Vous avez adhéré au programme de fidélité d’une enseigne pour recevoir des offres par SMS ou par courrier électronique. Quelques semaines plus tard, des publicités de cette même enseigne apparaissent dans votre fil sur un réseau social que vous n’avez jamais relié à votre carte. Votre adresse électronique ou votre numéro de téléphone a circulé : l’enseigne les a transmis au réseau social pour vous retrouver parmi ses utilisateurs et vous cibler. Quand vous demandez des explications, le service client répond que ce traitement repose sur son intérêt légitime, ou que vous aviez consenti en cochant une case à l’adhésion. Cette réponse ne suffit pas. En janvier 2026, la CNIL a sanctionné d’une amende de 3,5 millions d’euros une société qui, depuis 2018, transmettait les coordonnées des membres de son programme de fidélité à un réseau social afin d’afficher des publicités ciblées, en considérant que ces opérations étaient dépourvues de base légale. Plus de 10,5 millions de personnes étaient concernées, et la décision a été adoptée en coopération avec seize homologues européens de la CNIL. Ce précédent montre que la transmission de vos coordonnées à des fins de ciblage publicitaire est un traitement à part entière, qui doit reposer sur une base légale valable, être porté à votre connaissance et pouvoir être contesté. Cet article explique comment vérifier la base légale invoquée par l’enseigne, comment exercer votre droit d’opposition et d’effacement, et comment saisir la CNIL puis le juge pour obtenir l’arrêt du traitement et la réparation de votre préjudice en 2026.
I. Vérifier la base légale que l’enseigne invoque pour transmettre vos coordonnées
A. L’intérêt légitime ne permet pas tout : le test en trois temps que l’enseigne doit passer et documenter
Tout traitement de données doit reposer sur l’une des bases légales prévues par le règlement général sur la protection des données. L’intérêt légitime est l’une d’elles : l’article 6, paragraphe 1, point f), du RGPD dispose que le traitement est licite lorsqu’il est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée. Le considérant 47 du même règlement précise que l’existence d’un intérêt légitime doit faire l’objet d’une évaluation attentive, en tenant compte des attentes raisonnables des personnes concernées fondées sur leur relation avec le responsable du traitement, et que les intérêts et droits fondamentaux de la personne concernée peuvent prévaloir lorsque les données sont traitées dans des circonstances où les personnes ne s’attendent raisonnablement pas à un traitement ultérieur. Autrement dit, le fait d’être cliente ou client d’une enseigne ne signifie pas que vous acceptez par avance toute réutilisation de vos coordonnées, et encore moins leur transmission à un réseau social.
La CNIL détaille la méthode que l’organisme doit suivre pour fonder un traitement sur son intérêt légitime : identifier le caractère légitime de l’intérêt poursuivi et vérifier le caractère nécessaire du traitement au vu de cet objectif, évaluer les atteintes aux intérêts, droits et libertés des personnes et prendre en compte leurs attentes raisonnables, puis mettre en balance ces éléments et prévoir le cas échéant des mesures additionnelles. La CNIL ajoute que le traitement ne doit pas surprendre les personnes, par exemple en étant totalement décorrélé de l’objectif poursuivi ou du service rendu, et que plus le traitement s’éloigne des attentes raisonnables, plus les intérêts et droits des personnes ont vocation à prévaloir sur l’intérêt de l’organisme. Appliquée à votre situation, cette grille donne trois questions concrètes à poser à l’enseigne. Premièrement, quel est exactement l’intérêt poursuivi : développer ses ventes par de la publicité ciblée sur un réseau social, ce qui est un intérêt commercial réel mais qui n’a rien d’impératif. Deuxièmement, la transmission de votre adresse électronique ou de votre numéro de téléphone au réseau social est-elle nécessaire à cet objectif, alors que l’enseigne dispose déjà de vos coordonnées pour vous écrire directement. Troisièmement, pouviez-vous raisonnablement vous attendre, en donnant votre adresse pour recevoir des offres de l’enseigne, à ce qu’elle soit téléversée vers un réseau social afin de vous y retrouver et d’y analyser votre profil. Dans la plupart des parcours d’adhésion, la réponse à cette troisième question est négative, et c’est précisément ce décalage qui fait basculer la mise en balance en votre faveur.
