à une phrase dans une politique de confidentialité. Il faut un canal identifiable, un enregistrement de la date et de la portée de l’opposition, et une mise à jour effective des fichiers utilisés pour envoyer, y compris ceux tenus par un routeur, une régie ou un prestataire de campagne. Si le contrat de prestation ne dit pas qui supprime la coordonnée, dans quel délai, et comment la preuve est conservée, l’organisme responsable reste exposé envers la personne alors même que l’envoi part d’un outil tiers. Ce point se règle dans le contrat commercial qui répartit la mise à jour du fichier après une opposition. Une erreur technique peut expliquer un envoi isolé. Elle n’est pas, par elle-même, une autorisation de continuer, ni une dispense de corriger le dispositif. Le rappel de cette distinction sera nécessaire pour lire la décision du Conseil d’État commentée plus loin : le juge y a tenu compte d’une opposition déjà enregistrée et d’une correction des liens de désinscription, non d’une simple affirmation d’incident.

B. Hors prospection, l’opposition dépend de la base légale, et certaines finalités y échappent

Hors prospection, le droit n’est pas absolu. L’article 56 de la loi n° 78-17 du 6 janvier 1978, en vigueur, dispose : « Le droit d’opposition s’exerce dans les conditions prévues à l’article 21 du règlement (UE) 2016/679 du 27 avril 2016. Ce droit ne s’applique pas lorsque le traitement répond à une obligation légale ou, dans les conditions prévues à l’article 23 du même règlement, lorsque l’application de ces dispositions a été écartée par une disposition expresse de l’acte instaurant le traitement. »

La première phrase renvoie au règlement. La seconde ferme deux portes. On ne s’oppose pas, par ce droit, à un traitement qui répond à une obligation légale. On ne s’y oppose pas non plus lorsque l’acte qui crée le traitement écarte expressément ces dispositions, dans les conditions de l’article 23 du règlement. Cette réserve n’est pas une clause de style que chaque organisme pourrait s’accorder. Il faut une disposition expresse de l’acte instaurant le traitement, et le cadre de l’article 23. Un règlement intérieur, une politique interne ou une mention contractuelle ne suffisent pas à écarter le droit.

L’article 21, paragraphe 1, du règlement précise le champ qui reste. La personne peut s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l’article 6, paragraphe 1, point e) ou point f), y compris un profilage fondé sur ces dispositions. Le point e) vise le traitement nécessaire à une mission d’intérêt public ou à l’exercice de l’autorité publique. Le point f) vise le traitement nécessaire aux fins des intérêts légitimes poursuivis par le responsable ou par un tiers, sauf si les intérêts ou les libertés et droits fondamentaux de la personne prévalent, en particulier lorsqu’elle est un enfant. Le point f) ne s’applique pas au traitement effectué par les autorités publiques dans l’exécution de leurs missions. Une administration ne peut donc pas fonder sur l’intérêt légitime un traitement qu’elle réalise pour accomplir sa mission publique. Si ce traitement repose sur une obligation légale ou sur une mission d’intérêt public, l’opposition ne joue que dans les limites que ces bases et l’article 56 laissent ouvertes.

Le responsable qui veut continuer malgré l’opposition doit démontrer qu’il existe des motifs légitimes et impérieux pour le traitement, qui prévalent sur les intérêts, droits et libertés de la personne, ou que le traitement est nécessaire à la constatation, à l’exercice ou à la défense de droits en justice. La charge de cette démonstration pèse sur lui. Une formule générale, du type notre activité l’exige, ne démontre rien. La défense d’un litige déjà né, ou sérieusement prévisible, peut justifier de conserver certaines données, parce que le texte le dit expressément. Elle ne justifie pas, à elle seule, de poursuivre une prospection, ni de communiquer le dossier à des partenaires commerciaux.

