I. D’où viennent vos données et pourquoi un traitement né du scraping est juridiquement fragile

A. Le scraping de profils et de photos : une collecte indirecte soumise à information, et des photos qui valent données biométriques

Le scraping consiste à aspirer automatiquement des contenus accessibles en ligne, page après page, pour reconstituer une base de données. Appliqué aux personnes, il permet de collecter un nom, une photographie, un intitulé de poste, un parcours professionnel, des coordonnées et parfois des indices sur la vie privée, à partir de profils LinkedIn, de réseaux sociaux, d’annuaires, de sites d’entreprise ou de publications publiques. La personne concernée ne remplit aucun formulaire, ne coche aucune case, ne signe rien : elle découvre l’existence du traitement lorsqu’elle reçoit un message de prospection, lorsqu’un outil affiche sa fiche, ou lorsqu’elle apprend que ses photographies alimentent un moteur de reconnaissance faciale ou l’entraînement d’un système d’intelligence artificielle.

Le fait que les données aient été rendues publiques par la personne elle-même ne retire rien à leur qualité de données à caractère personnel. Le groupe de travail de l’article 29, devenu le Comité européen de la protection des données, l’a posé sans détour dans l’avis cité par la formation restreinte de la CNIL dans la délibération Clearview : les données restent des données à caractère personnel même lorsqu’elles ont été rendues publiques, et leur traitement continue d’exiger des garanties appropriées. Le caractère public de la source ne vaut ni consentement, ni contrat, ni intérêt légitime acquis d’avance. Il entre seulement, parmi d’autres éléments, dans l’appréciation globale que le responsable du traitement doit conduire avant toute collecte.

Or cette collecte s’opère sans passer par la personne concernée. Le règlement général sur la protection des données, le règlement (UE) 2016/679, organise précisément cette hypothèse à son article 14, intitulé « Informations à fournir lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée ». Le responsable du traitement doit fournir l’identité et les coordonnées du responsable et de son représentant, les finalités et la base juridique, les catégories de données, les destinataires, et l’existence des droits d’accès, de rectification, d’effacement et d’opposition ainsi que du droit d’introduire une réclamation auprès d’une autorité de contrôle. Le calendrier est fixé par le texte : « dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées ». Le même article prévoit qu’au plus tard au moment de la première communication avec la personne, ou de la première communication des données à un autre destinataire, l’information doit avoir été délivrée. Concrètement, le premier message de prospection reçu d’une société inconnue devrait être accompagné, ou précédé, de cette information complète : identité de la société, source des données, finalités, base juridique invoquée, droits et voies de recours. En pratique, cette information manque presque toujours, et ce silence constitue déjà un premier manquement autonome, indépendant de la licéité du traitement lui-même.

Le texte, lisible sur EUR-Lex en français, ménage toutefois des exceptions, que les opérateurs invoquent volontiers et qu’il faut connaître pour ne pas surestimer un dossier. L’obligation d’information ne s’applique pas lorsque la personne dispose déjà des informations, lorsque la fourniture se révèle impossible ou exigerait des efforts disproportionnés, lorsque le droit de l’Union ou le droit national prévoit expressément l’obtention ou la communication, ou lorsque les données doivent rester confidentielles en vertu d’un secret professionnel. L’exception des efforts disproportionnés ne joue que dans des cas encadrés, en particulier pour l’archivage dans l’intérêt public, la recherche scientifique ou historique et la statistique, et à condition de prendre des mesures appropriées, y compris en rendant les informations publiquement disponibles. Une société qui aspire des profils LinkedIn à des fins commerciales ne remplit aucune de ces conditions : son traitement est ciblé, individualisé et lucratif, et l’envoi d’une information aux personnes concernées n’a rien d’impossible pour un opérateur capable d’aspirer des millions de pages. L’argument de l’effort disproportionné, recevable pour un archiviste, ne tient pas pour un prospecteur.

