En 2018, la révélation de l’exploitation massive des données d’utilisateurs d’un réseau social à des fins de profilage politique a fait prendre conscience au grand public d’un risque jusque-là théorique : des informations livrées pour partager des photos ou retrouver des connaissances peuvent servir à construire des profils intimes, puis à adresser à chacun des messages calculés pour orienter ses opinions et ses votes. Huit ans plus tard, le sujet revient dans l’actualité : selon la presse, une juridiction américaine aurait condamné en octobre 2026 un réseau social à verser 25 milliards de dollars pour avoir trompé pendant plusieurs années les habitants d’un État américain sur l’utilisation de leurs données, dans une affaire liée à ce même scandale, et le groupe visé aurait annoncé faire appel de cette décision (presse suisse, 25 octobre 2026).
Aucune responsabilité n’est établie par une source officielle à la date de rédaction du présent article, les qualifications juridiques des faits américains restent celles du droit américain et ne sont pas transposables telles quelles en France, les contrats que vous avez acceptés priment sur toute analyse générale, et seul le juge, saisi d’un litige précis, décide. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles et les recours ouverts en France à toute personne dont les données auraient servi à un profilage politique, et ils ne décrivent la situation d’aucune entreprise en particulier, sur laquelle l’article ne formule aucun constat.
Concrètement, si vous découvrez que vos données ont alimenté un ciblage politique, le droit français et européen vous donne des leviers précis : savoir ce qui est détenu sur vous, vous opposer au profilage, exiger l’effacement, saisir la CNIL, agir en justice pour obtenir réparation et, lorsque de nombreuses personnes sont dans le même cas, agir ensemble dans le cadre rénové de l’action de groupe.
I. Quand l’exploitation de vos données à des fins politiques viole le droit européen
A. Pas de traitement sans base légale réelle, et jamais sans garde-fou pour vos opinions politiques
Le règlement européen sur la protection des données pose une règle simple : un traitement de données personnelles n’est licite que s’il repose sur l’une des bases énumérées à son article 6. La première d’entre elles est le consentement donné pour une ou plusieurs finalités spécifiques. Un consentement donné pour « retrouver des amis » ou « personnaliser l’expérience » ne couvre pas, par lui-même, la construction d’un profil politique destiné à influencer un vote : la finalité doit être déterminée, et le consentement doit être libre, spécifique, éclairé et univoque.
La protection est encore plus stricte pour les données qui révèlent vos opinions politiques. L’article 9 du règlement interdit par principe tout traitement de données révélant notamment les opinions politiques, sauf exception étroite, dont la principale est le consentement explicite donné pour une ou plusieurs finalités spécifiques. Or c’est précisément le mécanisme du profilage politique : déduire vos opinions de vos pages suivies, de vos « j’aime », de vos groupes et de vos déplacements, pour vous classer dans une case électorale. Dès lors qu’un tel classement est opéré sans votre consentement explicite, l’interdiction de principe s’applique, et c’est au responsable du traitement de démontrer qu’il entre dans l’une des exceptions.
Le responsable du traitement doit en outre vous informer de manière concise, transparente et accessible, et la loi française renvoie sur ce point aux articles 12 à 14 du règlement (article 48 de la loi du 6 janvier 1978). Si vous n’avez jamais été informé que vos données serviraient à établir un profil politique, ou si l’information était noyée dans des conditions générales illisibles, cette exigence de transparence est le premier manquement à documenter : conservez les captures des pages d’information et des cases cochées, car elles feront la preuve de ce qui vous a été dit, et de ce qui vous a été caché.
Le consentement, lorsqu’il est invoqué, doit en outre être prouvable par celui qui s’en prévaut : l’article 7 du règlement met à la charge du responsable du traitement la démonstration que la personne concernée a bien consenti. Une case pré-cochée, un paramétrage obscur ou un refus plus compliqué que l’acceptation ne démontrent rien. Et même un consentement valablement donné n’enchaîne pas pour l’avenir : toute personne peut le retirer à tout moment, aussi simplement qu’elle l’a donné. Le retrait ne remet pas en cause ce qui a été fait avant, mais il prive le traitement de base légale pour l’avenir : c’est un levier immédiat pour stopper le profilage, avant même toute procédure.