La situation particulière n’est pas une case à cocher définie par un décret. C’est le fait propre à la personne qui rend le maintien du traitement pesant pour elle : répétition de sollicitations après un premier refus, usage du fichier par un tiers qu’elle n’a pas choisi, exposition d’une information qu’elle ne souhaite plus voir circuler, effet concret sur sa tranquillité ou sur une démarche en cours. Ces éléments s’exposent. Ils ne créent pas, par leur seule énumération, un droit automatique hors des bases visées. Si le traitement repose sur le consentement, le geste adapté est le retrait du consentement, pour l’avenir, et non une opposition de l’article 21, paragraphe 1. Si le traitement est nécessaire à l’exécution d’un contrat auquel la personne est partie, ou à des mesures précontractuelles prises à sa demande, l’article 21, paragraphe 1, ne s’applique pas à cette nécessité contractuelle. On peut s’opposer à l’usage commercial accessoire. On ne transforme pas l’opposition en résolution du contrat, ni en interdiction d’exécuter la commande que l’on a passée.

L’article 21, paragraphe 6, ouvre encore une opposition, pour des raisons tenant à la situation particulière, lorsque les données sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques selon l’article 89, paragraphe 1. Cette opposition cède si le traitement est nécessaire à l’exécution d’une mission d’intérêt public. Là encore, la nécessité doit être celle de la mission, pas la commodité de l’organisme.

L’information due au moment de la collecte comprend l’existence de ce droit. L’article 13, paragraphe 2, point b), du règlement impose d’informer la personne de l’existence du droit de s’opposer au traitement, parmi les autres droits. Lorsque les données n’ont pas été collectées auprès d’elle, l’article 14 emporte une information équivalente dans son champ. Une notice qui ne distingue pas la prospection, l’intérêt légitime et l’obligation légale empêche la personne de savoir quel geste exercer. Cette opacité n’équivaut pas toujours à une opposition déjà formée. Elle constitue en revanche un manquement d’information, et elle explique souvent pourquoi la première demande est imprécise. L’organisme qui reçoit une demande mal qualifiée, mais dont l’objet est clair, doit la traiter au fond s’il peut identifier la personne et la finalité visée. L’article 12, paragraphe 2, lui commande de faciliter l’exercice des droits.

Un refus régulier n’est donc pas un silence. Si le responsable ne donne pas suite, l’article 12, paragraphe 4, lui impose d’informer la personne, au plus tard dans le délai d’un mois à compter de la réception de la demande, des motifs de son inaction et de la possibilité d’introduire une réclamation auprès d’une autorité de contrôle et de former un recours juridictionnel. S’il entend continuer sur le fondement de motifs impérieux ou d’un litige, ces motifs font partie de la réponse. S’il estime que le droit ne s’applique pas parce que le traitement répond à une obligation légale, il doit identifier cette obligation, et non se contenter du mot loi. S’il prolonge l’examen, le paragraphe 3 du même article limite cette prolongation à deux mois, pour la complexité et le nombre de demandes, et exige d’en informer la personne, avec les motifs du report, dans le mois de la réception.

La demande elle-même n’a pas à être payante pour être traitée. L’article 12, paragraphe 5, n’exige aucun paiement pour les mesures prises au titre des articles 15 à 22. Le responsable ne peut réclamer des frais, ou refuser de donner suite, que si les demandes sont manifestement infondées ou excessives, notamment parce qu’elles se répètent. C’est à lui de démontrer ce caractère. Une opposition unique, précise, visant une prospection ou un partage fondé sur l’intérêt légitime, n’entre pas dans cette exception. Plusieurs relances après un silence ne deviennent pas excessives du seul fait qu’elles répètent la même demande non satisfaite.

Enfin, l’identité. Si le responsable a des doutes raisonnables sur l’identité de l’auteur de la demande, l’article 12, paragraphe 6, l’autorise à demander les informations supplémentaires nécessaires pour la confirmer. Le mot nécessaire borne la demande. Un doute réel peut justifier un élément de recoupement. Il ne transforme pas l’opposition en occasion de constituer un nouveau dossier d’identité sans lien avec la vérification. Tant que l’organisme n’a pas de doute raisonnable, il ne peut pas suspendre indéfiniment la réponse derrière une pièce qu’il n’a pas besoin de demander.

