Votre téléphone affiche un SMS signé d’un candidat que vous n’avez jamais contacté, parfois suivi d’appels ou de courriels venus d’une équipe de campagne dont vous ignorez tout. D’où vient votre numéro, sur quel fondement ce message a-t-il été envoyé, et comment faire cesser ces sollicitations avant le prochain scrutin : ces trois questions relèvent du droit des données personnelles, et les réponses sont désormais documentées par l’autorité compétente elle-même.
En décembre 2025, la Commission nationale de l’informatique et des libertés a annoncé cinq sanctions en procédure simplifiée contre des candidats aux élections européennes et législatives de 2024, pour un total de 23 500 euros d’amendes, pour des messages de prospection politique envoyés sans respecter les règles de protection des données (sanctions CNIL contre cinq candidats). Un mois plus tôt, la même autorité avait publié un guide de la communication politique adossé aux élections municipales de 2026, qui fixe le cadre applicable à ces envois (guide CNIL communication politique). Le citoyen démarché dispose donc de repères récents et écrits : base légale exigible du candidat, information due dès le premier message, droit d’opposition et d’effacement, plainte devant la CNIL et action en réparation devant le juge.
Cet article expose d’abord à quelles conditions le message politique est licite, puis comment couper les envois, constituer la preuve et obtenir réparation quand ces conditions ne sont pas réunies.
I. À quelles conditions un candidat peut-il vous envoyer des messages politiques
A. Consentement ou intérêt légitime : les deux seules bases admises pour la prospection politique
La première clarification tient au régime applicable. La prospection commerciale par voie électronique obéit à une interdiction de principe posée par le code des postes et des communications électroniques : « Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen » (article L34-5 du code des postes et des communications électroniques). Mais ce texte vise la promotion de biens, de services ou de l’image d’une personne qui vend ou fournit de tels biens et services. Le message d’un candidat qui sollicite un vote ne promeut ni un bien ni un service marchand. Le régime du consentement préalable propre à la prospection commerciale ne s’applique donc pas mécaniquement aux SMS politiques, et c’est le règlement général sur la protection des données qui fournit le cadre, éclairé par la doctrine de la CNIL. Les définitions des communications électroniques et des systèmes automatisés figurent dans le même code et servent à distinguer l’envoi automatisé, visé par l’interdiction commerciale, de l’appel manuel. Le droit électoral encadre par ailleurs les moyens de campagne : pendant les six mois qui précèdent le mois de l’élection, l’utilisation à des fins de propagande électorale de tout procédé de publicité commerciale par la voie de la presse ou par tout moyen de communication audiovisuelle est interdite.
Sur ce terrain, le guide de la Commission retient deux bases légales possibles pour la prospection politique hors ciblage publicitaire en ligne : le consentement des personnes ou l’intérêt légitime de l’organisme (guide CNIL, base légale). En pratique, la Commission recommande de recueillir le consentement, par exemple au moyen d’une case par laquelle l’électeur accepte de recevoir les informations du parti ou du candidat. Cette recommandation vaut a fortiori pour la prospection téléphonique, intrusive par nature, que la Commission recommande de fonder dès à présent sur le consentement.
À défaut de consentement valable, c’est-à-dire libre, spécifique, éclairé et univoque, le candidat ne peut invoquer son intérêt légitime qu’en réunissant plusieurs conditions cumulatives : démontrer la nécessité du traitement en vérifiant qu’il n’existe pas de moyen moins intrusif d’atteindre l’objectif poursuivi, définir de façon claire et précise un intérêt réel et présent, et s’assurer que le traitement ne heurte pas les droits et intérêts des destinataires compte tenu de leurs attentes raisonnables. La question déterminante devient alors concrète : le destinataire pouvait-il s’attendre à recevoir ce message. Un adhérent qui a communiqué son numéro au parti, un électeur qui a demandé à être informé des réunions publiques, un habitant qui a signé une pétition locale en laissant ses coordonnées : ces situations nourrissent des attentes raisonnables. À l’inverse, un numéro acheté dans une base commerciale sans information sur une réutilisation politique, un contact transmis par un tiers sans votre accord, ou des coordonnées aspirées sur les réseaux sociaux par moissonnage automatisé ne créent aucune attente de ce type. Sur ce dernier point, la Commission écarte nettement la collecte automatisée sur les réseaux sociaux, parce que les conditions d’utilisation des plateformes interdisent ou restreignent le plus souvent cette aspiration et qu’une telle collecte heurte les attentes raisonnables des utilisateurs.
