Vous avez une carte de fidélité dans une enseigne, vous y avez laissé votre adresse électronique et votre numéro de téléphone pour cumuler des points, et depuis des mois les publicités de cette enseigne vous suivent sur votre réseau social favori. Ce n’est pas un hasard ni le simple effet de vos propres clics : vos coordonnées ont pu être transmises par l’enseigne au réseau social, chaque semaine, pour alimenter des campagnes de publicité ciblée, sans que vous ayez donné un consentement valable à cette transmission. La Commission nationale de l’informatique et des libertés a sanctionné cette pratique le 30 décembre 2025 par une amende de 3,5 millions d’euros, dans une délibération publiée le 22 janvier 2026. Plus de 10,5 millions de membres d’un programme de fidélité étaient concernés en France. Cet article décrypte les cinq manquements retenus par la formation restreinte, puis décrit pas à pas les leviers dont vous disposez : vérifier la transmission, vous opposer sans avoir à vous justifier, retirer votre consentement, exiger l’effacement, saisir la CNIL et le juge, et demander réparation.
I. Vos données de fidélité transmises au réseau social : la mécanique sanctionnée par la CNIL
A. Des adresses et des numéros envoyés chaque semaine pour du ciblage publicitaire
La société sanctionnée exploite des magasins et un site de commerce en ligne sur lequel les clients peuvent créer un compte, acheter et adhérer à un programme de fidélité valable en ligne comme en caisse. D’après les informations communiquées par la société elle-même, ce programme comptait près de 10,5 millions de membres en France, plus de 200 000 en Belgique et plus de 15 000 au Luxembourg, ainsi que des membres dans plusieurs autres pays de l’Union européenne. Lors de contrôles menés à partir de janvier 2023, la CNIL a constaté que, depuis février 2018, l’entreprise transmettait les adresses électroniques et les numéros de téléphone des membres de son programme de fidélité à un réseau social, afin d’y afficher des publicités ciblées vantant ses propres articles. La transmission était hebdomadaire et a duré plus de cinq ans, jusqu’en février 2024. Seize autorités européennes de protection des données ont été associées à la procédure, des personnes résidant dans leurs pays étant elles aussi concernées. La décision complète, anonymisée, est consultable sur la délibération n° SAN-2025-017 du 30 décembre 2025 sur Légifrance, et le résumé officiel figure dans le communiqué de la CNIL du 22 janvier 2026.
Concrètement, la mise en correspondance fonctionnait ainsi : l’enseigne envoyait au réseau social les coordonnées de ses adhérents, le réseau identifiait parmi ses propres utilisateurs ceux dont les coordonnées correspondaient, puis affichait à ces utilisateurs les publicités de l’enseigne. Vous pouviez donc voir apparaître une publicité pour des articles que vous n’aviez jamais recherchés sur le réseau social, simplement parce que votre adresse électronique de fidélité correspondait à votre compte. La société soutenait que ses adhérents pouvaient raisonnablement s’attendre à cette utilisation, puisqu’ils avaient accepté de recevoir sa prospection commerciale par courrier électronique ou par SMS et avaient accepté les conditions du réseau social. La formation restreinte a écarté cet argument : accepter de recevoir des messages commerciaux de l’enseigne et accepter les conditions générales d’un réseau social ne vaut pas consentement spécifique et éclairé à la transmission de ses coordonnées à ce réseau pour du ciblage publicitaire. Le consentement, au sens du règlement européen, s’entend comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement », selon l’article 4, point 11, du règlement (UE) 2016/679, le règlement général sur la protection des données. Or aucune case, aucune mention, aucun parcours d’adhésion ne sollicitait distinctement votre accord pour cette transmission précise, et l’information fournie ne permettait pas d’en mesurer les conséquences.
Le premier réflexe utile consiste donc à vérifier si vous êtes concerné. Sur les principaux réseaux sociaux, les paramètres publicitaires comportent une rubrique qui liste les annonceurs ayant téléversé vos coordonnées ou qui vous ciblent à partir d’une liste de clients. Consultez-la : si une enseigne dont vous détenez la carte de fidélité y figure alors que vous ne lui avez jamais donné d’accord spécifique pour ce ciblage, conservez des captures d’écran datées. Lisez ensuite la politique de confidentialité de l’enseigne et les conditions générales de son programme de fidélité en recherchant les mots « réseau social », « mise en correspondance », « audience », « ciblage » et « destinataires » : l’absence de toute mention de cette transmission, ou une mention noyée dans une liste de finalités sans base légale associée, constitue déjà un indice sérieux. Ces captures et ces documents seront les pièces de base de toutes vos démarches ultérieures, de la demande d’opposition jusqu’à l’éventuelle plainte.