La sanction de 3,5 millions d’euros prononcée en janvier 2026 illustre cette analyse. La CNIL y constate que les opérations de ciblage publicitaire menées sur le réseau social, reposant sur la transmission de données personnelles des membres du programme de fidélité, étaient dépourvues de base légale. La société invoquait le consentement recueilli à l’adhésion, mais la CNIL a jugé ce consentement invalide, faute d’information sur la transmission au réseau social. L’enseignement vaut aussi pour l’intérêt légitime : quand la personne ignore que ses coordonnées alimentent un dispositif de ciblage sur un réseau tiers, ses attentes raisonnables sont méconnues, et la base légale s’effondre. La Cour de justice de l’Union européenne a d’ailleurs jugé, dans son arrêt du 4 juillet 2023 relatif aux conditions générales d’un réseau social dominant, que la publicité personnalisée par laquelle l’exploitant finance son activité ne peut justifier le traitement des données en cause au titre de l’intérêt légitime poursuivi par l’exploitant, au sens de l’article 6, paragraphe 1, point f), du RGPD (fiche de l’affaire C-252/21 sur le site de la Cour). Si l’exploitant du réseau social lui-même ne peut se prévaloir de son intérêt légitime pour la publicité ciblée, l’enseigne qui lui transmet vos coordonnées pour cette même finalité rencontre la même difficulté. Demandez donc à l’enseigne, par écrit, la copie de son analyse de mise en balance : un organisme qui fonde un traitement sur son intérêt légitime doit être en mesure de produire cette documentation en cas de contrôle, et son absence constitue déjà un indice sérieux de non-conformité.
B. Le consentement coché à l’adhésion ne couvre pas la transmission au réseau social
Quand l’intérêt légitime ne tient pas, les enseignes se replient souvent sur un second argument : vous auriez consenti en adhérant au programme de fidélité et en acceptant de recevoir de la prospection. Cet argument confond deux traitements distincts. Recevoir des offres de l’enseigne par SMS ou par courrier électronique d’une part, voir ses coordonnées transmises à un réseau social pour y être retrouvé et ciblé d’autre part : ce sont deux finalités différentes, qui appellent chacune une information et un consentement propres. Le consentement donné pour la première ne vaut pas pour la seconde. L’article 7 du RGPD impose au responsable du traitement de démontrer que la personne a donné son consentement, exige que la demande soit présentée sous une forme qui la distingue clairement des autres questions, en des termes clairs et simples, et rappelle que la personne a le droit de retirer son consentement à tout moment, en ajoutant qu’il est aussi simple de retirer que de donner son consentement. Une case unique qui mentionne la prospection par SMS ou par courrier électronique, sans un mot sur la transmission à un réseau social ni sur la publicité ciblée qui en résulte, ne satisfait à aucune de ces conditions pour ce second traitement.