Le contentieux récent illustre l’exigence de preuve qui pèse sur l’expéditeur. Dans les sanctions de décembre 2025, la CNIL a rappelé que le candidat qui confie l’envoi à une société spécialisée reste responsable du traitement et doit démontrer sa conformité, soit en prouvant le consentement des destinataires, soit en justifiant les conditions de l’intérêt légitime, notamment le fait que les destinataires pouvaient s’attendre à ces messages. Plusieurs candidats n’ont fourni ni l’un ni l’autre, en méconnaissance de l’article 5, paragraphe 2, du règlement européen, qui impose au responsable du traitement de démontrer le respect des principes de licéité, de loyauté et de transparence. Le recours à un prestataire d’envoi ne transfère donc aucune responsabilité : le candidat demeure le responsable du traitement et répond de la base légale devant l’autorité de contrôle comme devant le juge. Pour les fichiers achetés à des fins marchandes, le contraste avec le régime commercial mérite d’être marqué : la prospection par fichier de prospects acheté, la preuve du consentement et la gestion des oppositions obéit au consentement préalable, tandis que la réutilisation politique d’une telle base exige au minimum une information initiale sur cette réutilisation et, à défaut de consentement, un intérêt légitime solidement établi.
Un détour par la finalité s’impose enfin, car il fonde l’un des manquements les plus graves relevés par la Commission. L’un des candidats sanctionnés, professionnel de santé, avait réutilisé les numéros de ses patients, collectés pour l’organisation et le suivi des consultations, afin de leur adresser un SMS promouvant sa candidature. La CNIL a jugé cet usage incompatible avec la finalité de la collecte initiale, en violation de l’article 5, paragraphe 1, sous b, du règlement européen, qui impose une finalité déterminée, explicite et légitime et prohibe tout traitement ultérieur incompatible avec elle (article 5 du règlement européen, principes relatifs aux traitements). La leçon dépasse le cas du soignant candidat : toute réutilisation politique de données collectées dans un autre cadre – fichier clients d’un commerce, annuaire d’une association, base d’une précédente campagne – constitue un nouveau traitement qui doit satisfaire ses propres conditions de licéité, d’information et d’opposition.
B. Listes électorales, fichiers achetés et conservation : ce que le candidat peut utiliser et ce qu’il doit détruire
Le point de départ le plus fréquent des campagnes locales mérite un examen précis : les listes électorales. Le code électoral autorise leur communication dans des termes mesurés : « Tout candidat et tout parti ou groupement politique peuvent prendre communication et obtenir copie de l’ensemble des listes électorales des communes du département auprès de la préfecture, à la condition de s’engager à ne pas en faire un usage commercial » (article L37 du code électoral). L’usage politique est donc permis et l’usage commercial exclu par l’engagement souscrit. Ces listes sont extraites d’un répertoire électoral unique et permanent, tenu par l’Institut national de la statistique et des études économiques aux seules fins de gestion du processus électoral. Mais cette autorisation d’accès ne dispense d’aucune règle de protection des données : le candidat qui exploite ces listes devient responsable d’un traitement et doit informer les électeurs, respecter leurs droits et limiter la conservation. La Commission précise que l’information doit être délivrée au plus tard lors du premier message quand les données ont été recueillies auprès d’un tiers – listes électorales, société de revente de données ou fichier d’un parti – avec l’indication de la source des données, conformément aux articles 13 et 14 du règlement européen.
