Vous avez demandé à une société de ne plus utiliser votre adresse électronique à des fins publicitaires, elle vous l’a confirmé, puis un nouveau message commercial est arrivé. Ou bien une entreprise exploite vos données en invoquant son intérêt légitime, sans jamais vous avoir demandé votre avis. Dans ces deux situations, le règlement général sur la protection des données vous donne une arme directe : le droit de vous opposer au traitement, prévu par son article 21. Bien utilisé, ce droit oblige l’organisme à cesser d’utiliser vos données, et son refus ouvre la voie à une plainte devant la CNIL puis à un recours devant le juge.
Le Conseil d’État l’a encore illustré le 25 juillet 2025, dans une décision rendue sur la plainte d’un particulier qui avait demandé à ne plus recevoir de prospection par courrier électronique : après avoir rappelé la société à ses obligations, la CNIL avait clôturé la plainte, et le juge a validé cette appréciation (Conseil d’État, 10ème chambre, 25 juillet 2025, n° 497392). Aucune sanction n’a été prononcée contre la société dans cette affaire. Les développements qui suivent sont de portée générale : ils décrivent la méthode applicable dans toute situation comparable, en droit français, à la date de rédaction.
I. Dans quels cas pouvez-vous exiger que l’on cesse d’utiliser vos données ?
Le droit d’opposition ne joue pas de la même façon selon la finalité du traitement. La prospection commerciale obéit à un régime couperet, tandis que les autres traitements fondés sur l’intérêt légitime ou la mission d’intérêt public supposent d’invoquer votre situation particulière et laissent à l’organisme une marge de réponse encadrée.
A. La prospection : une opposition sans motif qui s’impose à l’organisme
Lorsque vos données sont traitées à des fins de prospection, votre droit est absolu. Le texte dispose que le droit de s’opposer à tout moment au traitement de ses données à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection, est ouvert à toute personne concernée (texte de l’article 21). Aucune justification ne vous est demandée : ni motif lié à votre situation, ni démonstration d’un préjudice. Et la conséquence est automatique : dès que l’opposition est formée, les données ne doivent plus être traitées à des fins de prospection (texte de l’article 21).
En pratique, cela vise les courriers électroniques publicitaires, les SMS commerciaux, le démarchage téléphonique adossé à un fichier, mais aussi le ciblage publicitaire construit sur votre profil dès lors qu’il est lié à de la prospection. La CNIL précise que, dans ce cas, l’organisme doit procéder à l’effacement de votre adresse de sa base de prospection dans les meilleurs délais, et que le lien de désinscription doit figurer dans les messages eux-mêmes : c’est d’ailleurs l’un des points que la Commission vérifie lors de l’instruction d’une plainte, comme le montre l’affaire jugée en 2025, où la société avait entre-temps rétabli des liens de désinscription dans ses courriers (Conseil d’État, 10ème chambre, 25 juillet 2025, n° 497392).
Deux précisions protègent l’efficacité du dispositif. D’abord, l’opposition à la prospection ne supprime pas tout le fichier : si vous restez client, vos coordonnées peuvent continuer d’être utilisées pour gérer vos commandes ; seule l’utilisation à des fins publicitaires doit cesser, comme l’explique la page de la CNIL consacrée au droit d’opposition. Ensuite, l’opposition n’est pas rétroactive : les envois antérieurs à votre demande demeuraient licites, seule la poursuite du traitement après votre opposition caractérise le manquement.
Formulez votre opposition canal par canal : une désinscription des courriers électroniques ne vaut pas nécessairement opposition aux SMS commerciaux ni au démarchage téléphonique, et inversement. Précisez chaque adresse électronique et chaque numéro concerné, et demandez une confirmation écrite de la prise en compte. Si des messages reprennent après cette confirmation, chaque nouvel envoi documenté renforce votre dossier : dans l’affaire jugée en 2025, c’est précisément la réception d’un courrier de prospection postérieur à l’opposition confirmée qui fondait la plainte, même si la CNIL a finalement estimé que l’envoi résultait d’un dysfonctionnement involontaire et clôturé la procédure par un rappel à la réglementation.
