Chaque semaine, des milliers de personnes découvrent dans leur boîte de réception des offres qu’elles n’ont jamais demandées : codes promotionnels d’une marque inconnue, SMS d’un courtier en énergie, messages d’un site marchand consulté une seule fois trois ans plus tôt. Le réflexe le plus fréquent consiste à supprimer le message et à passer à autre chose. Ce réflexe coûte parfois cher aux entreprises qui prospectent, et il prive les destinataires de droits que la loi leur reconnaît expressément.
Le cadre applicable aux courriers électroniques et aux SMS commerciaux ne se résume pas au règlement général sur la protection des données. Il combine ce règlement, une directive européenne dédiée aux communications électroniques, un article précis du code des postes et des communications électroniques, les positions et les sanctions de la CNIL, ainsi qu’une jurisprudence récente et abondante du Conseil d’État et de la Cour de justice de l’Union européenne. La formation restreinte de la CNIL a prononcé 900 000 euros d’amende contre un courtier en données pour prospection sans consentement valable, le Conseil d’État a validé en 2025 puis renvoyé en 2026 plusieurs volets de ce contentieux, et une question préjudicielle décisive sur le consentement collecté par un primo-collectant attend la réponse de la Cour de justice.
Cet article répond aux deux questions que se posent les lecteurs concernés : le message reçu est-il illicite dans votre situation précise, et que faire concrètement, que vous soyez le destinataire qui subit le spam ou l’entreprise qui prospecte et veut régulariser avant la sanction.
I. Le message commercial reçu par email ou SMS est-il interdit dans votre situation ?
La réponse dépend de trois paramètres : votre qualité de destinataire, l’origine de vos coordonnées et l’existence d’un consentement ou d’une opposition. La règle de principe est l’interdiction, les exceptions sont étroites et c’est à l’expéditeur de prouver qu’il entre dans l’une d’elles.
A. La règle de principe : aucun email ni SMS commercial sans votre consentement préalable
Pour les particuliers, le principe est l’opt-in : l’expéditeur doit avoir obtenu votre accord avant le premier envoi. L’article L. 34-5 du code des postes et des communications électroniques dispose ainsi : « Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. »
Ce texte français transpose l’article 13, paragraphe 1, de la directive 2002/58 du 12 juillet 2002, dite directive ePrivacy, qui prévoit que « ayant donné leur consentement préalable », pour reprendre les termes de son article 13, paragraphe 1, qui subordonne l’usage du courrier électronique à des fins de prospection directe à cette condition (directive 2002/58 du 12 juillet 2002) La Cour de justice donne à la notion de prospection directe une portée large : dans son arrêt du 25 novembre 2021, StWL Städtische Werke Lauf contre eprimo (affaire C-102/20), elle a jugé qu’une lettre d’information vantant de nouveaux tarifs d’électricité, adressée à un client existant sans son accord, constitue bien une communication à des fins de prospection directe soumise au régime du consentement préalable ((arrêt du 25 novembre 2021, StWL Städtische Werke Lauf contre eprimo, affaire C-102/20)). Une association concurrente soulignait à juste titre que cet arrêt précise les contours de la prospection directe et son articulation avec le RGPD.
Le RGPD verrouille le dispositif en imposant une base légale à tout traitement. Son article 6 subordonne la licéité du traitement au consentement de la personne concernée « pour une ou plusieurs finalités spécifiques ». Et lorsque le traitement repose sur le consentement, l’article 7 ajoute que « le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant ». Autrement dit, en cas de contrôle ou de litige, l’entreprise qui vous a écrit doit produire la preuve de votre accord : case cochée volontairement, formulaire conservé, horodatage. L’absence de preuve équivaut à l’absence de consentement, et la CNIL sanctionne régulièrement sur ce seul fondement.