B. Le profilage et la décision automatisée ne sont pas une zone de non-droit
Le profilage consiste à évaluer des aspects personnels — opinions, comportement, déplacements, fiabilité — à partir de vos données. L’article 22 du règlement lui consacre un régime propre : toute personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, y compris un profilage, dès lors que cette décision produit des effets juridiques ou l’affecte de manière significative. Un ciblage électoral individualisé, qui adapte les messages reçus avant un scrutin en fonction du profil déduit de vos données, entre dans le champ de cette protection dès lors qu’il vous affecte de manière significative.
Parallèlement, l’article 21 du règlement permet de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l’intérêt légitime, y compris lorsqu’il comporte un profilage. En France, ce droit d’opposition s’exerce dans les conditions de cet article (article 56 de la loi du 6 janvier 1978). Concrètement, une opposition écrite, motivée par votre situation et visant expressément le profilage à des fins politiques, oblige le responsable du traitement à cesser, sauf à démontrer des motifs légitimes et impérieux qui prévaudraient sur vos droits. Le cas des messages électoraux non sollicités est encore plus net : en matière de prospection, l’opposition peut intervenir à tout moment et sans avoir à se justifier, y compris contre le profilage lié à cette prospection. Ici, aucun motif impérieux ne peut vous être opposé : dès l’opposition, les données ne doivent plus être traitées à ces fins. Si des SMS, courriels ou publicités politiques continuent d’arriver après votre opposition écrite, chaque envoi documenté devient une pièce de plus au dossier.
Une limite mérite d’être signalée avec honnêteté : lorsque les données litigieuses figurent dans des archives de presse en ligne, l’effacement se heurte à la liberté d’expression. Par un arrêt du 3 juin 2026, la première chambre civile de la Cour de cassation a rappelé que l’article 17 du règlement organise lui-même cette mise en balance et jugé qu’il appartient à la personne qui demande l’altération d’un contenu journalistique archivé de prouver la gravité de l’atteinte résultant du maintien en ligne (Cass. 1re civ., 3 juin 2026, n° 25-14.228). La Cour reprend à cette occasion les sept critères dégagés par la Cour européenne des droits de l’homme : nature de l’information, temps écoulé, intérêt contemporain du public, notoriété du demandeur et son comportement, répercussions négatives de la permanence en ligne, accessibilité de l’archive, et impact de la mesure sur la liberté de la presse. Retenez-en la leçon pratique : une demande d’effacement visant un article de presse ancien se prépare autrement qu’une demande visant un fichier marketing, et elle suppose de documenter précisément le préjudice actuel que le maintien en ligne vous cause.
II. Vos recours concrets en France, de la vérification à la réparation
A. Vérifier ce qui est détenu sur vous, exiger la rectification et l’effacement, puis saisir la CNIL
Tout commence par l’accès. L’article 15 du règlement donne à toute personne le droit d’obtenir la confirmation que des données la concernant sont ou non traitées et, dans l’affirmative, d’y accéder avec l’ensemble des informations prévues : finalités, catégories de données, destinataires, durée de conservation, droits disponibles, source des données et, point essentiel pour notre sujet, l’existence d’une prise de décision automatisée incluant un profilage, avec la logique sous-jacente et les conséquences prévues. En France, ce droit d’accès s’exerce dans les conditions de cet article (article 49 de la loi du 6 janvier 1978). Adressez une demande écrite au responsable du traitement ou à son délégué à la protection des données, en demandant expressément la copie de vos données, la liste des destinataires auxquels elles ont été communiquées, et la confirmation de l’existence d’un profilage à des fins politiques. Si les informations détenues sur vous sont inexactes ou incomplètes — par exemple une opinion politique qui n’est pas la vôtre, une adresse ou une situation familiale erronée — exigez leur rectification : un profil construit sur des données fausses vicie par construction tout ciblage qui en découle, et le responsable du traitement doit corriger sans retard injustifié.
Si vous craignez que vos données soient effacées pour faire disparaître les preuves, sachez que la loi a prévu ce cas : « En cas de risque de dissimulation ou de disparition des données à caractère personnel, le juge compétent peut ordonner, y compris en référé, toutes mesures de nature à éviter cette dissimulation ou cette disparition. » (article 49 de la loi du 6 janvier 1978). Conservez donc, avant toute démarche, vos propres captures d’écran, historiques de publicités reçues et messages de ciblage : ce sont vos preuves, indépendantes des fichiers du responsable du traitement.