L’affaire tranchée par le Conseil d’État mérite d’être lue attentivement, car elle fixe les limites de ce que vous pouvez attendre de la CNIL. Le plaignant avait exercé son droit d’opposition le 25 juillet 2022, la société le lui avait confirmé le lendemain, puis un courrier de prospection lui était parvenu en janvier 2023, sans possibilité de désinscription dans le message. Saisie le 4 janvier 2023, la CNIL a rappelé la société à ses obligations, constaté que l’envoi résultait d’une erreur technique, que l’opposition était bien enregistrée et que les liens de désinscription figuraient désormais dans les messages, puis elle a clôturé la plainte le 2 juillet 2024. Le Conseil d’État a jugé qu’en procédant ainsi, la CNIL n’avait pas commis d’erreur d’appréciation : elle dispose, en principe, d’un large pouvoir pour choisir les suites à donner à une plainte, en tenant compte de la gravité des manquements, de leur contexte et des intérêts généraux dont elle a la charge (Conseil d’État, 10ème chambre, 25 juillet 2025, n° 497392). Retenez-en la leçon pratique : une opposition bien formée et conservée ne garantit pas une sanction contre l’organisme, mais elle fait cesser les envois et constitue la preuve décisive si les messages reprennent.
B. Les autres traitements : des raisons tenant à votre situation et une mise en balance
Hors prospection, le droit d’opposition ne joue que pour les traitements fondés sur la mission d’intérêt public ou sur l’intérêt légitime du responsable, c’est-à-dire les points e) et f) de l’article 6 du règlement. Le texte ouvre le droit de le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, aux traitements fondés sur la mission d’intérêt public ou sur l’intérêt légitime, y compris au profilage fondé sur ces bases (texte de l’article 21). Vous devez donc expliquer en quoi votre situation personnelle justifie l’arrêt du traitement : ce n’est pas un simple changement d’avis, c’est l’exposé d’une raison concrète.
Le cas le plus fréquent est celui de l’intérêt légitime, défini comme le traitement traitement nécessaire aux fins des intérêts légitimes poursuivis par le responsable ou par un tiers, sauf prévalence des intérêts, libertés et droits fondamentaux de la personne concernée (texte de l’article 6). Entrent notamment dans cette catégorie l’exploitation de données de navigation à des fins de personnalisation publicitaire, les enquêtes de satisfaction menées auprès d’anciens clients, ou la mutualisation de fichiers de clientèle entre sociétés d’un même groupe. À l’inverse, les traitements fondés sur votre consentement relèvent du retrait du consentement, ceux fondés sur un contrat s’éteignent avec le contrat, et ceux imposés par une obligation légale échappent à l’opposition.
Une fois votre opposition formée, la logique s’inverse : l’organisme doit alors cesser le traitement, sauf à démontrer des motifs légitimes et impérieux qui prévalent sur vos intérêts, droits et libertés, ou la nécessité de constater, exercer ou défendre des droits en justice (texte de l’article 21). C’est donc à l’organisme de prouver qu’il a des raisons prépondérantes de continuer, et non à vous de prouver qu’il a tort. La CNIL l’exprime simplement sur sa page dédiée : l’organisme doit démontrer que des motifs légitimes et impérieux lui imposent de continuer malgré votre demande, ou que vos données restent nécessaires à la constatation, à l’exercice ou à la défense de droits en justice.
Le droit français verrouille ce mécanisme de deux façons. D’abord, l’organisme doit vous informer de l’existence même de votre droit d’opposition, et cette information doit intervenir au plus tard lors de la première communication avec la personne concernée, de façon explicite, claire et séparée de toute autre information (texte de l’article 21). Une politique de confidentialité qui noie ce droit dans des pages de mentions générales ne satisfait pas cette exigence. Ensuite, l’article 56 de la loi du 6 janvier 1978 est ainsi rédigé : «Le droit d’opposition s’exerce dans les conditions prévues à l’article 21 du règlement (UE) 2016/679 du 27 avril 2016.» Il ajoute : «Ce droit ne s’applique pas lorsque le traitement répond à une obligation légale ou, dans les conditions prévues à l’article 23 du même règlement, lorsque l’application de ces dispositions a été écartée par une disposition expresse de l’acte instaurant le traitement.». Le règlement organise aussi l’exercice de ce droit dans l’environnement numérique. Dans le cadre des services en ligne, vous pouvez exercer votre opposition à l’aide de procédés automatisés utilisant des spécifications techniques, par exemple les signaux émis par votre navigateur ou les paramètres de votre compte, sans passer par un courrier. Et lorsque vos données sont traitées à des fins de recherche scientifique ou historique ou à des fins statistiques, vous conservez le droit de vous opposer pour des raisons tenant à votre situation particulière, sauf si le traitement est nécessaire à l’exécution d’une mission d’intérêt public. Ces deux extensions confirment la portée générale du dispositif : l’opposition n’est pas réservée aux fichiers commerciaux, elle suit vos données dans tous les traitements fondés sur l’intérêt légitime ou la mission d’intérêt public.