Concrètement, un consentement valable doit être libre, spécifique, éclairé et univoque, ce qui exclut les cases pré-cochées, les mentions noyées dans des conditions générales et les formules vagues du type « nos partenaires pourront vous contacter ». Sur ce dernier point, le contentieux Canal+ est emblématique : par sa délibération SAN-2023-015 du 12 octobre 2023, la CNIL a infligé 600 000 euros d’amende au groupe pour des manquements aux articles 7, 12, 13, 14, 15, 28, 32 et 33 du RGPD ainsi qu’à l’article L. 34-5, et le Conseil d’État, saisi du recours, a décidé le 5 mai 2025 de surseoir à statuer et de renvoyer à la Cour de justice la question de savoir si le consentement donné à un primo-collectant pour une catégorie de destinataires désignée par le seul mot de « partenaires » peut valoir consentement éclairé (Conseil d’État, 5 mai 2025, n° 490202). Tant que la Cour n’a pas répondu, toute entreprise qui prospecte sur la base d’un fichier de « partenaires » non identifiés au moment de la collecte s’expose à voir son consentement jugé invalide.
Deux précisions de périmètre méritent d’être soulignées. D’abord, l’expéditeur doit indiquer des coordonnées valables permettant de demander l’arrêt des envois et ne peut ni masquer son identité ni afficher un objet sans rapport avec l’offre : ces exigences figurent dans le même article L. 34-5. Ensuite, le régime des appels téléphoniques vocaux obéit à des règles distinctes, présentées dans notre analyse du démarchage téléphonique sans consentement : ne transposez pas les solutions d’un canal à l’autre.
B. Les deux seules situations où l’envoi reste possible sans consentement exprès
La loi admet deux assouplissements, et deux seulement, que l’expéditeur doit établir cumulativement avec leurs conditions.
Le premier concerne le client existant démarché pour des produits ou services analogues. La prospection directe par courrier électronique est autorisée si les coordonnées ont été recueillies auprès du destinataire à l’occasion d’une vente ou d’une prestation de services, si la prospection concerne des produits ou services analogues fournis par la même personne, et si le destinataire s’est vu offrir, de manière expresse et dénuée d’ambiguïté, la possibilité de s’opposer sans frais et de manière simple au moment de la collecte puis à chaque envoi. Chacune de ces conditions se contrôle strictement : une adresse collectée à l’occasion d’un jeu-concours gratuit n’ouvre pas le bénéfice de l’exception, car il n’y a ni vente ni prestation ; une offre de crédit adressée à l’acheteur d’un réfrigérateur ne porte pas sur un produit analogue ; et l’absence de lien de désinscription fonctionnel dans le message fait tomber l’exception. La CNIL détaille ces conditions dans son guide de la prospection par courrier électronique, SMS-MMS et automate d’appel, que tout annonceur devrait confronter à ses tunnels de collecte avant de prospecter.
Le second assouplissement concerne la prospection entre professionnels, que la CNIL tolère sous conditions précises : le message doit être en lien avec la fonction professionnelle du destinataire, l’adresse doit avoir été collectée dans un contexte professionnel, et chaque message doit rappeler l’identité de l’expéditeur et offrir un moyen simple de s’opposer. Cette tolérance ne couvre ni l’envoi massif à des adresses génériques moissonnées sur le web, ni la prospection vers des boîtes personnelles utilisées à titre privé, ni l’absence d’information sur la source des données. Surtout, elle ne dispense pas du RGPD : l’expéditeur doit disposer d’une base légale, informer les personnes et respecter leur opposition. La recommandation de la CNIL sur la prospection vers les particuliers et la transmission de données entre partenaires rappelle que revendre ou transmettre un fichier de prospects à des partenaires suppose une information claire dès la collecte et, hors exception du client existant, un consentement couvrant cette transmission.