La décision de sanction de janvier 2026 le confirme point par point. La CNIL a relevé qu’aucune information n’était fournie sur le formulaire d’adhésion au programme de fidélité sur la transmission des données à des fins de publicité ciblée sur un réseau social, et que l’information figurant dans les documents accessibles depuis le site de la société ne mentionnait pas cette transmission ou ne permettait pas d’en comprendre clairement la finalité, avec un parcours d’accès aux documents jugé complexe. Elle en a déduit que les personnes n’avaient pas pu donner un consentement éclairé, alors qu’une case à cocher mentionnant clairement la finalité du traitement aurait pu le permettre. Conservez donc votre propre formulaire d’adhésion, ou reconstituez-le : capture du parcours d’inscription, conditions générales remises à l’époque, politique de confidentialité datée. Si la transmission au réseau social n’y figure pas en termes explicites, le consentement invoqué par l’enseigne ne couvre pas ce traitement. Le Conseil d’État applique le même contrôle de rigueur : dans sa décision du 4 novembre 2020 relative au dispositif d’identification par reconnaissance faciale, il a vérifié que le consentement était recueilli de manière libre et éclairée et que les données collectées étaient adéquates et proportionnées à la finalité du traitement avant de rejeter le recours (Conseil d’État, 4 novembre 2020, n° 432656). La méthode est transposable : un juge saisi de votre litige vérifiera ce que vous avez réellement accepté, au moment où vous l’avez accepté, et pour quelle finalité précise. Pour la prospection par courrier électronique, le droit français ajoute une exigence propre : l’article L. 34-5 du code des postes et des communications électroniques interdit la prospection directe par courriers électroniques utilisant les coordonnées d’une personne physique « qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen », et définit la prospection directe comme l’envoi de tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l’image d’une personne vendant des biens ou fournissant des services. Autrement dit, même pour de simples offres de l’enseigne, le consentement préalable est la règle ; pour une transmission à un réseau social à des fins de ciblage, qui dépasse la relation directe entre vous et l’enseigne, ce socle minimal ne suffit jamais à lui seul et renvoie aux exigences du RGPD décrites ci-dessus.
Il faut aussi distinguer l’information due au titre des articles 12 et 13 du RGPD. L’enseigne doit vous informer, au moment de la collecte, de l’existence du traitement, de ses finalités et de sa base légale, des destinataires de vos données, de la durée de conservation et de vos droits. Dans l’affaire sanctionnée en janvier 2026, la CNIL a relevé un manquement à cette obligation d’information, parce que les documents de la société ne liaient pas clairement les finalités des traitements aux bases légales correspondantes. Vérifiez les mentions d’information de votre enseigne : si le réseau social n’apparaît pas parmi les destinataires, ou si la publicité ciblée n’apparaît pas parmi les finalités, l’enseigne manque à son obligation d’information en plus de manquer de base légale. Chaque manquement compte, car chacun fonde une demande distincte : cessation du traitement sans base légale, mise en conformité de l’information, effacement des données indûment transmises.
II. Obtenir l’arrêt du ciblage, la sanction et la réparation
A. S’opposer au traitement, exiger l’effacement et constituer votre preuve
Le droit d’opposition est votre levier le plus direct. L’article 21 du RGPD prévoit que la personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l’article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions, et que le responsable du traitement ne traite plus les données, à moins qu’il ne démontre qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts, les droits et libertés de la personne concernée. Concrètement, adressez à l’enseigne une opposition écrite qui vise expressément la transmission de vos coordonnées au réseau social et le ciblage publicitaire qui en résulte, en exposant votre situation particulière : vous n’avez jamais été informé de cette transmission, vous ne l’avez jamais acceptée, et vous ne souhaitez pas que vos données d’achat ou de fidélité alimentent un profil publicitaire sur une plateforme tierce. Une fois votre opposition reçue, la charge de la preuve s’inverse : c’est à l’enseigne de démontrer des motifs légitimes et impérieux qui prévaudraient sur vos droits, ce qui, pour de la publicité ciblée via un réseau social, est une démonstration que la jurisprudence européenne rend très difficile, comme le montrent les arrêts rendus contre l’exploitant du principal réseau social en 2023 et 2024.