La deuxième fragilité tient à la base juridique. Le traitement n’est licite, selon l’article 6 du règlement, que si « Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie », parmi lesquelles le consentement, le contrat, l’obligation légale et, au point f), « le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant ». Les opérateurs du scraping invoquent presque systématiquement cet intérêt légitime : développer leur activité, enrichir une base, entraîner un modèle. La délibération de la CNIL du 17 octobre 2022 concernant la société Clearview AI (délibération SAN-2022-019, lue en texte intégral sur Legifrance dans le cadre de ce dossier) montre comment ce moyen est examiné et rejeté. L’autorité rappelle que l’existence d’un intérêt légitime doit faire l’objet d’une évaluation attentive, au regard des attentes raisonnables des personnes fondées sur leur relation avec le responsable du traitement, et que les intérêts et droits fondamentaux de la personne peuvent prévaloir lorsque les données sont traitées dans des circonstances où les personnes ne s’attendent raisonnablement pas à un traitement ultérieur. Publier une photographie sur un réseau social ne fait naître aucune attente raisonnable d’être intégré dans une base biométrique mondiale ou dans un fichier de prospection revendu à des tiers. La formation restreinte tranche : l’atteinte à la vie privée apparaissant disproportionnée au regard des intérêts du responsable, notamment commerciaux et pécuniaires, l’intérêt légitime ne pouvant être retenu. Le raisonnement vaut au-delà du cas d’espèce pour tout opérateur qui aspire des profils et des photos à des fins commerciales sans autre fondement que son propre intérêt économique.

La troisième fragilité est la plus grave et concerne les photographies. Une image faciale traitée pour identifier une personne de manière unique n’est pas une donnée ordinaire : c’est une donnée biométrique, donc une catégorie particulière de données. L’article 9 du règlement dispose : « Le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits. » L’interdiction n’est levée que dans des cas limitativement énumérés, au premier rang desquels le consentement explicite de la personne pour une ou plusieurs finalités spécifiques. Dans la délibération Clearview, la CNIL relève que la société traite de surcroît des données biométriques associées aux images, les gabarits biométriques constituant des données distinctes des images sources, sans avoir recueilli le consentement des personnes concernées. Dès lors, le traitement des photographies aspirées pour alimenter un moteur de reconnaissance faciale ou pour entraîner un système d’identification cumule deux illicéités : l’absence de base légale au sens de l’article 6 et la violation de l’interdiction de principe de l’article 9. Pour une personne dont la photographie a été aspirée, cette qualification change l’échelle du dossier : il ne s’agit plus d’un simple fichier d’adresses, mais d’un traitement de données sensibles sans consentement explicite.

Le règlement européen sur l’intelligence artificielle, le règlement (UE) 2024/1689, complète ce tableau sans s’y substituer. Son article 5 interdit plusieurs pratiques, dont la mise sur le marché ou l’utilisation de systèmes de catégorisation biométrique tirant des inférences sur la race, les opinions politiques, l’appartenance syndicale, les convictions religieuses ou philosophiques, la vie sexuelle ou l’orientation sexuelle, ainsi que l’utilisation à des fins répressives de systèmes d’identification biométrique à distance fonctionnant en temps réel dans des espaces accessibles au public, sauf exceptions strictement encadrées et autorisées. Ces interdictions visent des usages précis et ne couvrent pas, à elles seules, toute la chaîne du scraping. Elles confirment néanmoins l’orientation du droit européen : les usages biométriques à grande échelle, construits sur des photographies aspirées sans consentement, cumulent les prohibitions au lieu de s’en exonérer. Le terrain principal du contentieux individuel reste le règlement général sur la protection des données, dont les droits d’accès, d’effacement et d’opposition sont directement invocables contre l’opérateur.

B. De l’aspiration à la prospection : consentement préalable, opposition et preuve à exiger

Le second versant du dossier est commercial. Une fois aspirées, les données servent : envoi de courriels de prospection, messages directs sur LinkedIn, appels, SMS, enrichissement de fichiers revendus, ciblage publicitaire, entraînement de modèles. Chaque usage doit être examiné séparément, car un traitement peut être contesté sur sa collecte et, de manière autonome, sur chacun de ses usages ultérieurs. La prospection par voie électronique obéit en droit français à une règle simple et sévère. L’article L. 34-5 du code des postes et des communications électroniques dispose : « Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. » Le principe est donc le consentement préalable, donné par une manifestation de volonté libre, spécifique et informée. La CNIL précise, dans sa page consacrée à la prospection par courrier électronique, SMS-MMS et automate d’appel, actualisée le 10 juin 2026, que le consentement doit être « libre, spécifique, éclairé et univoque », qu’il requiert une « action positive et spécifique » de la personne concernée, par exemple une case à cocher dédiée qui ne soit pas pré-cochée, et que l’acceptation de conditions générales d’utilisation ne peut pas suffire. Rendre son profil LinkedIn visible ou publier son adresse sur son site professionnel ne constitue ni une case cochée, ni une action positive, ni un consentement à recevoir des prospections.

