Votre adresse électronique reçoit chaque semaine des offres que vous n’avez jamais demandées. Vous avez cliqué sur le lien de désinscription, parfois plusieurs fois, et les messages continuent d’arriver. Cette situation n’est pas une fatalité du courrier électronique : le droit français et le droit européen posent une interdiction de principe de la prospection par email sans consentement préalable, assortie d’exceptions étroites, et ouvrent trois voies d’action à la personne spammée, la mise en demeure de l’expéditeur, la plainte devant la CNIL et l’action en réparation devant le juge. Encore faut-il identifier correctement le traitement en cause, les parties et leurs rôles, ainsi que l’éventuel contrat qui les lie, car c’est de cette qualification que dépend le fondement applicable.

Le traitement à qualifier est l’utilisation de vos coordonnées électroniques à des fins de prospection directe, c’est-à-dire l’envoi de messages destinés à promouvoir des biens, des services ou l’image d’un professionnel. Le responsable de ce traitement est la personne physique ou morale qui détermine pourquoi et comment vos données sont utilisées pour vous démarcher : le plus souvent l’annonceur lui-même, parfois un prestataire d’emailing qui agit alors comme sous-traitant, parfois un « partenaire » qui a racheté ou reçu votre adresse auprès d’un primo-collectant. Le contrat en cause, lorsqu’il existe, est la vente ou la prestation de services à l’occasion de laquelle vos coordonnées ont été recueillies : c’est lui qui conditionne la seule exception vraiment courante à l’interdiction. Sans vente préalable, sans consentement identifiable et sans lien de désinscription qui fonctionne, l’envoi est en principe illicite.

I. Des emails commerciaux sans votre accord préalable sont en principe interdits

A. L’interdiction du démarchage par email sans consentement

L’article L. 34-5 du code des postes et des communications électroniques, en vigueur dans sa rédaction applicable, dispose :

« Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. » (Article L. 34-5 du code des postes et des communications électroniques)

Le texte définit lui-même le consentement comme « toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe » (Article L. 34-5 du code des postes et des communications électroniques). Cette exigence rejoint le droit européen : l’article 13, paragraphe 1, de la directive 2002/58/CE du 12 juillet 2002 prévoit que l’utilisation « de courrier électronique à des fins de prospection directe ne peut être autorisée que si elle vise des abonnés ayant donné leur consentement préalable ». La CNIL, dans sa page officielle mise à jour le 10 juin 2026, en tire la conséquence pratique pour les particuliers : la publicité par voie électronique n’est possible que si les personnes ont donné leur consentement avant d’être démarchées, et ce consentement doit résulter d’une action positive et spécifique de la personne, par exemple une case à cocher dédiée qui ne soit pas pré-cochée, l’acceptation globale des conditions générales d’utilisation ne suffisant pas (La prospection commerciale par courrier électronique, SMS-MMS et automate d’appel).

Deux obligations d’identification complètent le dispositif. D’une part, le même article L. 34-5 dispose : « Il est également interdit de dissimuler l’identité de la personne pour le compte de laquelle la communication est émise et de mentionner un objet sans rapport avec la prestation ou le service proposé » (Article L. 34-5 du code des postes et des communications électroniques). Un email commercial qui masque son véritable expéditeur ou affiche un objet trompeur viole donc le texte indépendamment de la question du consentement. D’autre part, l’expéditeur doit indiquer des coordonnées valables permettant de demander l’arrêt des communications, et ce sans frais autres que ceux de la transmission de la demande. Un lien de désinscription qui n’existe pas, qui renvoie vers une erreur ou qui ne produit aucun effet place l’expéditeur en manquement caractérisé.

Côté données personnelles, le fondement du traitement doit exister au sens de l’article 6 du règlement (UE) 2016/679 du 27 avril 2016 (RGPD) : soit votre consentement, soit, dans les cas limites, l’intérêt légitime, jamais le vide juridique. Et lorsque le traitement repose sur le consentement, l’article 7 du même règlement fait peser la preuve sur le professionnel : « le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant » (Règlement (UE) 2016/679 du 27 avril 2016 (RGPD)). La CNIL distingue les particuliers et les professionnels : pour les premiers, le consentement préalable est la règle ; pour les seconds, prospectés sur leur adresse professionnelle dans le respect de leur objet social, c’est le droit d’opposition qui joue, avec une information claire dès la collecte. Cette tolérance relative ne couvre ni les adresses personnelles utilisées au travail ni les démarchages sans rapport avec la fonction exercée. Si vous recevez des offres sans lien avec votre activité sur votre messagerie professionnelle, ou sur votre adresse personnelle au motif affiché d’un « B2B », l’expéditeur sort du cadre toléré et retombe sous l’interdiction de principe. La même page officielle rappelle que le consentement, au sens de l’article L. 34-5 (Article L. 34-5 du code des postes et des communications électroniques), s’apprécie strictement par les juges : une case pré-cochée, un accord noyé dans des conditions générales ou une simple poursuite de navigation ne valent pas acceptation.