Lorsque les données sont traitées à des fins de prospection, votre droit est encore plus fort. Le même article 21 dispose que la personne concernée a le droit de s’opposer à tout moment au traitement des données la concernant à des fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection, et que lorsque la personne s’oppose au traitement à des fins de prospection, les données ne sont plus traitées à ces fins. Ici, aucune mise en balance, aucun motif impérieux à démontrer par l’organisme : votre opposition suffit, et le traitement doit cesser. Pour les messages électroniques eux-mêmes, l’article L. 34-5 du code des postes et des communications électroniques interdit déjà la prospection directe par courrier électronique sans consentement préalable de la personne. La publicité ciblée sur un réseau social, qui vise à promouvoir les articles vendus par l’enseigne auprès de vous, relève de la prospection au sens large, et le profilage qui consiste à vous retrouver parmi les utilisateurs du réseau pour vous adresser ces publicités est lié à cette prospection. Invoquez donc les deux fondements dans votre courrier : l’opposition pour des raisons tenant à votre situation particulière contre le traitement fondé sur l’intérêt légitime, et l’opposition absolue contre le traitement à des fins de prospection. Ajoutez une demande d’effacement des données transmises au réseau social et une demande d’information sur les destinataires exacts, les dates de transmission et les durées de conservation. L’article 21 impose en outre que le droit d’opposition soit explicitement porté à votre attention, clairement et séparément de toute autre information, au plus tard au moment de la première communication : si l’enseigne ne vous a jamais informé de ce droit, relevez-le dans votre courrier, car c’est un manquement supplémentaire.
La preuve conditionne tout. Conservez les publicités ciblées vues sur le réseau social par des captures datées montrant l’annonceur, conservez le formulaire d’adhésion et la politique de confidentialité en vigueur au jour de votre inscription, et adressez vos demandes par un canal qui laisse une trace : courrier recommandé avec accusé de réception ou message électronique conservé avec ses accusés. L’article 12 du RGPD impose à l’organisme de vous informer des mesures prises à la suite de votre demande dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de sa réception, avec une prolongation possible de deux mois en cas de demandes complexes, et l’oblige, s’il ne donne pas suite, à vous en expliquer les motifs dans ce même délai d’un mois en vous rappelant la possibilité de saisir l’autorité de contrôle et le juge. Un silence ou une réponse évasive à l’expiration du délai d’un mois ouvre donc directement la voie de la plainte et du recours. Notez enfin que l’exercice de vos droits est gratuit, et que c’est à l’organisme de démontrer le caractère manifestement infondé ou excessif d’une demande qu’il prétendrait écarter pour ce motif.
B. Saisir la CNIL puis le juge : sanction, injonction et réparation du préjudice
Si l’enseigne maintient le traitement ou ne répond pas, la plainte auprès de la CNIL est l’étape suivante. Décrivez les faits avec vos pièces : adhésion au programme de fidélité, absence d’information sur la transmission au réseau social, publicités ciblées constatées, copie de votre opposition restée sans effet. La CNIL peut contrôler l’organisme, le mettre en demeure de se mettre en conformité, puis prononcer une sanction, en application du RGPD et de la loi Informatique et Libertés : dans l’affaire de janvier 2026, la formation restreinte a retenu cinq manquements, dont l’absence de base légale, le défaut d’information, le défaut de sécurité et l’absence d’analyse d’impact, et a infligé, sur le fondement du RGPD et de la loi Informatique et Libertés, 3,5 millions d’euros d’amende en tenant compte de la gravité des manquements et du nombre élevé de personnes concernées. Pour comprendre le déroulement d’un contrôle et les réflexes à adopter face à une mise en demeure, vous pouvez lire notre article consacré à la réponse à un contrôle de la CNIL et à la contestation de la sanction. La plainte individuelle garde son utilité même quand l’enjeu financier de votre dossier est modeste : elle alimente les contrôles, et la CNIL peut joindre votre signalement à une procédure plus large, comme le montre la coopération avec seize autorités européennes dans la sanction de janvier 2026.