Vient ensuite l’effacement. L’article 17 du règlement donne à toute personne le droit d’obtenir l’effacement de ses données dans les meilleurs délais lorsque l’un des motifs prévus est rempli, notamment lorsque les données ne sont plus nécessaires au regard des finalités de collecte, lorsque vous retirez votre consentement, ou lorsque vous vous opposez au traitement et qu’aucun motif légitime impérieux ne prévaut. La loi française ajoute une protection propre aux mineurs : le responsable du traitement doit effacer dans les meilleurs délais les données collectées dans le cadre de l’offre de services de la société de l’information lorsque la personne était mineure au moment de la collecte. Et si l’effacement n’est pas exécuté, ou si le responsable du traitement ne répond pas dans un délai d’un mois, la voie est balisée : « En cas de non-exécution de l’effacement des données à caractère personnel ou en cas d’absence de réponse du responsable du traitement dans un délai d’un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés, qui se prononce sur cette demande dans un délai de trois semaines à compter de la date de réception de la réclamation. » (article 51 de la loi du 6 janvier 1978).
Lorsque vos données ont fuité ou ont été détournées, une autre obligation pèse sur le responsable du traitement, et son manquement est un indice précieux pour votre dossier : en cas de violation de données personnelles, il doit en principe la notifier à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance. Surtout, lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés, le responsable du traitement doit la communiquer à la personne concernée dans les meilleurs délais, en application des articles 33 et 34 du règlement. Si vous apprenez par la presse qu’un fichier vous concernant a été exploité, alors que personne ne vous a jamais informé, conservez l’article et notez la date à laquelle vous l’avez découvert : l’absence d’information individuelle, alors que le risque était élevé, pourra être invoquée devant la CNIL comme devant le juge.
La plainte devant la CNIL obéit à une procédure précise, rappelée sur le site officiel de l’autorité (adresser une plainte à la CNIL) : vous devez d’abord exercer vos droits directement auprès de l’organisme et conserver les preuves de vos demandes, car l’autorité ne peut pas être votre mandataire. L’organisme doit vous répondre dans un délai d’un mois au maximum, prolongé de deux mois si votre demande est complexe ou nécessite des investigations. Passé ce délai sans réponse, ou si la réponse est incomplète, vous pouvez saisir la CNIL en joignant vos justificatifs. Deux limites doivent être connues avant de se lancer : l’autorité ne peut pas vous allouer de dommages et intérêts ni constater elle-même votre préjudice, et elle ne traite pas les plaintes imprécises ou incomplètes. Une plainte efficace décrit donc des faits datés, identifie les traitements en cause, joint les demandes préalables restées sans réponse utile, et vise les manquements précis aux articles du règlement. Si la CNIL établit des manquements, elle dispose de sanctions qui peuvent être lourdes : les articles 58 et 83 du règlement prévoient dans chaque cas des amendes effectives, proportionnées et dissuasives, dont le montant tient compte notamment de la nature, de la gravité et de la durée de la violation, du nombre de personnes affectées et du caractère délibéré ou non des faits.
B. Faire juger la violation, obtenir réparation et, à plusieurs, agir ensemble
La plainte à l’autorité n’épuise pas vos droits : l’article 79 du règlement ouvre à toute personne qui s’estime lésée un recours juridictionnel effectif lorsqu’elle considère que ses droits ont été violés, et l’action peut être portée devant les juridictions de l’État membre de votre résidence habituelle. Pour une personne qui réside en France, le paragraphe 2 de ce même article 79 signifie concrètement que le litige contre un responsable établi dans un autre État membre peut être porté devant le juge français, sans avoir à plaider à l’étranger. Vérifiez toutefois, avant d’assigner, l’adresse exacte de l’établissement visé et la qualité de responsable ou de sous-traitant de votre adversaire, car l’assignation d’une entité qui n’est pas responsable du traitement en cause expose à une fin de non-recevoir. Le fondement de la réparation est l’article 82 du règlement : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du texte peut en obtenir réparation auprès du responsable du traitement ou du sous-traitant.
Trois précisions apportées par la Cour de cassation le 24 juin 2026 doivent guider toute demande d’indemnisation. Dans cette affaire, une cour d’appel avait alloué 5 000 euros à un salarié au motif que la violation du règlement lui avait nécessairement causé un préjudice, et la chambre sociale a censuré ce raisonnement au visa de l’article 82 (Cass. soc., 24 juin 2026, n° 24-22.792). Premièrement, « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation » : il faut établir, en plus de la violation, l’existence d’un dommage matériel ou moral qu’elle vous a causé. Deuxièmement, aucun seuil de gravité n’est exigé : le juge ne peut pas subordonner la réparation à la démonstration d’un préjudice d’une gravité minimale. Troisièmement, la réparation remplit une fonction compensatoire, et non punitive : elle doit compenser intégralement le préjudice concrètement subi, sans enrichissement. Concrètement, documentez votre dommage : messages politiques ciblés reçus, sentiment d’intrusion et d’instrumentalisation, temps passé à faire valoir vos droits, crainte d’être fiché pour vos opinions. Un préjudice moral, même sans perte d’argent, est indemnisable dès lors qu’il est réel et prouvé.