Deux exceptions seulement permettent de prospecter sans consentement préalable : la relation client existante pour des produits ou services analogues, et la prospection non commerciale, notamment caritative. La première suppose une vente ou une prestation effectivement réalisée : la CNIL rappelle qu’elle ne peut pas être mobilisée en l’absence de vente ou de prestation effective, y compris après la simple création d’un compte en ligne. Créer un compte, télécharger un livre blanc ou accepter une invitation LinkedIn n’ouvre donc aucun droit de prospection au sens de cette exception. La seconde suppose une finalité non commerciale et une information avec possibilité de refus dès la collecte. Un éditeur qui aspire des profils pour vendre un logiciel, une base ou un service ne relève d’aucune des deux exceptions.

La prospection adressée à des professionnels obéit à un régime souvent mal compris. La CNIL admet qu’elle peut être fondée sur l’intérêt légitime de l’organisme lorsque l’objet de la sollicitation est en rapport avec la profession de la personne démarchée, par exemple un logiciel présenté au directeur informatique d’une entreprise. Cette tolérance ne dispense de rien d’autre : la personne doit avoir été informée, elle doit pouvoir s’opposer à tout moment, et les données doivent avoir été collectées et conservées conformément au règlement. Surtout, elle ne couvre que l’envoi lui-même, pas la collecte initiale par scraping : aspirer dix mille profils pour ne démarcher que les directeurs informatiques laisse entier le grief de la collecte sans base légale et sans information. Et lorsque les données ont été acquises auprès d’un tiers, la CNIL exige de s’assurer que la personne a été informée et mise en mesure de s’opposer. L’acheteur d’un fichier ne peut pas se retrancher derrière son vendeur : il devient responsable de son propre traitement dès qu’il utilise les données.

Le droit d’opposition constitue l’arme la plus directe contre la prospection issue du scraping. L’article 21 du règlement prévoit que « Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection », et ajoute : « Lorsque la personne concernée s’oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins. » À la différence de l’opposition fondée sur la situation particulière, qui ouvre un débat sur les motifs légitimes et impérieux que le responsable peut invoquer, l’opposition à la prospection est absolue : une fois exercée, le traitement à ces fins doit cesser, sans discussion sur la balance des intérêts. Toute relance postérieure à une opposition clairement exprimée caractérise une violation distincte, qui aggrave le dossier et nourrit tant la plainte devant la CNIL que la demande de réparation devant le juge. Il faut donc exercer l’opposition par un canal qui laisse une trace : message avec accusé, courrier recommandé, copie d’écran datée, en conservant le message initial qui prouve la collecte et l’absence d’information.

La question de la preuve mérite une attention particulière car elle conditionne tout le contentieux. Le scraping laisse des traces exploitables : le message de prospection lui-même, avec son en-tête technique complet, l’adresse utilisée, la date, le contenu ; la fiche vous concernant si l’outil ou le site permet de la consulter ; l’absence de toute information préalable, qui se prouve par la production du message et par l’affirmation circonstanciée qu’aucun contact antérieur n’a eu lieu ; les captures de vos paramétrages de confidentialité sur le réseau concerné ; les réponses, même évasives, du responsable du traitement. Face à une demande d’accès restée sans réponse ou à une réponse incomplète, ces pièces suffisent à établir la matérialité. La CNIL, dans la délibération Clearview, a retenu contre la société son absence totale de réponse aux demandes des plaignants et aux injonctions de la mise en demeure du 26 novembre 2021, qui lui avait laissé deux mois pour se conformer. Le mutisme de l’opérateur, loin de clore le dossier, le nourrit : chaque demande ignorée devient un manquement supplémentaire aux articles 12, 15 ou 17 du règlement.