Vérifiez donc toujours le fondement du traitement avant d’écrire : une opposition dirigée contre un traitement légalement obligatoire sera rejetée, et vous perdrez du temps. La CNIL résume ces limites de façon très opérationnelle : si le traitement repose sur votre consentement, vous devez le retirer plutôt que de vous opposer ; si un contrat vous lie à l’organisme, seule la fin du contrat permet d’obtenir la suppression du compte et des données qui s’y rattachent, comme pour un compte chez un opérateur mobile ou un site de commerce en ligne ; et si une obligation légale impose le traitement, ou si celui-ci est nécessaire à la sauvegarde de vos intérêts vitaux ou de ceux d’une autre personne, l’opposition ne peut pas prospérer. Identifier le bon levier dès le départ, opposition, retrait du consentement, résiliation ou effacement, conditionne tout le succès de la démarche.
II. Comment exercer votre droit et réagir en cas de refus ou de silence ?
Le droit d’opposition n’est effectif que s’il est exercé auprès du bon interlocuteur, dans des termes précis et avec des preuves conservées. À défaut de réponse satisfaisante, un parcours en trois temps s’ouvre : la plainte devant la CNIL, le recours devant le juge, et la demande de réparation du préjudice.
A. Former une demande claire, traçable et adressée au bon organisme
La première étape consiste à identifier qui détient vos données : la société, l’association ou l’administration concernée, puis, sur son site, la page consacrée à l’exercice des droits, souvent intitulée politique de confidentialité ou mentions légales, avec les coordonnées du délégué à la protection des données. Si ces coordonnées sont introuvables, la CNIL propose une fiche pratique pour retrouver l’organisme à contacter. Adressez votre demande au responsable du traitement lui-même, et non à un simple service commercial, dont la réponse n’engage pas toujours l’organisme sur vos droits.
Le délégué à la protection des données, lorsqu’il en existe un, est votre point d’entrée naturel : ses coordonnées figurent dans la politique de confidentialité, et il est chargé de faciliter l’exercice de vos droits. Si l’organisme n’a pas désigné de délégué, écrivez au service indiqué pour l’exercice des droits ou, à défaut, au siège social, en précisant que votre courrier concerne l’exercice du droit d’opposition de l’article 21 du RGPD. L’objet explicite de votre message évite qu’il soit traité comme une simple réclamation commerciale et garantit qu’il parvienne à la personne compétente.
Le contenu de la demande varie selon son objet. Pour la prospection, une phrase suffit : indiquez que vous vous opposez au traitement de vos données à des fins de prospection, précisez l’adresse ou le numéro concerné, et la date prend effet immédiatement. Pour tout autre traitement, exposez les raisons tenant à votre situation particulière : décrivez concrètement en quoi la poursuite du traitement vous affecte, sans verser dans l’argumentation juridique, que l’organisme devra produire lui. Vous pouvez agir par formulaire en ligne, par courrier électronique, depuis votre compte client ou par courrier postal, et aucun justificatif ne peut vous être imposé pour la seule opposition à la prospection. Des modèles de courrier proposés par la CNIL vous aident à ne rien oublier. Une demande complète mentionne votre identité et les éléments permettant de vous identifier dans le fichier, l’adresse ou le numéro concerné, l’objet précis de l’opposition avec la référence à l’article 21 du RGPD, les raisons tenant à votre situation particulière lorsque le traitement n’est pas de la prospection, et la demande d’une confirmation écrite des mesures prises dans le délai d’un mois. Datez chaque envoi et notez dans un tableau de suivi la date de la demande, le canal utilisé, la date de la réponse et son contenu : ce calendrier fera foi si vous devez ensuite démontrer, devant la CNIL ou le juge, que le délai de réponse n’a pas été respecté ou que l’opposition est restée sans effet. Précisez enfin si votre opposition vise l’ensemble des utilisations de vos données ou une finalité déterminée, par exemple la seule prospection : une opposition ciblée est plus difficile à contourner et son périmètre ne prêtera pas à discussion en cas de litige sur la portée de votre demande initiale.