Lorsque des milliers de personnes sont concernées par le même type d’exploitation, l’action de groupe entre en jeu, et le paysage vient de changer. Sous l’ancien article 37 de la loi du 6 janvier 1978, une association de consommateurs avait assigné en 2019 deux sociétés du même groupe à propos de traitements de géolocalisation et de profilage publicitaire sans consentement ; par jugement du 18 décembre 2024, le tribunal judiciaire de Paris a déclaré cette action irrecevable (TJ Paris, 18 décembre 2024, RG 19/08151, texte intégral vérifié et conservé dans les preuves du run). Le tribunal a jugé que la recevabilité s’apprécie au vu des cas individuels présentés, et que les quatre situations décrites n’étaient ni similaires ni rattachées à un manquement caractérisé : une insatisfaction générale, un agacement publicitaire et constats techniques imprécis ne suffisent pas à démontrer un dommage causé par un manquement de même nature. La leçon est directe pour toute action future après une exploitation massive : il faut des cas individuels documentés, similaires, reliant chacun un manquement précis à un dommage précis.
Depuis 2025, c’est un régime rénové qui s’applique. L’article 16 de la loi n° 2025-391 du 30 avril 2025 portant diverses dispositions d’adaptation au droit de l’Union européenne a abrogé l’ancien article 37 et créé une action de groupe unifiée : elle est exercée par des associations agréées, pour le compte de personnes placées dans une situation similaire résultant d’un même manquement ou d’un manquement de même nature, afin d’obtenir la cessation du manquement, la réparation des préjudices subis, ou les deux. Les organisations syndicales représentatives peuvent agir en matière de protection des données personnelles, le ministère public peut agir en cessation, et le texte s’applique aux actions intentées après sa publication, avec une période transitoire de deux ans pour les demandeurs remplissant les anciennes conditions. Pour les victimes d’un profilage politique de masse, ce cadre offre une voie collective crédible, à condition de tirer la leçon du jugement de 2024 : constituer dès l’origine un dossier de cas individuels solides, plutôt qu’une indignation partagée sans pièces.
À Paris et en Île-de-France, ce contentieux se plaide naturellement devant le tribunal judiciaire de Paris, qui a développé un pôle dédié aux actions de groupe et qui a déjà jugé, comme on vient de le voir, une action en matière de données personnelles. Si votre situation soulève une question de délai, de point de départ ou de recevabilité, sachez que les décisions consultées pour le présent article ne tranchent pas ces questions pour votre cas particulier : n’en déduisez aucune règle par vous-même, agissez rapidement et conservez l’ensemble de vos preuves et de vos échanges, car ce sont eux qui permettront au juge de statuer.
Préparez votre dossier comme un dossier contentieux, même si vous espérez une issue amiable : copie de votre demande d’accès et de la réponse reçue, captures des informations et des cases de consentement, historique des messages ciblés, preuve de votre opposition et des envois postérieurs, échanges avec le délégué à la protection des données, et plainte à la CNIL avec ses pièces jointes. C’est cet ensemble daté qui permettra, le cas échéant, au juge d’établir la violation, son imputabilité et votre dommage, les trois conditions cumulatives que la Cour de cassation exige pour indemniser.
En définitive, l’exploitation de données personnelles à des fins de profilage politique n’est pas une fatalité technologique que le droit regarderait passer : le consentement spécifique fait défaut par construction à ces montages, les opinions politiques déduites de votre activité relèvent des données les plus protégées, et l’opposition comme l’effacement peuvent tarir le traitement à la source. Lorsque le responsable du traitement ne répond pas, la CNIL peut sanctionner, et le juge peut réparer, sans seuil de gravité mais jamais sans preuve du dommage. Les contrats que vous avez acceptés priment sur toute analyse générale, aucune responsabilité d’aucune entreprise n’est établie par le présent article, et seul le juge, saisi de votre dossier et au vu des pièces produites, tranchera.