Un point de méthode s’impose enfin sur l’articulation entre les griefs. Un dossier de scraping réussi ne repose jamais sur un seul fondement. La collecte sans base légale et sans information, le traitement biométrique sans consentement explicite, la prospection sans consentement préalable, la poursuite du démarchage après opposition, l’absence de réponse aux droits : chaque couche ajoute une violation et élargit les sanctions encourues comme le préjudice réparable. À l’inverse, un dossier qui se limiterait à contester la prospection sans attaquer la collecte laisserait intacte la base de données et exposerait la personne à être démarchée à nouveau, par le même opérateur ou par ses clients. La stratégie complète vise donc l’effacement à la source, pas seulement la cessation des envois. C’est ce que la CNIL a obtenu dans l’affaire Clearview par l’injonction de mise en conformité, et c’est ce que toute personne aspirée peut exiger pour son propre compte, comme l’explique la deuxième partie.

II. Exiger l’effacement à la source, faire sanctionner et obtenir réparation

A. Exercer vos droits dans l’ordre utile : accès, effacement, opposition, mise en demeure

La première étape consiste à identifier le responsable du traitement. Le message de prospection doit contenir l’identité de l’expéditeur et des coordonnées permettant de demander la cessation des envois ; leur absence constitue déjà une violation de l’article L. 34-5, qui interdit de dissimuler l’identité de la personne pour le compte de laquelle la communication est émise et d’omettre des coordonnées valables. Si l’expéditeur est un intermédiaire, il faut remonter la chaîne : mentions légales du site, politique de confidentialité, registre des délégués à la protection des données publié par la CNIL, réponses du service client. Lorsque l’opérateur est établi hors de l’Union européenne, comme dans l’affaire Clearview où la société américaine n’avait désigné aucun représentant sur le territoire européen malgré l’obligation applicable, il faut adresser la demande à tout point de contact disponible et conserver la preuve de l’envoi : l’absence de représentant dans l’Union est un grief supplémentaire, pas une impasse.

La demande d’accès ouvre la séquence. L’article 15 du règlement reconnaît à toute personne « le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel ainsi que les informations suivantes » : finalités, catégories de données, destinataires, durée de conservation, existence des droits de rectification, d’effacement, de limitation et d’opposition, droit de réclamation, source des données lorsque la collecte est indirecte, et garanties encadrant un éventuel transfert hors de l’Union. Pour une personne aspirée, la réponse attendue doit donc indiquer d’où viennent les données, quelles pages ont été aspirées et à quelles dates, à qui elles ont été communiquées, et sur quelle base juridique repose chaque usage. Une réponse qui se bornerait à communiquer l’adresse électronique sans la source, sans la base juridique et sans les destinataires est incomplète et caractérise un manquement au droit d’accès. La demande doit être précise et datée, rappeler le fondement de l’article 15, et fixer un cadre de réponse. La CNIL indique que les organismes doivent répondre aux demandes d’exercice des droits sous un mois maximum sauf exceptions, ce qui donne un repère clair pour relancer puis saisir l’autorité.

La demande d’effacement suit ou accompagne l’accès. L’article 17 ouvre le droit d’obtenir l’effacement dans les meilleurs délais lorsque les données ne sont plus nécessaires au regard des finalités, lorsque le consentement est retiré sans autre fondement, lorsque la personne s’oppose au traitement sans motif légitime impérieux contraire, ou lorsque le traitement est illicite. Dans un dossier de scraping commercial, plusieurs motifs se cumulent : traitement sans base légale valide, opposition à la prospection, et, pour les photographies exploitées biométriquement, traitement interdit par l’article 9 sans consentement explicite. La formation restreinte l’a dit pour Clearview : le traitement ne reposant sur aucune base légale valide au regard du droit européen, l’effacement était de droit et la société aurait dû répondre favorablement à la demande présentée. La demande d’effacement doit donc viser l’ensemble des données, y compris les gabarits biométriques et les copies de travail, et exiger la confirmation écrite de la suppression ainsi que l’information des destinataires auxquels les données auraient été communiquées. Il faut également exiger l’effacement auprès des clients de l’opérateur qui auraient reçu vos données, dans la mesure où le responsable initial doit prendre des mesures raisonnables pour informer les autres responsables qui traitent les données concernées.