Une précision de périmètre s’impose : l’effacement que vous pouvez exiger de l’enseigne et du réseau social ne s’étend pas aux archives de la presse. La première chambre civile de la Cour de cassation l’a rappelé le 3 juin 2026, en formation de section, dans un arrêt publié au Bulletin qui « REJETTE le pourvoi » d’un demandeur voulant faire altérer un article archivé en ligne : face à une demande d’altération d’un contenu journalistique, le juge met en balance des droits de valeur égale, vie privée et protection des données d’un côté, liberté d’information de l’autre, au regard de sept critères tenant à la nature de l’information, au temps écoulé, à l’intérêt contemporain du sujet, à la notoriété et au comportement de la personne, aux répercussions de la permanence en ligne, à l’accessibilité des archives et à l’impact sur la liberté de la presse, selon l’arrêt de la Cour de cassation du 3 juin 2026, pourvoi numéro 25-14.228. Autrement dit, vos coordonnées de fidélité doivent cesser d’alimenter le ciblage publicitaire, mais un article de journal qui raconterait des faits vous concernant obéit à un autre régime, décrit dans notre article sur la condamnation ancienne qui ressort sur Google et le déréférencement.
La même exigence de précision vaut pour toutes vos demandes. La Cour de cassation a cassé une ordonnance qui enjoignait à un moteur de recherche la « suppression des liens référencés en lien avec les données à caractère strictement privé et personnel », au motif que l’injonction était, selon l’arrêt du 14 février 2018, pourvoi numéro 17-10.499, je cite, « par trop générale et imprécise » et ne pouvait dès lors donner lieu à liquidation d’astreinte. Listez donc chaque traitement contesté, chaque liste d’audience et chaque traceur, un par un, avec leur capture : une demande générale de « respecter mes droits » ne produit ni mise en demeure sérieuse ni astreinte. La décision est consultable sous l’ECLI:FR:CCASS:2018:C100178.
B. Cinq manquements qui dessinent vos cinq leviers d’action
La formation restreinte a retenu un manquement à l’obligation de disposer d’une base légale, prévue par l’article 6 du règlement général sur la protection des données, qui dispose que le traitement n’est licite que si au moins une des conditions qu’il énumère est remplie, à commencer par le consentement de la personne pour une ou plusieurs finalités spécifiques. En l’espèce, aucun consentement spécifique et éclairé n’avait été recueilli pour la transmission aux fins de publicité ciblée, et aucune autre base ne pouvait la justifier : ni l’exécution du contrat de fidélité, qui n’implique pas de livrer vos coordonnées à un réseau social, ni l’intérêt légitime, qui ne survit pas à l’absence d’information et d’attente raisonnable. Les lignes directrices européennes 5/2020 sur le consentement, visées par la décision, exigent un consentement distinct pour chaque finalité afin que chacun puisse consentir spécifiquement, et la Cour de justice a déjà jugé qu’une information complète, compréhensible et formulée en termes clairs doit permettre de déterminer facilement les conséquences du consentement donné. Retenez le critère pratique : si, au moment où vous avez adhéré au programme, on ne vous a pas demandé séparément, en termes explicites, si vous acceptiez que vos coordonnées soient envoyées à tel réseau social pour y voir ses publicités, la base légale fait défaut.
Le deuxième manquement concerne l’information, prévue par l’article 13 du règlement général sur la protection des données lorsque les données sont collectées auprès de vous. Le responsable du traitement doit alors vous fournir « les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement » et « les destinataires ou les catégories de destinataires des données à caractère personnel, s’ils existent ». La politique de confidentialité de la société listait d’un côté des bases légales en vrac, exécution du contrat, consentement, intérêt légitime, obligation légale, et de l’autre des finalités, gestion du site, adhésion au programme, analyse de la navigation à des fins de publicité ciblée, sans correspondance entre les deux, de sorte qu’il était impossible de comprendre quel traitement reposait sur votre consentement et pouvait donc être retiré. Pire, la mise en correspondance avec le réseau social n’était rattachée à aucune finalité affichée : ni les conditions générales de vente, ni la politique de confidentialité, ni aucun autre document ne mentionnaient que vos coordonnées partaient vers ce réseau pour y faire de la publicité ciblée. Exigez donc, dans vos démarches, le tableau finalités, bases légales, destinataires et durées : tout traitement qui n’y figure pas clairement est contestable.