Symétriquement, le destinataire dispose d’un droit d’opposition absolu en matière de prospection. L’article 21 du RGPD prévoit que L’article 21 du RGPD ouvre à chacun le « droit de s’opposer à tout moment » au traitement de ses données à des fins de prospection, y compris au profilage lié à une telle prospection Dès l’opposition exercée, les données « ne sont plus traitées à ces fins ». Aucune pesée d’intérêts n’est alors admise : contrairement à l’opposition fondée sur la situation particulière, qui suppose des motifs légitimes et impérieux de l’organisme pour être écartée, l’opposition à la prospection s’impose sans discussion. Tout envoi postérieur à une désinscription ou à une demande de ne plus être démarché constitue donc un manquement caractérisé, comme l’illustre l’affaire Decathlon jugée par le Conseil d’État le 25 juillet 2025 : un client qui avait demandé le 25 juillet 2022 à ne plus recevoir de prospection, demande confirmée par l’enseigne le 26 juillet 2022, avait néanmoins reçu un nouveau message que la société attribuait à une erreur technique (Conseil d’État, 25 juillet 2025, n° 497392). La CNIL avait clôturé la plainte après vérification de l’enregistrement de l’opposition et du rétablissement des liens de désinscription, et le Conseil d’État a rejeté le recours contre cette clôture tout en rappelant l’étendue du pouvoir de la Commission : avertissement, rappel aux obligations, mise en demeure, puis saisine de la formation restreinte en vue d’injonctions et de sanctions. La leçon est double : une erreur technique n’autorise pas l’envoi, et la clôture d’une plainte isolée ne vaut pas blanc-seing pour l’organisme.
II. Que faire concrètement après un spam : preuves, CNIL, juge et régularisation
Que vous subissiez les envois ou que vous les émettiez, la méthode gagnante est la même : qualifier les faits, constituer la preuve, puis actionner les bons leviers dans le bon ordre.
A. Vous recevez des emails ou SMS non sollicités : faire cesser, signaler et obtenir réparation
Commencez par figer la preuve. Conservez les messages avec leurs en-têtes complets, les captures datées de la boîte de réception, le SMS avec le numéro d’expéditeur et l’objet affiché, ainsi que tout formulaire d’inscription que vous auriez rempli et dont vous contestez la portée. Notez les dates : date de chaque envoi, date de votre demande de désinscription, envois reçus malgré cette demande. Vérifiez si le message contient un lien de désinscription fonctionnel et l’identité de l’expéditeur : son absence constitue un grief supplémentaire au titre de l’article L. 34-5. Si vos coordonnées ont été revendues, recherchez la mention d’information sur la source : son absence révèle un manquement aux articles 13 et 14 du RGPD sur l’information des personnes.
Exercez ensuite vos droits directement auprès de l’expéditeur. Envoyez une demande écrite d’opposition à toute prospection et d’effacement de vos coordonnées de ses fichiers de prospection, en conservant la preuve de l’envoi et de la réception. L’organisme doit répondre dans un délai d’un mois, éventuellement prolongé dans les cas complexes. En l’absence de réponse ou de réponse insatisfaisante, vous pouvez saisir la CNIL : la Commission met à disposition un téléservice de signalement des sollicitations commerciales non désirées par courrier électronique et une procédure générale de plainte en ligne. Joignez vos preuves, la chronologie et la copie de votre demande préalable restée vaine : une plainte documentée est instruite plus vite qu’un simple signalement.
La plainte devant la CNIL n’épuise pas vos recours. Vous pouvez agir devant le juge judiciaire pour faire cesser les envois et obtenir réparation. L’article 82 du RGPD dispose que L’article 82 du RGPD ouvre à toute personne victime d’une violation du règlement le droit d’obtenir « réparation du préjudice subi » auprès du responsable du traitement ou du sous-traitant Le spam répété malgré opposition caractérise un préjudice moral réparable : temps perdu, intrusion dans la vie privée, persistance du démarchage. Le juge peut ordonner la cessation des envois sous astreinte, l’effacement des données et des dommages-intérêts. Pensez aussi au volet pénal et consumériste selon les faits : envoi avec identité dissimulée, objet trompeur, pratiques commerciales déloyales. Enfin, transmettez les spams manifestes à la plateforme Signal Spam, qui centralise les signalements et les redirige vers les autorités : cette démarche complète utilement, sans remplacer, votre plainte individuelle.
