Un courrier électronique commercial arrive dans votre boîte alors que vous n’avez jamais entendu parler de l’expéditeur. Un SMS promotionnel s’affiche sur votre téléphone, signé par une enseigne avec laquelle vous n’avez jamais contracté. Un démarcheur vous appelle et connaît déjà votre nom, votre adresse, parfois votre situation familiale. La question qui s’impose est simple : comment cette société a-t-elle obtenu vos coordonnées, et que pouvez-vous exiger d’elle ? Le droit européen et le droit français répondent avec précision : toute société qui détient vos données personnelles doit vous dire d’où elles viennent, sur quelle base elle vous écrit, et elle doit cesser de vous prospecter dès que vous vous y opposez. Quand elle refuse ou reste silencieuse, la plainte devant la CNIL et l’action devant le juge ouvrent des recours effectifs, y compris l’indemnisation du préjudice subi. Cet article décrit la méthode complète : identifier la source, contester la prospection, faire effacer les données et obtenir réparation.
I. Exiger de la société inconnue qu’elle révèle la source de vos données et la base de ses envois
A. Faire dire d’où viennent vos données et obtenir une copie du dossier
Lorsque vos données n’ont pas été collectées directement auprès de vous, le responsable du traitement doit vous fournir une information renforcée : son identité et ses coordonnées, les finalités du traitement, les catégories de données concernées, et surtout la source d’où proviennent les données, y compris si elles proviennent de sources accessibles au public. Le règlement européen sur la protection des données organise cette information à son article 14, avec un délai en principe d’un mois, et la loi française renvoie à ce régime : « Le droit à l’information s’exerce dans les conditions prévues aux articles 12 à 14 du règlement (UE) 2016/679 du 27 avril 2016. » (article 48 de la loi du 6 janvier 1978). Concrètement, le premier courrier adressé à la société inconnue doit cumuler trois demandes : l’identité du responsable du traitement, la source exacte des données (quel fichier, quel partenaire, quel courtier, à quelle date) et la copie des données détenues sur vous.
Le droit d’accès complète ce dispositif : toute personne peut obtenir la confirmation que des données la concernant sont traitées, en recevoir une copie et exiger les informations sur les finalités, les catégories, les destinataires et la durée de conservation. La réponse doit intervenir dans un délai d’un mois à compter de la demande, délai qui peut être prolongé de deux mois en cas de complexité, à condition d’en être informé. Si la société répond qu’elle ne vous connaît pas, cette réponse elle-même constitue une information utile : elle établit qu’aucun fichier ne devrait exister à votre nom et que tout nouvel envoi serait dépourvu de base. Si elle ne répond pas dans le délai, le silence vaut refus et ouvre la voie du recours devant la CNIL puis devant le juge. Conservez dans tous les cas la preuve de votre demande : courrier recommandé avec accusé de réception ou courriel conservé avec ses en-têtes, captures des messages reçus avec dates et expéditeurs, et relevés des appels avec numéros et heures.
La question de la source est souvent le nœud du dossier. Les fichiers se revendent : un fournisseur d’accès, un comparateur, un organisateur de jeux-concours ou un courtier cède des listes à des partenaires commerciaux qui prospectent ensuite des personnes qui ne les ont jamais rencontrées. Le Conseil d’État a eu à examiner exactement ce montage dans un litige opposant un groupe de médias à la CNIL : des fournisseurs d’accès avaient collecté le consentement de leurs abonnés pour une utilisation par leurs « partenaires », puis le groupe avait prospecté près de 3,9 millions de personnes en 2021 sans recueillir lui-même leur consentement, et la CNIL l’avait sanctionné de 600 000 euros. Le Conseil d’État a relevé que la prospection avait été menée « sans que ces partenaires soient nommément identifiés dans le formulaire de collecte, ni dans une liste accessible par un lien hypertexte, ni par tout autre moyen » (Conseil d’État, 5 mai 2025, n° 490202). Face à une question inédite et délicate — un consentement donné à un premier collecteur pour une simple « catégorie » de destinataires suffit-il à autoriser chaque partenaire à prospecter sans nouveau consentement —, la haute juridiction a sursis à statuer et saisi la Cour de justice de l’Union européenne à titre préjudiciel. Pour le destinataire d’une prospection venue d’une société inconnue, l’enseignement pratique est direct : une case cochée chez un tiers au profit de « partenaires » non identifiés ne vaut pas, à ce stade, preuve d’un consentement valable à votre égard, et c’est à la société qui vous écrit de démontrer le contraire.