La conservation des preuves décide souvent de l’issue du dossier. Réalisez une capture d’écran de votre demande et de l’accusé de réception, conservez les réponses de l’organisme, et si vous écrivez par courrier, envoyez en recommandé avec accusé de réception qui établira la date de votre démarche. La CNIL insiste sur ce point : sans copie de votre demande initiale, votre plainte ultérieure perd l’essentiel de sa force. Si vous exerciez déjà d’autres droits sur le même fichier, par exemple pour obtenir la copie de vos données avant de décider de vous opposer, l’articulation avec le droit d’accès et ses délais de réponse doit être préparée dans le même calendrier, car chaque droit a son propre régime de réponse.
L’organisme ne peut pas garder le silence. Le règlement lui impose de vous informer des mesures prises dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande, délai prolongeable de deux mois selon la complexité et le nombre de demandes, à condition de vous en avertir (texte de l’article 12). Passé ce délai sans réponse, ou en cas de refus que vous estimez injustifié, vous pouvez saisir la CNIL. Notez que le refus doit être motivé : pour la prospection, aucun motif de poursuite n’est juridiquement recevable ; pour les autres traitements, l’organisme doit vous exposer les motifs légitimes et impérieux qu’il invoque, faute de quoi son refus est fragile devant l’autorité de contrôle puis devant le juge.
B. Saisir la CNIL, le juge et obtenir réparation du préjudice
Avant de saisir la CNIL, vous devez avoir exercé votre droit auprès de l’organisme : la Commission déclare irrecevables les plaintes qui ne sont précédées d’aucune démarche. Une fois cette condition remplie, toute personne qui considère que le traitement de ses données viole le règlement peut introduire une réclamation auprès d’une autorité de contrôle, notamment celle de sa résidence habituelle, de son lieu de travail ou du lieu de la violation (texte de l’article 77). En France, cette autorité est la CNIL, saisie en ligne, et l’auteur de la réclamation doit être informé de l’état d’avancement et de l’issue de son dossier. Joignez à votre plainte l’ensemble des pièces conservées : copie de votre opposition, preuve de sa réception, confirmation éventuelle de l’organisme, messages reçus postérieurement, captures d’écran des formulaires. Sachez toutefois que le délai de traitement de votre plainte par la CNIL est sans incidence sur la légalité de sa décision, comme l’a jugé le Conseil d’État, de même que le fait qu’elle ne vous ait pas spontanément communiqué les échanges menés avec l’organisme pendant l’instruction. Autrement dit, ne subordonnez pas votre action judiciaire à l’issue de la procédure devant la CNIL : si les messages se poursuivent ou si le traitement contesté vous cause un préjudice actuel, saisissez le tribunal sans attendre la clôture de votre plainte.
Les pouvoirs dont dispose la CNIL sont gradués. Elle peut adresser un rappel à la réglementation, mettre en demeure l’organisme de satisfaire à votre demande, puis saisir sa formation restreinte en vue d’une mise en conformité sous astreinte ou d’une sanction pécuniaire. Le Conseil d’État rappelle qu’il appartient à la CNIL, saisie d’une plainte, de procéder «à l’examen des faits qui en sont à l’origine et de décider des suites à leur donner», avec un large pouvoir d’appréciation tenant à la gravité des manquements, au sérieux des indices, à leur date et à leur contexte. Mais ce pouvoir a une limite essentielle, posée par la même décision : lorsque le plaignant invoque la méconnaissance d’un droit individuel garanti par la loi, notamment les droits d’accès, de rectification, d’effacement, de limitation et d’opposition, le pouvoir d’appréciation de la CNIL «s’exerce alors, eu égard à la nature du droit individuel en cause, sous l’entier contrôle du juge de l’excès de pouvoir». Concrètement, si la CNIL refuse de mettre en demeure l’organisme de donner suite à votre opposition, vous pouvez déférer ce refus au Conseil d’État, qui le censurera en cas d’erreur de fait ou de droit, d’erreur manifeste d’appréciation ou de détournement de pouvoir. Et si vous contestez une décision prise par la CNIL elle-même, le règlement ouvre à toute personne un droit de recours effectif contre une décision d’une autorité de contrôle qui la concerne (texte de l’article 78), comme l’illustre la présente affaire, jugée par le Conseil d’État sur une décision de la CNIL.