Un point de procédure mérite attention : la CNIL traite un volume considérable de plaintes et hiérarchise ses contrôles et ses sanctions. Comme le rappelle la décision Decathlon précitée, la Commission peut clôturer une plainte individuelle après vérification d’une mise en conformité ponctuelle, sans prononcer de sanction. Une telle clôture se conteste devant le Conseil d’État par un recours pour excès de pouvoir, mais le juge n’annule que si la Commission a méconnu son office, ce que le requérant n’a pas établi dans cette affaire. Pour maximiser vos chances, concentrez votre plainte sur des manquements systémiques et documentés : volume d’envois, pluralité de destinataires, absence généralisée de preuve du consentement, poursuite des envois après opposition, revente de fichiers sans information. Les contrôles prioritaires de la CNIL visent précisément ces pratiques d’écosystème, comme en témoigne la sanction de 900 000 euros infligée à la société Solocal Marketing Services, courtier en données, pour prospection sans consentement valable, assortie d’une injonction de mise en conformité sous neuf mois sous astreinte de 10 000 euros par jour de retard (communiqué de la CNIL sur la sanction Solocal).
B. Vous prospectez par email ou SMS : régulariser avant le contrôle et limiter la sanction
Si votre entreprise prospecte ou fait prospecter, l’audit de conformité doit porter sur cinq chantiers, dans cet ordre de priorité.
Premier chantier : la preuve du consentement. Recensez chaque source de collecte : formulaires du site, jeux-concours, salons, fichiers achetés, bases mutualisées. Pour chaque source, conservez la preuve de l’accord : copie du formulaire avec la case dédiée non pré-cochée, mention d’information affichée au moment de la collecte, horodatage, identité du collecteur. Éliminez les présomptions : une adresse extraite d’un annuaire, moissonnée sur un réseau social ou transmise par un apporteur sans traçabilité du consentement ne peut pas servir à prospecter des particuliers. Si vous exploitez des fichiers de partenaires, vérifiez que chaque personne a été informée de l’identité des destinataires et a consenti à la transmission : l’affaire Canal+ démontre qu’une simple mention de « partenaires » expose à une injonction et à une amende de 600 000 euros, dans l’attente de la réponse de la Cour de justice sur la validité d’un tel consentement générique.
Deuxième chantier : le tri des bases et l’exception du client existant. Isolez les contacts clients pour lesquels les trois conditions cumulatives sont réunies : coordonnées recueillies à l’occasion d’une vente ou d’une prestation, prospection portant sur des produits ou services analogues de votre propre entreprise, possibilité de s’opposer offerte à la collecte et à chaque envoi. Pour tous les autres contacts, exigez un consentement exprès préalable ou cessez les envois. Formalisez la notion de produits analogues dans une note interne opposable à vos équipes marketing : un assureur ne peut pas assimiler une complémentaire santé à un crédit immobilier, un vendeur de logiciels ne peut pas assimiler une licence à une formation certifiante sans lien direct. Documentez les désinscriptions en temps réel et synchronisez les listes d’opposition entre vos outils d’envoi, votre CRM et vos prestataires routeurs : l’essentiel des sanctions pour prospection malgré opposition naît d’une désynchronisation technique, comme l’erreur invoquée dans l’affaire Decathlon.