La position de la CNIL sur les transmissions de fichiers à des partenaires confirme cette exigence : l’organisme qui transmet les données doit lui-même obtenir le consentement des personnes pour cette transmission, avec une information claire sur l’identité des partenaires et les finalités. Une liste exhaustive et à jour des partenaires doit être mise à disposition au moment du recueil, et le consentement donné pour des partenaires déterminés ne peut pas circuler de partenaire en partenaire sans nouveau recueil. Si la société qui vous prospecte invoque un consentement donné ailleurs, demandez-lui donc la copie exacte du formulaire, la date du recueil, la liste des partenaires telle qu’elle se présentait ce jour-là et le contrat de cession du fichier. L’absence de l’un de ces éléments fragilise sa position et nourrit utilement une plainte. À l’inverse, si la société produit un formulaire horodaté, une liste de partenaires à jour et un contrat de cession régulier, concentrez vos efforts sur l’opposition et l’effacement plutôt que sur la contestation de la collecte initiale.
B. Vérifier que la prospection électronique reposait sur un consentement préalable valable
Pour les courriers électroniques, les SMS et les automates d’appel, la règle française est posée par le code des postes et des communications électroniques : « Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. » Le consentement s’entend d’une manifestation de volonté libre, spécifique et informée. Deux exceptions seulement sont admises : la relation client existante pour des produits ou services analogues, avec une possibilité de s’opposer offerte à chaque envoi, et les appels ou messages qui ne promeuvent rien. Hors ces cas, tout SMS ou courriel commercial reçu sans accord préalable est irrégulier, et la société ne peut pas se retrancher derrière le fait qu’elle a acheté le fichier : c’est à elle, en tant que responsable de ses propres envois, de démontrer le consentement.
La jurisprudence récente montre que les montants en jeu sont significatifs pour les expéditeurs. Outre l’amende de 600 000 euros évoquée à propos des fichiers de partenaires, la CNIL a prononcé le 14 novembre 2024 une sanction de 50 millions d’euros contre un opérateur historique pour des manquements liés à la prospection et au dépôt de traceurs, assortie d’une injonction sous astreinte de 100 000 euros par jour de retard et d’une mesure de publicité. Saisi d’une question prioritaire de constitutionnalité contre l’article L. 34-5 du code des postes, le Conseil d’État l’a renvoyée au Conseil constitutionnel le 17 avril 2026, tout en laissant la sanction contestée au fond (Conseil d’État, 17 avril 2026, n° 501268). Quelle que soit l’issue de ce contentieux constitutionnel, la leçon pour le particulier reste la même : la prospection sans consentement expose l’expéditeur à des sanctions administratives lourdes, ce qui renforce le poids d’une plainte bien documentée.
En pratique, examinez chaque message reçu. Un lien de désinscription absent ou inopérant, une case pré-cochée sur le site d’origine, un consentement groupé noyé dans des conditions générales, une preuve datée impossible à produire : autant d’indices d’un consentement inexistant ou invalide. Le consentement doit être un acte positif clair, antérieur à l’envoi, et prouvé par celui qui s’en prévaut. Notez aussi que le démarchage téléphonique suit un régime propre, distinct de la prospection électronique : l’inscription sur la liste d’opposition Bloctel interdit le démarchage, et les appels en violation de cette opposition peuvent être signalés. Pour les SMS indésirables, la plateforme de signalement permet de transférer le message litigieux au 33700, et pour le démarchage téléphonique l’inscription sur Bloctel reste le réflexe préalable avant toute opposition individuelle documentée. Ces dispositifs publics, utiles et complémentaires, et la fiche de service-public sur le démarchage abusif détaille les réflexes : ne pas rappeler les numéros surtaxés, conserver les preuves, signaler. Ces signalements ne remplacent pas l’exercice de vos droits contre la société elle-même, mais ils alimentent les dispositifs de lutte et corroborent votre dossier.
La prospection par courrier postal obéit à une logique différente qu’il faut connaître pour ne pas se tromper de fondement. Contrairement aux courriels et SMS, elle peut reposer sur l’intérêt légitime de l’expéditeur, à condition que les personnes aient été informées de la transmission de leurs données à des partenaires et mises en mesure de s’y opposer avant l’envoi. C’est pourquoi votre premier courrier doit aussi viser expressément le canal postal : opposition à toute prospection par courrier, demande de la date et du contenu de l’information préalable, et effacement. Si la société invoque l’intérêt légitime, elle doit démontrer la mise en balance avec vos droits, l’information délivrée et l’absence d’opposition de votre part. En pratique, les sociétés sérieuses tiennent un registre des oppositions ; exigez la confirmation écrite de votre inscription sur ce registre interne, et vérifiez lors des envois suivants que votre nom n’y figure plus.