L’opposition à la prospection doit être exercée en parallèle, par un acte distinct et non équivoque, sur le fondement de l’article 21, paragraphe 2. Elle produit un effet couperet : les données ne sont plus traitées à des fins de prospection. Il faut l’adresser à chaque expéditeur et, lorsque le fichier a circulé, aux destinataires identifiés grâce au droit d’accès. Toute prospection postérieure à l’opposition doit être conservée comme preuve d’une violation caractérisée. Parallèlement, retirez ou restreignez la matière première : resserrer les paramètres de confidentialité du profil LinkedIn et des réseaux sociaux, limiter l’indexation par les moteurs de recherche, demander le déréférencement des pages qui exposent vos coordonnées, et signaler les comptes ou applications qui exploitent vos photographies. Ces mesures d’hygiène ne purgent pas l’illicite déjà commis, mais elles tarissent la source et préviennent la reconstitution du fichier après effacement.

Si l’opérateur ne répond pas, répond de manière incomplète ou refuse l’effacement, la mise en demeure écrite constitue le dernier acte avant la saisine de l’autorité et du juge. Elle récapitule les demandes, leurs dates, les fondements invoqués, les manquements constatés et un délai de régularisation, et elle annonce les saisines envisagées. Elle n’est pas une condition de recevabilité de la plainte devant la CNIL, mais elle renforce considérablement le dossier : elle prouve la mauvaise foi ou la négligence de l’opérateur, elle fige la chronologie, et elle servira devant le juge à établir la persistance de la violation et l’existence d’un préjudice. Dans l’affaire Clearview, la mise en demeure du 26 novembre 2021, restée sans effet à l’expiration du délai de deux mois, a directement nourri les manquements retenus sur l’accès, l’effacement et la coopération. Une mise en demeure ignorée ne marque pas l’échec de la démarche : elle en constitue le carburant.

Deux situations particulières appellent des diligences complémentaires. Lorsque vos photographies ont été aspirées, il faut exercer les droits auprès de chaque opérateur identifié et documenter l’usage biométrique : captures du service de reconnaissance faciale, conditions générales décrivant l’extraction de gabarits, réponses du support. Lorsque vos données ont été aspirées sur LinkedIn puis utilisées pour vous prospecter, il faut distinguer les responsabilités : le réseau social, qui peut avoir manqué à ses propres obligations de sécurité contre l’aspiration massive, et l’opérateur qui a aspiré et prospecté, responsable de sa collecte et de ses envois. Les deux peuvent être saisis de demandes distinctes, et la plainte devant la CNIL peut viser l’ensemble de la chaîne. Pour une vision d’ensemble des démarches lorsqu’une société inconnue exploite vos données, le guide consacré à la société inconnue qui utilise vos données détaille la recherche de provenance et l’articulation des droits, et le guide consacré au droit d’accès précise le contenu exigible de la copie et la conduite à tenir face à un refus.

B. Saisir la CNIL et le juge : sanctions encourues, preuve du préjudice et réparation

La plainte devant la CNIL est la voie naturelle lorsque l’opérateur persiste. Elle s’adresse à l’autorité de contrôle du lieu de la violation ou de la résidence de la personne, se dépose avec les pièces réunies — messages, demandes de droits, réponses ou preuves d’absence de réponse, mise en demeure — et doit exposer chaque manquement avec sa date : absence d’information lors de la collecte, absence de base légale, traitement biométrique sans consentement explicite, prospection sans consentement préalable, poursuite après opposition, refus ou silence opposé aux droits. La CNIL peut contrôler, mettre en demeure, prononcer des mesures correctrices et des sanctions, dont des amendes administratives pouvant atteindre, pour les manquements les plus graves, 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. La délibération Clearview illustre l’échelle : une amende administrative de 20 millions d’euros, assortie d’une injonction de mise en conformité sous deux mois et d’une astreinte de 100 000 euros par jour de retard liquidable à l’issue de ce délai, avec publication de la décision. L’affaire montre aussi que l’éloignement de l’opérateur ne le protège pas : la CNIL s’est déclarée compétente à l’égard d’une société américaine sans établissement dans l’Union dès lors qu’elle suit le comportement de personnes se trouvant sur le territoire, notamment par un traitement de géolocalisation lié à l’offre du service, et la sanction a été prononcée malgré l’absence de coopération.