Concrètement, face à votre contestation, c’est à l’expéditeur de produire la trace de votre accord, sa date, son périmètre et sa formulation, pas à vous de prouver que vous n’avez jamais accepté.

B. Les deux seules échappatoires admises, interprétées strictement

Le premier cas autorisé est celui du client déjà connu : la prospection par email reste possible « à l’occasion d’une vente ou d’une prestation de services » lorsque les coordonnées ont été recueillies auprès du destinataire lui-même, que la prospection porte sur « des produits ou services analogues fournis par la même personne physique ou morale » et que le destinataire s’est vu offrir « la possibilité de s’opposer, sans frais, hormis ceux liés à la transmission du refus, et de manière simple », au moment de la collecte puis à chaque envoi (Article L. 34-5 du code des postes et des communications électroniques). Chacune de ces conditions est cumulative. Un achat unique il y a plusieurs années ne dispense pas l’expéditeur de respecter les deux autres, et surtout le droit d’opposition doit rester effectif : un lien de désinscription inopérant fait tomber l’exception.

La CNIL a verrouillé une fausse piste fréquente : la simple création d’un compte en ligne ne vaut pas vente. Elle rappelle que l’exception client ne trouve pas à s’appliquer en l’absence de toute vente ou prestation effectuée, y compris après la simple création d’un compte en ligne, laquelle ne permet pas de présumer une commande à venir. Si vous n’avez fait qu’ouvrir un compte, télécharger un livre blanc ou participer à un jeu-concours sans acheter, l’expéditeur doit détenir votre consentement spécifique, faute de quoi ses emails sont illicites.

Le second cas, marginal pour les offres marchandes, concerne la prospection non commerciale, par exemple caritative, qui peut reposer sur l’intérêt légitime à condition d’informer la personne et de lui offrir une opposition simple et gratuite dès la collecte puis à chaque message. En pratique, pour les emails qui vantent des produits ou des services, ce second cas ne s’applique quasiment jamais.

Reste la question des adresses transmises à des « partenaires ». Lorsqu’un site recueille votre accord pour que vos données servent à la prospection de ses partenaires, chaque partenaire qui vous démarche devient responsable de son propre traitement. C’est précisément le point que le Conseil d’État a choisi de soumettre à la Cour de justice de l’Union européenne : par sa décision du 5 mai 2025 (n° 490202, société Groupe Canal +, sur recours contre la délibération CNIL n° SAN-2023-015 du 12 octobre 2023 portant amende de 600 000 euros), il a sursis à statuer et posé deux questions préjudicielles, notamment celle de savoir si le consentement donné à un primo-collectant pour une catégorie de destinataires désignés comme les « partenaires » peut valoir consentement éclairé permettant à chacun d’eux de prospecter sans recueillir un nouveau consentement (Conseil d’État, 10e-9e ch. réunies, 5 mai 2025, n° 490202). Tant que la Cour ne s’est pas prononcée, la prudence commande de considérer qu’un email d’un partenaire dont vous n’avez jamais entendu parler repose sur un fondement fragile, et votre contestation n’en est que plus solide.

Pour démêler ces situations, partez toujours du message lui-même : l’identité affichée dans le champ expéditeur, le nom de domaine d’envoi, le pied de page commercial et les mentions légales désignent le plus souvent le responsable du traitement, tandis que le texte du formulaire d’origine, que vous pouvez réclamer, révèle si votre adresse a été collectée directement ou achetée à un courtier en données. Lorsque plusieurs sociétés se renvoient la responsabilité, mettez-les en demeure conjointement et laissez au juge le soin de trancher les rôles : l’article 82 du RGPD organise une responsabilité solidaire qui garantit votre réparation effective même si le partage interne des fautes reste discuté entre professionnels.

II. Faire cesser les envois, faire sanctionner, se faire indemniser

A. Exiger l’arrêt, prouver, saisir la CNIL

Parallèlement à la CNIL, la répression économique est compétente : le même article L. 34-5 prévoit que les manquements « sont recherchés et constatés » par les agents de la concurrence et de la consommation et « sanctionnés par une amende administrative, prononcée par l’autorité administrative chargée de la concurrence et de la consommation », « dont le montant ne peut excéder 75 000 € pour une personne physique et 375 000 € pour une personne morale ». Le dispositif de signalement Signal Spam, relayé par le service public, permet de faire remonter les messages litigieux vers les autorités, DGCCRF comprise, et nourrit les enquêtes qui aboutissent à ces sanctions. Conservez donc aussi les messages avec leurs en-têtes techniques complets : adresse IP d’envoi, identifiant de campagne, liens de désinscription. Ces métadonnées permettent aux enquêteurs de remonter jusqu’au véritable donneur d’ordre lorsque l’expéditeur apparent n’est qu’un routeur prestataire.