La réutilisation de données d’une élection à l’autre obéit à des conditions strictes que le guide détaille. Constitue un nouveau traitement la réutilisation, à l’occasion d’une nouvelle élection, de données déjà employées pour une élection déterminée. Trois conditions cumulatives encadrent alors l’opération : les personnes doivent avoir été averties, lors de la collecte initiale, de la possible réutilisation de leurs données à des fins de communication politique ; l’origine des données doit avoir été vérifiée, seuls les fichiers de clients ou de prospects pouvant être réutilisés, à l’exclusion des fichiers de gestion des ressources humaines, des fichiers de paie, des fichiers administratifs ou des annuaires internes ; aucun tri ne doit être opéré sur la consonance du nom ou le lieu de naissance dès lors qu’il révélerait l’origine ethnique. Ces garde-fous écartent les pratiques les plus courantes des campagnes improvisées : récupération du fichier du personnel de l’entreprise du candidat, exploitation de l’annuaire d’une collectivité, achat d’une base sans vérification de son origine ni de l’information initiale.
La nature des données collectées appelle une vigilance supplémentaire. Les listes d’adresses constituées pour une campagne révèlent, par leur objet même, les opinions politiques réelles ou supposées des personnes qui y figurent. Or ces opinions comptent parmi les données sensibles dont le traitement est en principe interdit. La sanction prononcée contre le candidat qui avait diffusé un courriel de prospection à plusieurs centaines de destinataires en copie visible, sans recourir à la copie carbone invisible, l’illustre : la Commission a relevé un manquement à la sécurité du traitement et ajouté que ces listes, révélant les opinions politiques réelles ou supposées des destinataires, constituent des données sensibles dont la divulgation est particulièrement grave. Un fichier militant ou une liste de diffusion de campagne ne sont donc pas des carnets d’adresses ordinaires : leur perte, leur divulgation ou leur réutilisation engagent une responsabilité aggravée par la sensibilité des informations.
La durée de conservation ferme le dispositif. Le principe posé par le guide tient en une phrase : les données de campagne doivent en principe être supprimées à l’issue du scrutin, le candidat devant s’assurer que cette suppression couvre aussi les bases conservées par son prestataire d’envoi. Seules les données des personnes qui ont accepté une utilisation à d’autres fins peuvent être conservées au-delà de la période électorale, et la Commission recommande de séparer les contacts réguliers des contacts occasionnels pour différencier les durées. Concrètement, un électeur qui reçoit encore, des mois après l’élection, des messages d’un candidat battu ou élu, alors qu’il n’a jamais consenti à un suivi durable, détient un grief de conservation excessive qui s’ajoute aux griefs de base légale et d’information. La collecte doit enfin rester minimale : si les données servent au démarchage téléphonique, collecter l’adresse postale est excessif, et les équipes de campagne doivent recevoir une liste de mentions interdites pour éviter la captation d’informations sur la santé, la religion ou l’orientation sexuelle des interlocuteurs.
II. Couper les messages, constituer la preuve et obtenir réparation
A. Opposition, accès, effacement : le mode d’emploi face au SMS non sollicité
Le premier réflexe consiste à utiliser le mécanisme d’opposition que le message doit comporter. La Commission a sanctionné deux candidats qui n’avaient prévu aucune procédure effective d’opposition, tel un dispositif d’arrêt par SMS ou un lien de désinscription. Répondez donc STOP ou cliquez le lien de désinscription, puis conservez la preuve de cette démarche et des messages qui suivraient malgré elle : captures d’écran datées, relevés de l’opérateur, enregistrement du lien cliqué. Un message qui persiste après une opposition exercée caractérise à la fois la poursuite d’un traitement sans base et l’ignorance d’un droit, deux manquements distincts devant la CNIL comme devant le juge.
Le fondement de ce droit est absolu en matière de prospection : chacun peut s’opposer à tout moment au traitement de ses données à des fins de prospection, y compris au profilage lié, sans avoir à motiver sa demande, et les données ne sont alors plus traitées à ces fins (article 21 du règlement européen, droit d’opposition). Contrairement à l’opposition générale, qui suppose des raisons tenant à la situation particulière de l’intéressé, l’opposition à la prospection n’exige aucune justification, et le citoyen peut de même retirer à tout moment son consentement sans justifier sa démarche.