L’actualité la plus récente confirme que cette politique de sanction se poursuit et s’étend à la prospection et aux traceurs. Le 16 octobre 2026, le Conseil d’État a rejeté le recours de la société Orange contre la délibération du 14 novembre 2024 par laquelle la CNIL lui avait infligé 50 millions d’euros pour des publicités par courriels sans consentement et des opérations de lecture d’informations sur le terminal des utilisateurs malgré leur refus. La Haute juridiction juge : « En fixant ce montant à 50 millions d’euros, qui correspond à 0,11 % du chiffre d’affaires annuel mondial total de l’exercice précédent de la société requérante, la formation restreinte de la CNIL n’a pas, compte tenu de la gravité des manquements constatés et de l’ensemble des circonstances de l’espèce, prononcé une sanction disproportionnée », et conclut : « Article 1er : La requête de la société Orange est rejetée. » Cette décision, rendue quatre jours avant la rédaction du présent article, intéresse directement les dossiers de scraping suivi de prospection : elle valide des sanctions massives pour des manquements aux règles du consentement et du respect du refus, elle retient le grand nombre de personnes concernées comme facteur d’aggravation, et elle admet la prise en compte du caractère non spontané de la mise en conformité. Les enseignements de cette décision sur la sanction des publicités déguisées et des traceurs lus après refus sont détaillés dans l’analyse de la sanction Orange et de son recours rejeté. Ce contrôle de proportionnalité exercé par le juge administratif sur les sanctions de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés n’est pas isolé. Le 14 mai 2024, le Conseil d’État a statué sur le recours de la société Voodoo contre une sanction de 3 millions d’euros prononcée pour l’utilisation sans consentement de l’identifiant publicitaire IDFV des téléphones Apple, en écartant le moyen tiré des droits de la défense et en confirmant l’analyse au regard de l’article 82 de cette loi. Il avait pareillement examiné, le 27 juin 2022, le recours d’Amazon Europe Core contre une sanction de 35 millions d’euros prononcée au même titre de l’article 82, et, le 5 mai 2025, celui du groupe Canal+ contre une amende de 600 000 euros, en posant à la Cour de justice une question préjudicielle sur le consentement au sens de l’article 7 du règlement. Pour la personne démarchée après scraping, la leçon est claire : la CNIL dispose d’un arsenal éprouvé, et le juge administratif en contrôle la proportionnalité sans indulgence pour les manquements de masse.

La sanction administrative ne répare pas la personne : seule l’action devant le juge civil permet d’obtenir des dommages et intérêts. L’article 82 du règlement ouvre ce droit : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » Trois précisions issues de l’arrêt de la Cour de justice du 4 mai 2023, Österreichische Post, encadrent l’action. D’abord, la simple violation du règlement ne suffisant pas à ouvrir droit à réparation : il faut un dommage causé par la violation, matériel ou moral, qu’il appartient au demandeur de documenter. Ensuite, la Cour écarte tout seuil de gravité : le droit de l’Union écartant toute règle ou pratique nationale qui subordonnerait la réparation du préjudice moral à un certain degré de gravité. Enfin, le montant relève des règles internes de chaque État membre, dans le respect des principes d’équivalence et d’effectivité. Concrètement, la personne aspirée puis démarchée doit prouver un préjudice réel : temps passé à exercer ses droits, messages non sollicités répétés malgré l’opposition, exposition de ses photographies dans une base biométrique, crainte de l’usurpation d’identité, perte de contrôle sur ses données professionnelles, atteinte à la vie privée. La crainte et la perte de contrôle, lorsqu’elles sont établies par des pièces et non seulement affirmées, constituent un préjudice moral réparable, sans qu’aucun seuil de gravité ne puisse être exigé. En droit interne, l’article 1240 du code civil dispose : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Et l’article 1241 ajoute : « Chacun est responsable du dommage qu’il a causé non seulement par son fait, mais encore par sa négligence ou par son imprudence. » Les factures, les constats, les échanges avec l’opérateur, la chronologie des relances après opposition et, le cas échéant, une expertise ou des attestations, fondent la demande. Le juge apprécie souverainement le montant, en fonction de la gravité des manquements, de leur durée, du nombre de violations cumulées et de la sensibilité biométrique des données.