Parallèlement, vous pouvez agir devant le juge pour obtenir la cessation du traitement et la réparation de votre préjudice. L’article 82 du RGPD dispose que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Le préjudice moral résultant de la perte de contrôle sur vos données et de l’exposition à un profilage publicitaire non consenti est réparable. En droit français, l’article 9 du code civil dispose que « Chacun a droit au respect de sa vie privée » et permet au juge de prescrire toutes mesures propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée, en référé en cas d’urgence : conservez tout élément qui en mesure l’ampleur, comme la durée du ciblage, le nombre de transmissions et le caractère répété des sollicitations après votre opposition. La Cour de justice a précisé dans son arrêt du 4 octobre 2024 que le principe de minimisation des données s’oppose à ce que l’ensemble des données obtenues par l’exploitant d’un réseau social, sur la plateforme comme en dehors, soient agrégées, analysées et traitées à des fins de publicité ciblée sans limitation dans le temps et sans distinction selon leur nature (communiqué officiel de la Cour, affaire C-446/21). Cet enseignement renforce votre demande de cessation : l’enseigne ne peut pas alimenter sans limite une machine de profilage dont la Cour elle-même encadre strictement le fonctionnement. Et si le ciblage déduit de vos données des informations sensibles, par exemple votre orientation sexuelle, vos opinions ou votre santé, à partir de vos achats ou de votre navigation, l’interdiction de principe du traitement des données sensibles s’applique, sauf exception strictement interprétée : la Cour a jugé dans ce même arrêt que le fait d’avoir rendu publique une donnée sensible ne vaut pas autorisation de traiter d’autres données de même nature collectées par ailleurs. Le droit pénal renforce encore votre position : l’article 226-21 du code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le détournement de données personnelles de leur finalité par toute personne qui les détient à l’occasion de leur enregistrement, de leur transmission ou de toute autre forme de traitement, et l’article 226-18 du même code punit des mêmes peines la collecte de données par un moyen frauduleux, déloyal ou illicite. Transmettre au réseau social des coordonnées confiées pour un programme de fidélité, sans information ni consentement, s’analyse comme un tel détournement de finalité. Vous pouvez signaler ces faits au procureur de la République par une plainte pénale, en parallèle de la plainte CNIL et de l’action civile en réparation.
Demandez au juge, outre les dommages et intérêts, une injonction de cesser la transmission et de justifier de l’effacement de vos coordonnées auprès du réseau social destinataire, sous astreinte. L’enseigne et le réseau social peuvent être attraits ensemble lorsque le traitement est mené en commun, chacun pouvant être tenu pour responsable du dommage dans sa totalité afin de garantir une réparation effective. Pour une enseigne qui persiste, le risque financier dépasse votre seul dossier : amende administrative pouvant atteindre un pourcentage significatif du chiffre d’affaires mondial, injonction de mise en conformité, publication de la sanction et multiplication des demandes individuelles. C’est ce rapport de forces, documenté par la sanction de janvier 2026 et la jurisprudence européenne de 2023 et 2024, qui donne à votre courrier d’opposition son poids : une enseigne avisée préfère arrêter un traitement fragile plutôt que de le défendre devant la CNIL puis devant le juge.
Votre carte de fidélité ne vaut ni blanc-seing ni renonciation. L’intérêt légitime invoqué par l’enseigne doit passer un test de nécessité et de mise en balance que la transmission clandestine de vos coordonnées à un réseau social ne survit généralement pas, et le consentement coché à l’adhésion ne couvre que ce qui vous a été clairement présenté. Exercez votre droit d’opposition sur les deux fondements de l’article 21, exigez l’effacement et la preuve de la base légale, laissez passer le délai d’un mois, puis saisissez la CNIL et le juge avec un dossier daté et complet. La sanction de 3,5 millions d’euros de janvier 2026 et les arrêts européens les plus récents montrent que ce contentieux est arrivé à maturité : les lecteurs qui agissent avec méthode obtiennent l’arrêt du ciblage et, lorsque le préjudice est établi, sa réparation.
Besoin d’un avis rapide sur votre dossier
Vous avez découvert que votre enseigne transmet vos coordonnées à un réseau social pour de la publicité ciblée et vous voulez contester ce traitement en numérique et données personnelles. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier et vous indique la stratégie : opposition, plainte CNIL et action en réparation. Consultation téléphonique en 48 heures avec un avocat du cabinet. Téléphone : 06 46 60 58 22. Contact : formulaire de contact.