L’accès et l’effacement complètent l’arsenal. Écrivez au candidat ou au parti – l’adresse de contact doit figurer dans le message ou sur le site de campagne – pour demander la source de vos données, la base légale invoquée, l’ensemble des informations détenues sur vous et la suppression de vos coordonnées. Quatre des cinq candidats sanctionnés en décembre 2025 avaient omis tout ou partie de l’information requise par les articles 13 et 14 du règlement, et l’un d’eux a été sanctionné pour n’avoir répondu ni à une demande d’accès sur l’origine de ses données et la base légale invoquée, ni à une demande d’effacement, ce qui lui a valu une injonction de répondre. Formulez votre demande par un canal qui laisse une trace – courriel ou lettre recommandée – et fixez un délai d’un mois, délai de droit commun de réponse que la Commission rappelle sur sa page dédiée aux droits des électeurs face à la prospection politique. En cas de contentieux prévisible, demandez aussi la limitation du traitement : ce droit de « gel » interdit au candidat toute nouvelle utilisation sans l’autoriser à effacer, ce qui préserve la preuve du fichier et des envois en vue d’une plainte.
La constitution du dossier conditionne l’issue des recours. Conservez le SMS avec l’identité de l’expéditeur, la date et l’heure, le numéro ou le nom d’émetteur, l’absence ou la présence d’un mécanisme STOP, l’absence ou la présence d’un lien d’information sur le traitement et sa source. Si le message renvoie vers un formulaire, capturez la page et ses mentions. Si vos données proviennent manifestement d’un autre contexte – vous êtes patient, client, salarié ou adhérent de l’expéditeur – rassemblez les pièces qui établissent ce lien antérieur, car l’incompatibilité de finalité constitue un grief autonome. Si le message révèle vos opinions supposées à des tiers – envoi groupé en copie visible, publication d’une liste de soutiens où figure votre nom sans votre accord – documentez la diffusion et son audience, car la sensibilité des données renforce le préjudice. Enfin, notez la persistance des envois après l’élection : des messages adressés des mois après le scrutin, sans consentement à un suivi durable, étayent le grief de conservation excessive. Si un message arrive la veille du scrutin à zéro heure ou le jour même, une interdiction supplémentaire s’applique : sont notamment interdits la diffusion par voie électronique de tout message ayant le caractère de propagande électorale et les appels téléphoniques en série aux électeurs.
B. Plainte devant la CNIL, juge et réparation : les voies de recours après les sanctions de 2025
La plainte devant la CNIL suit un préalable simple : exercez d’abord vos droits auprès du candidat ou du parti, puis saisissez la Commission si la réponse ne vient pas dans le délai d’un mois ou si elle est insatisfaisante, via le service des plaintes en ligne. Joignez l’ensemble du dossier constitué – messages, preuve de l’opposition, demande d’accès et d’effacement, absence de réponse – et exposez les manquements par référence aux textes : base légale indémontrée, finalité incompatible, information absente, opposition sans effet, conservation au-delà du scrutin. Les sanctions de décembre 2025 montrent que la Commission traite ces signalements et qu’elle contrôle sur pièces : interrogés sur les conditions de mise en œuvre de leurs traitements, les candidats mis en cause n’ont pas produit les justifications requises. La procédure simplifiée alors employée, plus rapide que la formation restreinte plénière, n’exclut ni l’injonction – l’un des candidats a été enjoint de répondre aux demandes d’exercice de droits – ni, pour des manquements plus graves ou répétés, des sanctions pécuniaires d’un montant supérieur prononcées en formation restreinte.