II. Que faire si l’opposition est ignorée, ou si la CNIL classe la plainte ?

A. Dater la demande, conserver la suite, et exiger une réponse dans le mois

La première pièce n’est pas la plainte. C’est l’opposition elle-même, adressée au responsable du traitement, ou au point de contact qu’il a indiqué. Elle gagne à être écrite, datée, et limitée à ce que l’on demande réellement : arrêt de la prospection, arrêt d’un partage avec des partenaires, arrêt d’un profilage commercial, ou opposition à un traitement d’intérêt légitime en exposant la situation particulière. Une demande fourre-tout, qui mélange effacement intégral, dommages et suppression de toutes les bases, donne à l’organisme un prétexte pour répondre à côté. On peut joindre une demande d’effacement lorsque aucune autre base ne justifie la conservation. On ne doit pas présenter comme une opposition ce qui est une résolution de contrat ou un litige de facture.

Il est utile de viser la finalité, le canal et, si on les connaît, la date du dernier message et l’adresse ou le numéro utilisé. On conserve la copie de l’envoi, l’accusé, la capture du formulaire, et chaque sollicitation postérieure. Si un prestataire apparaît dans l’en-tête technique, on le note, sans en déduire qu’il est le responsable. Le responsable est celui qui détermine les finalités et les moyens. Le prestataire qui envoie sur instruction reste, en principe, sous-traitant. La personne peut néanmoins écrire aux deux lorsque les mentions ne permettent pas de les distinguer. L’article 12 ne subordonne pas le délai à la perfection formelle de la lettre. Il le fait courir à compter de la réception de la demande.

Le délai de droit commun est d’un mois. Il peut être porté de deux mois supplémentaires si la complexité ou le nombre de demandes le justifie, à condition que la personne soit informée de la prolongation et de ses motifs dans le premier mois. Une réponse qui arrive au bout de six semaines sans avoir annoncé de prolongation est hors délai, même si elle est ensuite substantielle. Une réponse dans le mois qui ne dit pas pourquoi le traitement continue, alors que l’opposition visait un intérêt légitime, n’est pas non plus une suite au sens de l’article 12, paragraphe 4. Lorsque la demande a été présentée par voie électronique, les informations sont fournies par voie électronique lorsque c’est possible, sauf demande contraire de la personne.

Trois réponses doivent être lues différemment.

La première constate l’arrêt. Elle indique la date de prise en compte, la finalité cessée, et les fichiers ou prestataires mis à jour. C’est l’issue conforme pour une prospection. Un message isolé, parti avant la mise à jour et non renouvelé, ne suffit pas à rouvrir le débat s’il est expliqué et si la cessation est ensuite effective. Une série de messages après la confirmation de l’opposition raconte une autre histoire.

La deuxième refuse. Pour la prospection, un refus de cesser la finalité promotionnelle est en principe infondé, sous réserve d’une erreur sur l’objet de la demande ou d’une impossibilité réelle d’identifier la personne, que le responsable doit alors démontrer. Pour un traitement d’intérêt légitime ou d’intérêt public, le refus n’est recevable que s’il démontre des motifs légitimes et impérieux qui prévalent, ou la nécessité de conserver les données pour un litige, ou s’il établit que le droit ne s’applique pas parce que le traitement répond à une obligation légale identifiée, ou parce qu’une disposition expresse l’a écarté dans les conditions de l’article 23. Le refus doit aussi indiquer la possibilité de réclamation et de recours juridictionnel.

La troisième est le silence, ou l’accusé qui ne dit rien sur le fond. Au terme du mois, sans information de prolongation, l’inaction est elle-même un manquement aux modalités de l’article 12. Elle ne prouve pas encore le préjudice réparable, point sur lequel il faudra revenir. Elle autorise en revanche la saisine de la CNIL et, parallèlement, l’action devant le juge, sans que l’une soit une condition de recevabilité de l’autre. L’article 77 du règlement ouvre la réclamation auprès d’une autorité de contrôle sans préjudice de tout autre recours administratif ou juridictionnel. L’article 79 ouvre le recours juridictionnel effectif contre le responsable ou le sous-traitant sans préjudice des recours administratifs, y compris la réclamation à l’autorité.