Les trois autres manquements élargissent le périmètre de vos vérifications. D’abord la sécurité, prévue par l’article 32 du règlement général sur la protection des données : les comptes clients admettaient des mots de passe insuffisamment robustes, exposés aux attaques par force brute ou par dictionnaire, et la société n’a renforcé ses exigences qu’en cours de procédure. Si votre compte de fidélité a été compromis ou si vous constatez des utilisations anormales, ce volet nourrit votre demande. Ensuite l’analyse d’impact, prévue par l’article 35 du règlement général sur la protection des données pour les traitements susceptibles d’engendrer un risque élevé, qui n’avait jamais été menée pour cette transmission massive et hebdomadaire. Enfin les traceurs, régis par l’article 82 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, présenté par la CNIL sur sa page dédiée aux cookies et traceurs : le contrôle en ligne du 5 janvier 2023 a révélé le dépôt, avant tout consentement, de plusieurs cookies, dont un outil de dialogue en ligne reconnaissant l’utilisateur de façon unique et sept autres servant à personnaliser les contenus et à analyser la navigation, qui n’étaient pas supprimés et continuaient d’être lus après votre refus des cookies non essentiels. La loi impose à cet égard une information claire et complète de l’utilisateur, délivrée avant toute opération, sur la finalité de l’accès à son terminal et sur les moyens de s’y opposer, et subordonne ces opérations à un consentement exprimé après cette information. Testez donc le bandeau cookies du site de l’enseigne : s’il dépose des traceurs avant votre choix ou les maintient après votre refus, ajoutez ce grief à votre dossier.
Au total, la formation restreinte a prononcé une amende de deux millions cinq cent mille euros pour les manquements aux articles 6, 13, 32 et 35 du règlement européen et d’un million d’euros pour le manquement à l’article 82 de la loi française, soit 3,5 millions d’euros, comme le motive la formation restreinte au moment de fixer l’amende dans sa délibération SAN-2025-017, en tenant compte de la gravité, du nombre de personnes concernées et d’une transmission qui a duré plus de cinq ans. Elle n’a pas prononcé d’injonction, la société ayant cessé les transmissions en février 2024 et s’étant mise en conformité en cours de procédure, mais elle a décidé de publier la décision sous une forme anonymisée, estimant que la pratique du ciblage sur les réseaux sociaux est répandue et que le public doit en connaître les règles, sans qu’il soit utile de nommer la société. Cette anonymisation ne vous prive d’aucun droit : elle désigne une pratique, et c’est à vous de vérifier si l’enseigne dont vous détenez la carte s’y livre. Pour comparer avec une situation voisine, celle des fichiers de prospection achetés à des courtiers, vous pouvez lire notre analyse des fichiers de prospects et de la prospection sans consentement.
II. Reprendre la main sur vos données : opposition, effacement, CNIL et juge
A. Vous opposer sans motif, retirer votre consentement et exiger l’effacement
Le levier le plus direct est le droit d’opposition à la prospection. L’article 21 du règlement général sur la protection des données dispose que « la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection », et que « Lorsque la personne concernée s’oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins ». La publicité ciblée construite à partir de vos coordonnées de fidélité relève de la prospection : votre opposition n’a donc pas à être motivée, comme le rappelle la page de la CNIL consacrée au droit d’opposition, qui précise que, sauf en cas de prospection commerciale, vous devez invoquer des raisons tenant à votre situation particulière, mais qu’en matière de prospection vous pouvez vous opposer sans motif. Adressez à l’enseigne une opposition écrite visant précisément la transmission de vos coordonnées aux réseaux sociaux et à tout partenaire publicitaire aux fins de ciblage, distincte d’une éventuelle désinscription de la lettre d’information : une marque qui cesse de vous envoyer des messages mais continue de téléverser votre adresse au réseau social n’a pas satisfait à votre opposition. Exigez une confirmation écrite et vérifiez, quelques semaines plus tard, dans les paramètres publicitaires du réseau social, que l’enseigne a disparu de la liste des annonceurs.
Le deuxième levier est le retrait du consentement. L’article 7 du règlement général sur la protection des données dispose que « La personne concernée a le droit de retirer son consentement à tout moment », que « Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait », et qu’« Il est aussi simple de retirer que de donner son consentement ». Si l’enseigne prétend que vous aviez consenti au ciblage, retirez ce consentement par écrit et conservez la preuve de l’envoi : à compter du retrait, la transmission doit cesser, même si le passé ne peut pas être effacé par ce seul retrait. Le troisième levier est le droit à l’effacement. L’article 17 du règlement général sur la protection des données dispose que « La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique », notamment quand vous retirez votre consentement sans autre fondement juridique, quand vous vous opposez au traitement sans motif légitime impérieux contraire, ou quand les données ont fait l’objet d’un traitement illicite. Demandez donc à l’enseigne non seulement de cesser la transmission, mais aussi de supprimer vos coordonnées des listes d’audience déjà téléversées et d’enjoindre au réseau social de les supprimer, puis demandez au réseau social lui-même, en tant que destinataire, l’effacement des données vous concernant qu’il détient au titre de ces audiences.