Le cadre européen ajoute une strate que les campagnes en ligne doivent intégrer. Le règlement sur la transparence et le ciblage de la publicité politique, applicable depuis le 10 octobre 2025, impose des mentions de transparence graduées selon que la publicité présente un caractère politique simple, qu’elle repose sur des données personnelles ou qu’elle recourt à des techniques de ciblage et de diffusion (guide CNIL, publicité politique et RPP). Pour les techniques de ciblage et de diffusion d’annonces politiques en ligne fondées sur des données personnelles, le consentement préalable de la personne devient la règle, et le profilage impliquant des données sensibles est interdit. L’autorité française de régulation de la communication a détaillé ces obligations applicables depuis cette date. Un électeur ciblé par des publicités politiques en ligne sans avoir consenti à l’utilisation de ses données à cette fin dispose donc d’un grief distinct, articulé entre le règlement européen et le règlement général sur la protection des données.
L’action en réparation devant le juge constitue la seconde voie, indépendante de la plainte. Le règlement ouvre à toute victime d’une violation le droit d’obtenir du responsable du traitement ou du sous-traitant la réparation de son préjudice matériel ou moral (article 82 du règlement européen, droit à réparation). Le préjudice moral tiré d’une prospection persistante – intrusion répétée dans la vie privée, exposition des opinions supposées, anxiété liée à l’origine inconnue des données – est indemnisable, et le juge national peut être saisi sans attendre l’issue de la procédure devant la CNIL. Le droit de chacun au respect de sa vie privée fonde en outre les mesures que le juge peut prescrire pour empêcher ou faire cesser l’atteinte, y compris en référé en cas d’urgence. L’échelle des sanctions prononcées pour des prospections électroniques sans base se mesure dans un contentieux voisin, commercial celui-là : une sanction de 50 millions d’euros assortie d’injonction sous astreinte, dont le Conseil d’État a été saisi à l’occasion d’une question prioritaire de constitutionnalité en avril 2026 (Conseil d’État, 17 avril 2026, n° 501268). La démonstration suit l’ordre du dossier : envois non sollicités et leur fréquence, opposition ignorée, absence d’information sur la source et la base légale, réutilisation incompatible avec la collecte initiale, conservation au-delà du scrutin, diffusion à des tiers en copie visible le cas échéant. Chaque manquement documenté nourrit à la fois la plainte administrative et la demande indemnitaire, et l’injonction ou la sanction prononcée par la Commission, quand elle existe, étaye la faute sans lier le juge sur le préjudice.
Deux situations appellent une action immédiate plutôt qu’une simple opposition. La première est la réutilisation de données confiées dans un cadre de confiance – patientèle, clientèle, salariat, association – à des fins électorales : l’incompatibilité de finalité est alors manifeste et la gravité justifie une plainte rapide, car le fichier d’origine continue d’alimenter la campagne. La seconde est la divulgation d’opinions politiques supposées à des tiers, par envoi groupé sans copie invisible ou publication de listes : la sensibilité des données au sens de l’article 9 du règlement et le risque de diffusion ultérieure commandent de faire cesser l’atteinte sans délai, en exigeant par écrit le retrait de la diffusion et la suppression des données, puis en saisissant la Commission et le juge si l’atteinte persiste. Dans les deux cas, la limitation du traitement demandée par écrit empêche l’effacement défensif des preuves pendant l’instruction de la plainte.
Conclusion
Le SMS du candidat inconnu n’est pas une fatalité de la vie électorale : la prospection politique repose soit sur votre consentement, soit sur un intérêt légitime dont le candidat doit démontrer toutes les conditions, et chaque étape – origine des données, information dès le premier message, opposition à tout moment sans justification, suppression à l’issue du scrutin – est contrôlable pièce par pièce. Les cinq sanctions prononcées en décembre 2025 pour un total de 23 500 euros d’amendes le confirment : base légale indémontrée, finalité détournée, information absente, opposition sans effet et diffusion en copie visible exposent les équipes de campagne à des sanctions administratives, à des injonctions et à des actions en réparation. Devant un message non sollicité, exercez l’opposition, exigez par écrit la source, la base légale et l’effacement, conservez l’ensemble des preuves et saisissez la CNIL puis le juge si la campagne persiste : en 2026, l’électeur démarché dispose d’un droit complet, d’une autorité qui sanctionne et d’un juge qui indemnise.