Troisième chantier : les mentions et les mécanismes d’opposition. Chaque message doit permettre une désinscription simple, gratuite et effective, sans création de compte ni parcours dissuasif, et indiquer l’identité de l’annonceur pour le compte duquel la communication est émise. Vos formulaires doivent distinguer la finalité de prospection des autres finalités, présenter la demande de consentement dans des termes clairs et simples, et rappeler le droit de retirer le consentement aussi simplement qu’il a été donné. Vos contrats avec les routeurs, agences et apporteurs de fichiers doivent qualifier les rôles au sens du RGPD, interdire tout usage hors consigne et organiser les notifications en cas de plainte : en cas de violation, la responsabilité du responsable du traitement et celle du sous-traitant se cumulent selon des règles distinctes, et le contrat article 28 constitue votre première ligne de défense comme votre première pièce à charge.
Quatrième chantier : la réponse aux plaintes et aux contrôles. Traitez toute demande d’opposition ou d’accès dans le délai d’un mois, accusez réception, confirmez l’effacement des fichiers de prospection et conservez la preuve de ces diligences. En cas de contrôle de la CNIL, la coopération, la cessation rapide des envois litigieux et la production d’un plan de mise en conformité chiffré et daté pèsent sur le quantum de la sanction. À l’inverse, la poursuite des envois pendant l’instruction aggrave systématiquement la sanction. L’échelle des peines doit être présente à l’esprit des dirigeants : outre les amendes administratives du RGPD, l’article L. 34-5 prévoit des amendes de 75 000 euros pour une personne physique et 375 000 euros pour une personne morale prononcées par l’autorité chargée de la concurrence et de la consommation, et la CNIL a obtenu en 2024 une sanction de 50 millions d’euros contre l’opérateur Orange pour des manquements incluant la prospection, assortie d’une injonction sous astreinte de 100 000 euros par jour et d’une publication. Par sa décision du 17 avril 2026, le Conseil d’État a renvoyé au Conseil constitutionnel la question de la conformité de l’article L. 34-5 à la Constitution (Conseil d’État, 17 avril 2026, n° 501268), ce qui ne suspend pas son application mais signale, dans cette décision de renvoi, l’intensité du débat sur le cumul des sanctions : faites auditer sans attendre votre exposition sur chaque fondement.
Cinquième chantier : l’articulation avec votre contentieux de masse. Si des plaintes se multiplient, centralisez leur traitement, identifiez les campagnes et les sources en cause, suspendez les envois contestés et préparez une réponse homogène à la CNIL. Anticipez les actions indemnitaires groupées : l’article 82 du RGPD ouvre à chaque destinataire un droit propre à réparation, et les associations de consommateurs comme les groupements de plaignants structurent de plus en plus ces réclamations. Une entreprise qui démontre une cartographie des traitements à jour, un registre conforme, des preuves de consentement et une gestion diligente des oppositions négocie sa sortie de crise en position de force ; celle qui prospecte sans preuve subit le contrôle.
En définitive, et au vu de l’état du droit applicable, le spam par email ou SMS n’est ni une fatalité pour les destinataires ni une zone grise pour les entreprises. Le destinataire méthodique, qui prouve les envois, exerce son opposition par écrit puis saisit la CNIL et le juge avec un dossier complet, obtient la cessation et, souvent, réparation. L’entreprise rigoureuse, qui ne prospecte que sur consentement prouvé ou dans la stricte exception du client existant, qui honore immédiatement les oppositions et qui contractualise sa chaîne de prospection, prospecte sereinement y compris après un contrôle. Entre ces deux pôles, l’improvisation se paie au prix fort : injonction sous astreinte, publication de la sanction, amende administrative et dommages-intérêts.
Besoin d’un avis rapide sur votre dossier
Vous recevez des emails ou SMS commerciaux non sollicités, ou votre entreprise prospecte et veut régulariser ses campagnes : obtenez un avis sur votre dossier en numérique et données personnelles avec Maître Reda KOHEN, avocat au Barreau de Paris. Consultation téléphonique au 06 46 60 58 22, puis dossier suivi via la page contact du cabinet.