Avant d’écrire à la CNIL, il est souvent décisif de relire la notice et le dernier message. Si le droit n’a pas été présenté clairement et séparément lors de la première communication, ce fait se joint au dossier. Si l’identité de l’annonceur est masquée, l’article L. 34-5 est directement en cause pour la prospection électronique. Si le message vient d’un partenaire non annoncé, la question peut être celle d’un responsable conjoint ou d’une communication non prévue, et non seulement celle d’une opposition mal enregistrée. On qualifie avant d’empiler les griefs.

Pour l’organisme destinataire de l’opposition, la discipline est symétrique. Enregistrer la demande le jour de sa réception, identifier la base légale réellement utilisée, arrêter la prospection si c’est elle qui est visée, et ne réserver le refus motivé qu’aux traitements qui échappent au droit ou pour lesquels des motifs impérieux sont démontrables. Conserver la preuve de la mise à jour du fichier et de l’instruction donnée au prestataire. Répondre dans le mois, y compris pour dire qu’un complément d’identité est nécessaire, si le doute est raisonnable. Un rappel ultérieur de la CNIL est plus facile à expliquer lorsque ce dossier existe. Il est beaucoup plus fragile lorsque l’opposition confirmée n’a pas été traduite dans l’outil d’envoi.

B. Le classement par la CNIL ne vaut ni sanction ni extinction du droit

La personne qui réside en France, y travaille, ou situe en France le lieu de la violation alléguée, peut introduire une réclamation auprès de la CNIL, en particulier dans ces hypothèses, conformément à l’article 77. L’autorité informe l’auteur de l’état d’avancement et de l’issue, y compris de la possibilité d’un recours juridictionnel. En droit interne, l’article 8, I, 2°, d), de la loi du 6 janvier 1978, dans le texte applicable au 24 septembre 2026, prévoit qu’elle « traite les réclamations, pétitions et plaintes », « examine ou enquête sur l’objet de la réclamation, dans la mesure nécessaire », et « informe l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable ». Le délai raisonnable n’est pas un nombre de jours fixé par ce texte. Une coordination avec une autre autorité peut le justifier. Il ne faut donc pas convertir ce délai en une date certaine, ni conclure qu’un retard, à lui seul, annule la décision finale.

Les suites possibles ne se réduisent pas à une amende. L’article 20 de la même loi, en vigueur depuis le 17 février 2024, permet au président de la CNIL d’avertir un responsable lorsque des opérations envisagées sont susceptibles de violer le règlement ou la loi. Lorsque le manquement est constaté, il « peut le rappeler à ses obligations légales ou, si le manquement constaté est susceptible de faire l’objet d’une mise en conformité, prononcer à son égard une mise en demeure ». Cette mise en demeure peut viser la satisfaction des demandes de la personne. Le président peut aussi, le cas échéant après ces mesures, saisir la formation restreinte en vue d’une injonction de mise en conformité ou de satisfaction des droits, et de sanctions. Le choix entre rappel, mise en demeure et saisine de la formation restreinte n’est pas automatique.

Le Conseil d’État a précisé la portée de ce choix dans une décision du 25 juillet 2025, n° 497392, non publiée au Recueil Lebon, disponible sur Légifrance. Les faits méritent d’être repris tels que le juge les a constatés, sans les généraliser au-delà. Le 25 juillet 2022, une personne avait exercé son droit d’opposition auprès de la société Décathlon. La prise en compte avait été confirmée le 26 juillet 2022. Le 4 janvier 2023, elle a saisi la CNIL : un courriel de prospection lui avait été adressé alors qu’elle avait demandé à ne plus en être destinataire, et le message ne permettait pas de se désinscrire. Le 2 juillet 2024, la CNIL l’a informée qu’elle avait rappelé la réglementation à la société. Celle-ci avait répondu que l’envoi résultait d’une erreur technique, que l’opposition du 25 juillet 2022 avait bien été enregistrée, et que les liens de désinscription figuraient désormais dans les courriels. La plainte a été close. La personne demandait l’annulation de cette clôture et une injonction de sanctionner.