La première démarche consiste à exercer vos droits directement auprès de l’expéditeur, par écrit et de manière traçable. Le RGPD vous donne deux leviers. D’abord le droit d’opposition : l’article 21, paragraphe 2, énonce que « la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection », et le paragraphe 3 ajoute que « Lorsque la personne concernée s’oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins » (lire l’article 21 du règlement (UE) 2016/679 du 27 avril 2016 (RGPD)). En matière de prospection, l’opposition n’a pas à être motivée et ne peut pas être refusée au motif d’un intérêt légitime supérieur : l’arrêt s’impose. Ensuite le droit à l’effacement : l’article 17 ouvre l’effacement notamment lorsque « la personne concernée retire le consentement sur lequel est fondé le traitement […] et il n’existe pas d’autre fondement juridique au traitement » ou lorsque les données « ont fait l’objet d’un traitement illicite » (Règlement (UE) 2016/679 du 27 avril 2016 (RGPD)).

Envoyez donc une demande datée, conservez-en la preuve ainsi que celle de sa réception, exigez la confirmation de la désinscription et de la suppression de votre adresse des listes de diffusion, et fixez un délai raisonnable, classiquement un mois, qui correspond au délai de réponse de droit commun aux demandes d’exercice des droits. Photographiez ou archivez les emails reçus après votre demande, avec leurs en-têtes complets : ce sont eux qui établiront la persistance du manquement. Si l’expéditeur est un partenaire inconnu, demandez-lui également l’origine de vos données et la copie du consentement qu’il invoque.

En cas d’échec ou d’absence de réponse, la plainte devant la CNIL est l’étape suivante. L’article L. 34-5 confie expressément à la CNIL le contrôle de la prospection directe par voie électronique et l’autorise à « recevoir, par tous moyens, les plaintes relatives aux manquements » à cet article (Article L. 34-5 du code des postes et des communications électroniques). Joignez à votre plainte en ligne les messages litigieux, la preuve de votre opposition et de sa date, et la démonstration que les envois ont continué. La CNIL peut rappeler l’organisme à ses obligations, le mettre en demeure ou saisir sa formation restreinte en vue d’une sanction. Les montants prononcés ces dernières années montrent que le sujet est pris au sérieux : 600 000 euros contre Groupe Canal + en octobre 2023, et 50 millions d’euros contre Orange par délibération n° SAN-2024-019 du 14 novembre 2024, assortie d’une injonction sous astreinte, sanction dont le contentieux a conduit le Conseil d’État, le 17 avril 2026, à renvoyer au Conseil constitutionnel une question prioritaire de constitutionnalité portant sur l’article L. 34-5 (Conseil d’État, 10e-9e ch. réunies, 17 avril 2026, n° 501268). Ce renvoi ne suspend pas vos droits : il porte sur la conformité du texte aux principes de nécessité des peines et d’égalité, pas sur l’interdiction elle-même.

Deux décisions récentes du Conseil d’État éclairent ce qu’il faut attendre de la CNIL. Le 25 juillet 2025 (n° 497392), saisi par un particulier qui contestait la clôture de sa plainte contre la société Décathlon après un email de prospection envoyé malgré son opposition, le Conseil d’État a rejeté le recours : la CNIL avait rappelé la société à ses obligations et estimé que le manquement « résultait d’un dysfonctionnement involontaire des services de la société », sans commettre d’erreur d’appréciation en clôturant sans saisir la formation restreinte (Conseil d’État, 10e ch., 25 juillet 2025, n° 497392). Le 26 décembre 2025 (n° 491454), dans une affaire de liens traçants contenus dans un email de prospection, il a jugé de même qu’un rappel aux obligations pouvait constituer la mesure correctrice appropriée et rejeté le recours contre la clôture (Conseil d’État, 10e ch., 26 décembre 2025, n° 491454). La leçon est double : la CNIL dispose d’un pouvoir d’appréciation sur la suite à donner, exercé sous le contrôle du juge, et la clôture après rappel n’est pas une anomalie. Pour le plaignant, cela signifie qu’il faut documenter la gravité et la répétition, signaler tout nouvel envoi postérieur à la plainte, et ne pas faire dépendre toute sa stratégie de la sanction administrative.