La mise en demeure prononcée par le président de la CNIL ordonne à l’organisme de satisfaire à votre demande, de mettre le traitement en conformité, de rectifier ou d’effacer vos données ou d’en limiter l’utilisation. Si elle reste sans effet, le président peut saisir la formation restreinte en vue du prononcé d’une injonction de mettre le traitement en conformité ou de satisfaire aux demandes que vous avez présentées, ainsi que des sanctions prévues par la loi. Vous n’avez pas à choisir entre ces voies : la plainte devant la CNIL et l’action devant le juge judiciaire peuvent être menées de front, et l’injonction du juge produit ses effets indépendamment de la procédure ouverte devant l’autorité de contrôle.
Parallèlement à la voie administrative, vous disposez d’une action directe contre l’organisme : toute personne qui considère que les droits que le règlement lui confère ont été violés par un traitement non conforme dispose d’un recours effectif devant le juge (texte de l’article 79). Vous pouvez agir devant le tribunal judiciaire, y compris celui de votre résidence habituelle, pour faire reconnaître la violation de vos droits et ordonner la cessation du traitement et, le cas échéant, l’effacement des données. Cette action appartient à toute personne qui considère que les droits que le règlement lui confère ont été violés, et elle peut être exercée alors même qu’une plainte est pendante devant la CNIL : les deux voies sont indépendantes l’une de l’autre.
La réparation du préjudice obéit à des règles précises, rappelées par la Cour de cassation le 24 juin 2026. Le texte ouvre le droit à réparation à «toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement», ce qui couvre aussi bien une perte financière mesurable qu’un préjudice moral comme l’anxiété née de la perte de contrôle sur vos données. Mais la chambre sociale, s’appuyant sur la Cour de justice de l’Union européenne, pose deux verrous : d’une part, «la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation» ; d’autre part, la personne qui demande réparation «est tenue d’établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral» (Cour de cassation, chambre sociale, 24 juin 2026, n° 24-22.792 ; CJUE, 4 mai 2023, n° C-300/21, Österreichische Post ; CJUE, 25 janvier 2024, n° C-687/21). En revanche, aucune gravité minimale du préjudice ne peut vous être opposée, et l’indemnisation remplit une fonction compensatoire : elle doit compenser intégralement le préjudice concrètement subi, sans poursuivre une finalité punitive. Pour votre dossier, cela signifie qu’une opposition ignorée ne se répare pas toute seule : conservez les messages reçus après votre demande, chiffrez le temps passé et les démarches accomplies, et documentez tout retentissement concret, car c’est ce préjudice démontré, et lui seul, que le juge indemnisera.
Conclusion
Le droit d’opposition de l’article 21 du RGPD est l’un des rares droits qui produisent un effet immédiat : en matière de prospection, votre seule demande, sans motif, impose l’arrêt du traitement ; pour les autres traitements fondés sur l’intérêt légitime ou la mission d’intérêt public, vos raisons tenant à votre situation particulière renversent la charge de la preuve et contraignent l’organisme à justifier des motifs impérieux de continuer. L’organisme doit vous répondre dans un délai d’un mois, la CNIL peut être saisie en cas de refus ou de silence et son appréciation reste sous l’entier contrôle du juge lorsqu’un droit individuel est en jeu, le tribunal judiciaire peut ordonner la cessation du traitement, et le préjudice démontré résultant d’une opposition ignorée ouvre droit à réparation intégrale. La méthode qui protège le mieux vos intérêts tient en quatre réflexes : identifier le fondement du traitement avant d’écrire, formuler une opposition précise et datée, en conserver la preuve complète, puis saisir la CNIL et le juge dans cet ordre si l’utilisation de vos données se poursuit malgré votre demande.