Le Conseil d’État, dans sa décision du 25 juillet 2025, n° 497392, a rejeté la requête. Il rappelle d’abord que la CNIL, saisie d’une plainte tendant à la mise en œuvre de ses pouvoirs, examine les faits et décide des suites. « elle dispose, en principe, d’un large pouvoir d’appréciation », et peut tenir compte de la gravité des manquements allégués, du sérieux des indices, de la date des faits, du contexte, et des intérêts généraux dont elle a la charge. Dans cette affaire, elle a estimé que le manquement résultait d’un dysfonctionnement involontaire. Le juge relève que la même société avait fait l’objet d’autres réclamations en 2023, et que le requérant soutenait avoir ultérieurement reçu un courriel non sollicité. Il juge néanmoins que, dans les circonstances de l’espèce, la CNIL n’a pas commis d’erreur d’appréciation en adressant un rappel, sans saisir la formation restreinte, puis en clôturant. Le délai de traitement de la plainte est sans incidence sur la légalité de la décision attaquée. L’absence de communication spontanée des échanges avec le responsable est également sans incidence sur cette légalité. Le dispositif est net : « La requête de M. A… est rejetée. »

Cette décision ne dit pas que toute poursuite d’envois après opposition doit être classée. Elle dit que, lorsque l’opposition a été enregistrée, que l’envoi critiqué est expliqué comme une erreur technique, et que le dispositif de désinscription a été corrigé, le choix d’un rappel plutôt que d’une sanction peut ne pas être entaché d’erreur d’appréciation, même si d’autres réclamations existent et même si la personne allègue un courriel ultérieur. Une opposition jamais enregistrée, des envois répétés après confirmation, ou un refus de cesser la prospection, placent le dossier dans une autre configuration factuelle. Le large pouvoir d’appréciation porte sur le choix de la mesure de police administrative. Il ne transforme pas un manquement continu en situation régulière.

Le même arrêt trace une seconde limite, plus utile encore à la personne dont le droit n’est pas satisfait. L’auteur de la plainte peut déférer au juge de l’excès de pouvoir le refus du président de la CNIL d’engager une procédure sur le fondement de l’article 20, y compris le refus de saisir la formation restreinte. Le juge censure alors une illégalité externe ou, sur le fond, une erreur de fait, une erreur de droit, une erreur manifeste d’appréciation ou un détournement de pouvoir. En revanche, une fois la formation restreinte saisie, l’auteur de la plainte n’a pas intérêt à contester la décision prise à l’issue de cette procédure, quel qu’en soit le dispositif, s’il se plaint seulement de l’absence ou de l’insuffisance de la sanction.

Il en va autrement lorsque la plainte porte sur la méconnaissance des droits de la personne, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978. Le Conseil d’État, toujours dans la décision n° 497392, juge que la personne, si elle ne peut contester l’absence ou l’insuffisance de sanction une fois la formation restreinte saisie, « est toujours recevable à demander l’annulation du refus du président de la CNIL de mettre en demeure le responsable de traitement de satisfaire à la demande dont il a été saisi par cette personne ou du refus de la formation restreinte de lui enjoindre d’y procéder ». Et « Le pouvoir d’appréciation de la CNIL s’exerce alors, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir ».

La distinction est opératoire. On ne saisit pas le Conseil d’État pour obtenir, à la place de la CNIL, une amende que la formation restreinte n’a pas prononcée, ou pour lui reprocher d’avoir rappelé plutôt que sanctionné, si le droit individuel a été satisfait. On peut en revanche contester le refus de mettre en demeure le responsable de faire cesser le traitement objet de l’opposition, ou le refus de la formation restreinte d’enjoindre cette satisfaction. Dans ce second cadre, le contrôle n’est pas limité à l’erreur manifeste. Il est entier. Le recours contre la CNIL ne se confond pas avec l’action contre l’organisme. Il vise la légalité de la décision administrative. Il n’alloue pas, par lui-même, des dommages et intérêts à la personne. Les délais et la suite d’une plainte déjà déposée sont détaillés dans l’article sur la plainte CNIL, son instruction et le recours devant le juge.