La durée de conservation des données de prospects fournit un second levier de contrôle. Les référentiels de la CNIL retiennent qu’au-delà de trois ans sans contact effectif de votre part, les données d’un prospect doivent être supprimées ou archivées avec un accès restreint, sauf consentement renouvelé ou obligation particulière. Quand une société inconnue vous écrit, demandez-lui la date de collecte initiale, la date du dernier contact et la durée de conservation appliquée. Une donnée collectée il y a cinq ans auprès d’un comparateur, sans aucun contact depuis, puis réactivée pour une campagne, cumule les manquements : information défaillante, conservation excessive et prospection sans base. Ce faisceau chronologique se plaide efficacement devant la CNIL comme devant le juge, car il objective le grief au lieu de le laisser à l’état d’affirmation générale.
II. Faire cesser les envois, faire effacer les données et obtenir réparation
A. Exercer l’opposition et l’effacement, puis constater le manquement persistant
Le règlement européen donne à toute personne un droit d’opposition à la prospection qui ne souffre aucune discussion au fond : chacun peut s’opposer à tout moment au traitement de ses données à des fins de prospection, y compris au profilage lié à cette prospection, et le responsable doit alors cesser sans délai, sans pouvoir exiger la justification d’un motif particulier. La CNIL rappelle que toute personne peut s’opposer à tout moment à l’utilisation de certaines de ses données par un organisme. Hors prospection, l’organisme peut tenter de justifier un refus en invoquant des motifs légitimes et impérieux ; en matière de prospection, cette porte est fermée. Votre courrier d’opposition doit donc viser expressément la prospection, demander la cessation de tout envoi par quelque canal que ce soit, et exiger l’effacement des données qui ne sont conservées que pour prospecter.
L’effacement découle du même mouvement : lorsque les données ont été collectées de manière illicite, lorsqu’elles ne sont plus nécessaires au regard des finalités, ou lorsque vous vous êtes opposé à la prospection et qu’il n’existe pas de motif légitime prépondérant, le responsable doit les effacer dans les meilleurs délais. La loi française décline ces droits aux articles 49 à 56 de la loi du 6 janvier 1978, qui organisent l’accès, la rectification, l’effacement, la limitation et l’opposition. Adressez une demande distincte et explicite pour chaque droit : opposition à la prospection, effacement des données, et, si la source reste obscure, communication de la source. Fixez un délai d’un mois, rappelez que le silence vaudra refus, et conservez la preuve de l’envoi. Si un nouvel envoi parvient après l’opposition, chaque message devient une pièce du manquement : conservez-le avec sa date, car il démontre que l’opposition n’a pas été respectée. Pour le démarchage téléphonique, le réflexe complémentaire consiste à signaler les appels persistants sur SignalConso, la plateforme de la répression des fraudes, en précisant le numéro appelant, la date et l’objet du démarchage : ces signalements alimentent les enquêtes des agents et peuvent déboucher sur des sanctions propres au code de la consommation, indépendamment de la procédure CNIL. Utilisez également le modèle de courrier d’opposition à la prospection mis à disposition par la CNIL, en l’adaptant à votre situation : rappel des messages reçus avec leurs dates, opposition expresse à tout traitement à des fins de prospection, demande d’effacement et demande de confirmation écrite sous un mois.
Lorsque la société persiste malgré l’opposition, la CNIL indique la marche à suivre : mettre en demeure l’organisme, puis saisir la CNIL si les envois continuent, en joignant les preuves de l’opposition et des messages postérieurs. Les campagnes postales programmées à l’avance peuvent expliquer un dernier envoi isolé, mais une prospection électronique qui se poursuit plusieurs semaines après l’opposition caractérise un manquement au droit d’opposition. C’est précisément le type de situation qu’une plainte documentée permet de faire sanctionner, comme l’illustrent les délibérations tarifées en millions d’euros prononcées ces dernières années contre des expéditeurs récalcitrants.
N’oubliez pas le premier maillon de la chaîne : celui qui a cédé ou vendu vos données engage sa propre responsabilité. Le primo-collecteur qui transmet un fichier à des partenaires sans information suffisante, sans base valable ou au-delà de ce que les personnes ont accepté manque lui-même à ses obligations, et la CNIL peut le sanctionner indépendamment de l’expéditeur final. Votre plainte gagne donc à viser les deux acteurs quand vous parvenez à identifier le cédant : demandez à l’expéditeur le nom du fournisseur du fichier et le contrat de cession, puis adressez au cédant une demande d’opposition à toute nouvelle transmission et d’effacement. Si le cédant est établi dans un autre État membre de l’Union, la coopération entre autorités européennes permet le traitement transfrontalier de la plainte ; s’il est établi hors de l’Union sans garanties appropriées, le transfert lui-même peut constituer un manquement supplémentaire à soulever.