L’articulation entre la plainte et l’action en justice doit être pensée comme une stratégie, pas comme une alternative. La plainte devant la CNIL vise la cessation et la sanction ; elle peut aboutir à une mise en demeure, à une injonction, à une sanction pécuniaire et à la publicité de la décision, qui pèse sur l’opérateur et dissuade la récidive. L’action civile vise la réparation intégrale du préjudice personnel ; elle peut être engagée sans attendre l’issue de la plainte, et une décision de sanction, lorsqu’elle intervient, constitue une pièce probante de premier ordre sur la matérialité des manquements. Les deux voies se nourrissent : les pièces réunies pour la plainte fondent l’assignation, et la persistance de la violation malgré la plainte aggrave le préjudice. Lorsque le démarchage téléphonique accompagne le courriel, les règles du consentement préalable et du signalement exposées dans le guide consacré au démarchage sans consentement complètent utilement la démarche. Et lorsque l’opérateur oppose le silence ou l’inexistence de vos données, le guide consacré à la plainte CNIL face à l’absence de réponse détaille la relance, la saisine et l’articulation avec le juge.

Reste la question que toute personne aspirée se pose : que peut-on concrètement obtenir. À titre correctif, l’effacement de l’ensemble des données détenues, y compris les gabarits biométriques et les copies, la cessation de toute prospection, l’information des destinataires auxquels les données ont été transmises, et la mise en conformité du traitement. À titre répressif, dans le cadre de la plainte, une injonction, une amende et la publicité de la décision, selon la gravité, l’ampleur et la coopération de l’opérateur. À titre indemnitaire, devant le juge, la réparation du préjudice matériel et moral établi, sans seuil de gravité, dont le montant dépend des pièces et de la gravité cumulée des manquements. Aucun de ces résultats n’est automatique : chacun suppose des demandes écrites, datées et fondées, des preuves conservées, une chronologie rigoureuse et une qualification précise des manquements. Mais le droit européen, tel qu’appliqué par la CNIL dans l’affaire Clearview et validé par le Conseil d’État dans l’affaire Orange du 16 octobre 2026, donne à la personne aspirée des leviers réels : l’opérateur qui collecte sans base légale, exploite des photographies sans consentement explicite et prospecte sans consentement préalable ne peut ni se prévaloir de son intérêt économique, ni se retrancher derrière le caractère public des sources, ni échapper à l’effacement, à la sanction et à la réparation.

En conclusion, recevoir des sollicitations d’une société inconnue après la publication d’un profil LinkedIn ou de photographies en ligne n’est pas une fatalité du numérique : c’est le révélateur d’un traitement dont il faut exiger l’identification, l’information, la base légale et l’effacement. Le scraping commercial de profils et de photos méconnaît l’obligation d’information de l’article 14, ne survit pas au test de l’intérêt légitime de l’article 6 dès lors que les personnes ne s’attendent raisonnablement pas à cet usage, heurte l’interdiction des traitements biométriques de l’article 9 pour les photographies exploitées à des fins d’identification, et débouche sur des prospections interdites par l’article L. 34-5 du code des postes et des communications électroniques lorsqu’aucun consentement préalable n’a été recueilli, au sens de l’article L. 34-5 du même code. Face à ce cumul, la méthode tient en quatre temps : accéder à ses données pour identifier la source et les destinataires, exiger l’effacement et s’opposer à la prospection par des actes tracés, mettre en demeure en cas de silence ou de refus, puis saisir la CNIL pour la cessation et la sanction et le juge pour la réparation intégrale du préjudice, sans seuil de gravité. Les sanctions de 20 millions d’euros contre Clearview et de 50 millions d’euros contre Orange, cette dernière confirmée par le Conseil d’État le 16 octobre 2026, montrent que ces manquements de masse sont poursuivis et punis ; l’arrêt Österreichische Post du 4 mai 2023 montre que la personne concernée peut en obtenir personnellement réparation dès lors qu’elle prouve son dommage. Conserver chaque message, dater chaque demande et qualifier chaque manquement : c’est ainsi qu’une simple sollicitation indésirable devient un dossier gagné.