Reste l’action directe contre le responsable ou le sous-traitant. L’article 79, paragraphe 1, reconnaît un recours juridictionnel effectif si la personne considère que les droits que lui confère le règlement ont été violés du fait d’un traitement. Le paragraphe 2 permet d’agir devant les juridictions de l’État membre dans lequel le responsable ou le sous-traitant a un établissement. L’action peut aussi être portée devant les juridictions de l’État membre de la résidence habituelle de la personne, sauf si le défendeur est une autorité publique d’un État membre agissant dans l’exercice de prérogatives de puissance publique. Cette règle de for ne désigne pas, à elle seule, le tribunal français compétent selon la nature du litige. Un conflit né du contrat de travail se juge dans l’ordre prud’homal, comme le montre l’arrêt commenté ci-dessous. Une opposition d’un client à une prospection n’y relève pas du seul fait que des données sont en cause. Il faut qualifier les parties et la demande, sans présumer qu’un seul tribunal, à Paris ou ailleurs, reçoit toutes ces actions.

L’article 82, paragraphe 1, ouvre la réparation du dommage matériel ou moral subi du fait d’une violation du règlement, à la charge du responsable ou du sous-traitant dans les conditions des paragraphes suivants. Le responsable ayant participé au traitement répond du dommage causé par un traitement qui viole le règlement. Le sous-traitant n’en répond que s’il n’a pas respecté les obligations qui lui incombent spécifiquement, ou s’il a agi en dehors des instructions licites du responsable ou contrairement à elles. Celui qui prouve que le fait générateur ne lui est nullement imputable est exonéré. Lorsque plusieurs acteurs sont responsables, chacun peut être tenu pour le tout envers la personne, puis exercer un recours contre les autres pour leur part. Ces règles ne créent pas une condamnation automatique du prestataire d’envoi. Elles obligent à identifier qui a décidé la campagne, qui a ignoré l’opposition, et qui a passé outre une instruction.

La Cour de cassation a fixé, le 24 juin 2026, la condition de préjudice que cette action suppose. L’arrêt n° 571 FS-B, pourvoi n° 24-22.792, publié au Bulletin, est un litige de travail, non une affaire de prospection. Un salarié de la société Natixis contestait son licenciement et avait obtenu, devant la cour d’appel de Paris, 5 000 euros pour exécution déloyale du contrat, au motif que des preuves l’identifiant avaient été obtenues par un traitement contraire au règlement et que ce non-respect lui avait nécessairement causé un préjudice. La chambre sociale a cassé ce chef. Elle vise l’article 82, paragraphe 1, aux termes duquel « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Elle rappelle que la Cour de justice, le 4 mai 2023, dans l’affaire C-300/21, a dit que la simple violation des dispositions du règlement ne suffit pas à conférer un droit à réparation, qu’une règle nationale ne peut subordonner la réparation d’un dommage moral à un certain degré de gravité, et que les règles internes sur l’étendue de la réparation pécuniaire s’appliquent dans le respect de l’équivalence et de l’effectivité. Elle rappelle aussi, par renvoi à l’arrêt du 25 janvier 2024, C-687/21, que la réparation a une fonction compensatoire et non punitive, et que la personne doit établir la violation et le dommage que cette violation lui a causé.

Le motif de cassation est à citer tel quel, parce qu’il interdit une formule encore répandue. La cour d’appel avait retenu que le non-respect du règlement « a nécessairement causé un préjudice ». La Cour de cassation, dans l’arrêt du 24 juin 2026, juge qu’en statuant ainsi, « alors que la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation », et alors qu’il lui appartenait d’apprécier si le salarié établissait un dommage matériel ou moral causé par la violation constatée, la cour d’appel a violé l’article 82. Le pourvoi du salarié sur d’autres moyens a été rejeté. La somme de 5 000 euros ne peut donc pas être présentée comme un barème. Elle a été annulée précisément parce qu’elle reposait sur un préjudice présumé.