B. Saisir la CNIL, agir devant le juge et chiffrer le préjudice
La plainte devant la CNIL constitue la première voie institutionnelle. Elle se dépose en ligne sur le site de la Commission, après avoir exercé vos droits directement auprès de l’organisme : joignez la demande initiale, la preuve de son envoi, la réponse ou la preuve du silence, et les messages reçus avant et après l’opposition. La CNIL dispose d’un large pouvoir d’appréciation sur les suites : rappel à la réglementation, mise en demeure, mise en conformité, sanction pécuniaire publique. Mais ce pouvoir n’est pas discrétionnaire lorsque vos droits individuels sont en cause. Dans une affaire où un particulier contestait la clôture de sa plainte contre une enseigne de distribution qui l’avait prospecté après son opposition, le Conseil d’État a jugé que lorsque le plaignant se fonde sur la méconnaissance de ses droits d’accès, de rectification, d’effacement, de limitation ou d’opposition, « Le pouvoir d’appréciation de la CNIL s’exerce alors, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir. » (Conseil d’État, 25 juillet 2025, n° 497392). Autrement dit, le refus de la CNIL de donner suite à une plainte fondée sur vos droits peut lui-même être contesté devant le juge administratif, qui exerce alors un contrôle entier, et non restreint à l’erreur manifeste.
Parallèlement, le juge judiciaire peut être saisi d’une action directe contre la société. Le règlement européen ouvre à toute personne un recours juridictionnel effectif contre le responsable du traitement, et un droit à réparation du préjudice matériel ou moral résultant d’une violation. La jurisprudence admet l’indemnisation du préjudice moral lié à la perte de contrôle sur ses données, à l’anxiété née de la diffusion incontrôlée de ses coordonnées ou au temps consacré à faire valoir ses droits, sans exiger la démonstration d’un préjudice financier. Devant le tribunal judiciaire, vous pouvez demander l’injonction de cesser la prospection et d’effacer les données, sous astreinte, ainsi que des dommages et intérêts. Le juge peut également ordonner toute mesure propre à éviter la dissimulation ou la disparition des données en cas de risque établi. Chiffrez le préjudice avec méthode : nombre et fréquence des envois, persistance après opposition, diffusion de vos coordonnées à d’autres partenaires, démarches accomplies et temps passé, troubles subis comme les appels répétés à des heures gênantes ou l’exposition à des tentatives d’escroquerie rendues possibles par la diffusion de vos coordonnées.
La preuve fait souvent la différence entre une plainte classée et une sanction, entre une action rejetée et une indemnisation. Constituez dès le premier message un dossier complet : captures intégrales des SMS et courriels avec expéditeur, date et contenu, enregistrement des appels avec numéros, copies de vos demandes et de leurs accusés, relevés de la liste des partenaires telle qu’elle apparaissait au jour du prétendu consentement, et attestations si un proche a assisté aux appels. Signalez en parallèle les SMS frauduleux ou suspects sur la plateforme de signalement de la CNIL et via le 33700, sans confondre ces signalements, utiles à la lutte collective, avec l’exercice personnel de vos droits contre l’expéditeur. Si vos coordonnées ont circulé après un piratage de données plutôt qu’une cession commerciale, les réflexes diffèrent : dépôt de plainte pénale, vigilance sur les comptes et changement des mots de passe s’ajoutent alors à la démarche de protection des données, car le régime de la violation de données obéit à des règles propres.
Conclusion
Recevoir de la publicité d’une société que vous ne connaissez pas n’est jamais une fatalité ni le prix normal de la vie numérique. La méthode tient en quatre gestes : demander par écrit la source exacte des données et la copie du dossier, vérifier l’existence d’un consentement préalable identifiable et daté, exercer l’opposition à la prospection et l’effacement, puis, en cas de silence ou de persistance, saisir la CNIL avec un dossier complet et agir devant le juge pour faire cesser les envois et obtenir réparation. Les décisions récentes montrent que les fichiers de « partenaires » non identifiés, les consentements présumés et les oppositions ignorées exposent les expéditeurs à des sanctions lourdes et à des condamnations indemnitaires. À chaque étape, la qualité des preuves — demandes conservées, messages datés, formulaires capturés — détermine l’issue. Une société qui ne peut dire ni d’où viennent vos données ni sur quelle base elle vous écrit ne devrait plus détenir vos données. Et si, après vos démarches, le silence persiste ou les envois continuent, ne laissez pas le dossier s’enliser : une plainte précise et un dossier probant transforment une nuisance subie en manquement sanctionné, avec à la clé la cessation des envois, l’effacement et une réparation à la mesure du trouble.