B. Obtenir réparation du préjudice devant le juge

Indépendamment de la plainte, vous pouvez agir contre l’expéditeur pour faire cesser les envois sous astreinte et obtenir des dommages et intérêts. Le fondement européen est l’article 82 du RGPD : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » (Règlement (UE) 2016/679 du 27 avril 2016 (RGPD)) La Cour de justice a précisé le régime de ce droit dans son arrêt du 4 mai 2023 (affaire C-300/21, Österreichische Post) : d’un côté, la simple violation du règlement ne suffit pas, à elle seule, à ouvrir droit à réparation, de sorte qu’il faut démontrer un dommage réel, fût-il moral ; de l’autre, le droit européen s’oppose à une règle ou pratique nationale qui subordonnerait la réparation du dommage moral à un seuil minimal de gravité du préjudice subi (CJUE, 3e ch., 4 mai 2023, affaire C-300/21, Österreichische Post). Autrement dit, pas d’indemnisation automatique du seul fait de l’envoi illicite, mais pas non plus de seuil de gravité qui interdirait au juge de réparer un préjudice moral même modeste, dès lors qu’il est établi.

Le tribunal compétent ne vous oblige pas à plaider au siège de l’expéditeur : l’article 79, paragraphe 2, du RGPD dispose que « Toute action contre un responsable du traitement ou un sous-traitant est intentée devant les juridictions de l’État membre dans lequel le responsable du traitement ou le sous-traitant dispose d’un établissement » et qu’« Une telle action peut aussi être intentée devant les juridictions de l’État membre dans lequel la personne concernée a sa résidence habituelle » (Règlement (UE) 2016/679, texte consolidé ; article L. 34-5 du code des postes et des communications électroniques). Résidant en France, vous pouvez donc saisir le tribunal judiciaire de votre domicile, ce qui rend l’action réellement accessible sans vous déplacer. Ce recours juridictionnel est ouvert « sans préjudice de tout recours administratif », y compris la réclamation devant l’autorité de contrôle au titre de l’article 77 : plainte CNIL et action en justice peuvent avancer en parallèle, et le constat dressé par l’une nourrit l’autre.

En pratique, le préjudice se prouve par le dossier que vous aurez constitué : nombre et fréquence des messages, persistance après opposition, temps passé à se désinscrire et à réclamer, exposition à des contenus non désirés, voire crainte liée à l’utilisation de vos données par des tiers inconnus. Le juge apprécie souverainement le montant, en fonction des pièces produites. Assignez le bon défendeur : l’annonceur responsable du traitement, et le cas échéant son prestataire d’envoi en qualité de sous-traitant, solidairement tenus à réparation effective en cas de responsabilité conjointe. Demandez au tribunal, outre les dommages et intérêts, une injonction de cessation sous astreinte et la suppression de vos données des fichiers de prospection : ces mesures ont souvent plus de valeur que l’indemnité elle-même.

Le contentieux actuel renforce cette stratégie. D’un côté, les sanctions administratives rappellent aux professionnels que la prospection sauvage coûte cher, ce qui facilite les règlements amiables dès la mise en demeure bien documentée. De l’autre, les questions encore pendantes, les interrogations préjudicielles sur le consentement donné aux « partenaires » et la QPC sur l’article L. 34-5, n’empêchent ni l’action en cessation ni l’action indemnitaire, qui reposent sur des fondements distincts et autonomes. Pour les SMS non sollicités, qui obéissent à la même logique avec des canaux de signalement propres, notre analyse dédiée complète utilement ce panorama (SMS commerciaux non sollicités : exiger le STOP, signaler au 33700, saisir la CNIL et obtenir réparation).

Un dernier point de méthode conditionne le succès : la chronologie. Chaque email reçu après votre opposition constitue un manquement distinct qui aggrave le dossier, allonge la période de violation et nourrit à la fois la plainte et la demande indemnitaire. Notez systématiquement les dates d’envoi, les dates de vos demandes et celles des réponses éventuelles de l’expéditeur. Un tableau simple, joint à la mise en demeure puis à la plainte, rend la persistance visible d’un coup d’œil et prive l’organisme de l’argument du dysfonctionnement isolé ou déjà corrigé.

En résumé, face à des emails commerciaux qui persistent après votre désinscription, alors même que vous avez retiré votre consentement ou exercé votre opposition : identifiez l’expéditeur et son rôle, opposez-vous par écrit et conservez les preuves, exigez l’effacement, saisissez la CNIL en documentant la répétition, et faites chiffrer votre préjudice pour l’action en réparation. Chaque étape alimente la suivante, et c’est la rigueur du dossier qui fait la différence entre un spam subi et un spam sanctionné.