Transposée à l’opposition ignorée, la leçon est double, et elle ne doit pas être durcie au-delà du texte. D’une part, continuer à prospecter après une opposition, ou refuser une opposition à un traitement d’intérêt légitime sans démontrer de motifs impérieux, peut constituer une violation. Cette violation ne dispense pas la personne de montrer un dommage matériel ou moral que la violation a causé. Le temps passé, la répétition des sollicitations, l’atteinte à la tranquillité, une conséquence financière identifiable, sont des faits que l’on peut soumettre au juge. Ils ne valent pas preuve tant qu’ils ne sont pas établis, et le juge apprécie le lien avec la violation. D’autre part, le dommage moral n’a pas à atteindre un seuil de gravité pour être réparable. L’absence de seuil ne signifie pas que le dommage est acquis. Elle signifie qu’un préjudice moral démontré ne peut pas être écarté au seul motif qu’il serait léger. La réparation compense ce préjudice. Elle ne punit pas l’organisme, et elle ne double pas l’amende administrative que la CNIL n’a d’ailleurs pas à prononcer dans chaque dossier.

Le classement après rappel, dans l’affaire Décathlon, ne tranche pas cette action civile. L’article 79 est sans préjudice de la réclamation à l’autorité. Une clôture légale de la plainte administrative constate, dans le cadre du pouvoir de la CNIL, que la suite choisie n’était pas illégale. Elle ne juge pas le préjudice d’une personne devant le juge judiciaire, et elle ne constate pas que toute sollicitation ultérieure serait licite. Inversement, une plainte encore ouverte n’augmente pas, par son seul dépôt, le montant d’une réparation. Les deux voies se documentent ensemble : l’opposition, la réponse ou le silence, les messages postérieurs, la décision de la CNIL, et les éléments concrets du dommage.

Conclusion

L’opposition n’est efficace que si l’on identifie d’abord la finalité et la base revendiquée. La prospection, y compris le profilage qui la sert, doit cesser lorsque la personne s’y oppose. Le consentement préalable exigé pour certains messages électroniques par l’article L. 34-5 est une règle d’amont. Il ne remplace pas l’arrêt après opposition, et l’exception des produits analogues s’éteint avec elle. Hors prospection, l’article 21, paragraphe 1, et l’article 56 de la loi du 6 janvier 1978 réservent l’opposition aux traitements fondés sur l’intérêt légitime ou sur une mission d’intérêt public, pour des raisons tenant à la situation particulière, sauf motifs légitimes et impérieux démontrés par le responsable, défense d’un litige, ou exclusion légale expresse. L’obligation légale n’est pas contournée par une opposition.

La demande se date, se conserve, et doit recevoir une suite dans le mois, sous réserve d’une prolongation motivée et annoncée. Le silence, le refus sans démonstration, ou la poursuite des envois après confirmation ouvrent la réclamation à la CNIL et l’action devant le juge, sans que l’une conditionne l’autre. La CNIL peut légalement rappeler et classer, comme le Conseil d’État l’a admis le 25 juillet 2025 lorsque l’opposition avait été enregistrée et le dispositif corrigé. Ce classement ne permet pas d’exiger une amende à sa place. Il laisse ouverte, sous l’entier contrôle du juge de l’excès de pouvoir, la contestation d’un refus de mettre en demeure le responsable de satisfaire le droit. Il laisse aussi ouverte l’action en réparation, à condition d’établir, conformément à l’arrêt publié de la Cour de cassation du 24 juin 2026, que la violation a causé un dommage matériel ou moral. Aucun montant ne s’en déduit.

Besoin d’un avis rapide sur votre dossier.

Un avis sur votre dossier en numérique et données personnelles peut être demandé à Maître Reda KOHEN, avocat au Barreau de Paris. La consultation téléphonique est facturée 80 EUR TTC. Le cabinet examine la base légale revendiquée, la preuve de l’opposition et la décision de la CNIL, sans pouvoir annoncer à l’avance ni l’issue ni un délai de réponse.

Téléphone : 06 46 60 58 22

Page de contact : formulaire de contact du cabinet