Le quatrième levier concerne les traceurs du site de l’enseigne. Refusez les cookies non essentiels depuis le bandeau et vérifiez qu’aucun cookie de personnalisation ou de mesure ne subsiste après votre refus, puis renouvelez le test après quelques jours. La CNIL exige une acceptation et un refus des cookies au « même degré de simplicité », et le Conseil d’État a rejeté le recours des sociétés Google contre la sanction de 100 millions d’euros infligée pour des manquements comparables : « La requête des sociétés Google LLC et Google Ireland Limited est rejetée », selon la décision du Conseil d’État du 28 janvier 2022, numéro 449209, publiée au recueil Lebon. Comme l’a jugé le Conseil d’État en rejetant le recours de Google contre une sanction cookies comparable, ces manquements sont établis par des constats techniques simples. Conservez les captures du bandeau, de votre refus et des cookies maintenus : elles prouvent un manquement persistant et renforcent l’ensemble du dossier. Si l’enseigne ne répond pas à vos demandes d’opposition, de retrait et d’effacement, ou si sa réponse se limite à des formules vagues sans action vérifiable, passez au cran suivant sans attendre.
B. Saisir la CNIL et le juge, et demander la réparation de votre préjudice
La plainte devant la CNIL est ouverte à toute personne qui estime subir une violation. L’article 77 du règlement général sur la protection des données dispose que « toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement ». Joignez à votre plainte en ligne l’ensemble des pièces : captures des paramètres du réseau social montrant l’enseigne comme annonceur, politique de confidentialité et conditions du programme sans mention de la transmission, copies de votre opposition, de votre retrait et de votre demande d’effacement avec leurs preuves d’envoi, réponses de l’enseigne, captures du bandeau cookies. Décrivez la chronologie avec des dates exactes et indiquez si d’autres personnes de votre entourage, détentrices de la même carte, constatent la même chose : la dimension collective a pesé dans la sanction de 3,5 millions d’euros, et elle pèse dans l’instruction des plaintes. L’autorité vous informera de l’état d’avancement et de l’issue de votre réclamation.
Parallèlement, vous pouvez agir devant le juge contre l’enseigne et, le cas échéant, contre le réseau social. L’article 79 du règlement général sur la protection des données dispose que « chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation du présent règlement », et que l’action peut être portée devant les juridictions de l’État membre de votre résidence habituelle. Demandez au juge de constater l’illicéité de la transmission, d’ordonner sous astreinte la cessation, l’effacement des listes d’audience et l’information des destinataires, ainsi que la mise en conformité de l’information délivrée. Et si cette exploitation de vos données vous a causé un dommage, l’article 82 du règlement général sur la protection des données dispose que « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». article 9 du code civil, qui dispose que « Chacun a droit au respect de sa vie privée. », permet au juge, sans préjudice de la réparation, de prescrire toutes mesures propres à faire cesser l’atteinte. Documentez ce préjudice avec précision : temps passé à faire cesser le ciblage, démarches restées sans réponse, exposition publicitaire subie malgré vos refus, utilisation d’un numéro que vous aviez réservé à un autre usage, sentiment de surveillance lié à des publicités qui vous suivent d’un service à l’autre. Le juge apprécie souverainement, au vu des pièces, et un dossier daté, complet et cohérent vaut mieux qu’une affirmation generale.
La partie qui perd son procès peut en outre être condamnée aux frais non compris dans les dépens, en application de article 700 du code de procédure civile, comme la Cour de cassation l’a appliqué le 3 juin 2026 en condamnant le demandeur à payer 3 000 euros.
En définitive, la sanction de 3,5 millions d’euros prononcée le 30 décembre 2025 fixe la règle du jeu : vos coordonnées de fidélité ne sont pas une matière première publicitaire que l’enseigne peut livrer aux réseaux sociaux au seul motif que vous avez accepté de recevoir ses messages. Toute transmission à des fins de ciblage exige un consentement libre, spécifique, éclairé et univoque, recueilli séparément, une information qui associe clairement chaque finalité à sa base légale et à ses destinataires, et des traceurs qui respectent votre refus. Vérifiez dès aujourd’hui la liste des annonceurs dans vos paramètres, opposez-vous par écrit sans avoir à vous justifier, retirez tout consentement allégué, exigez l’effacement des audiences déjà constituées, testez le bandeau cookies, puis saisissez la CNIL et le juge avec un dossier horodaté. Comme le montre la délibération SAN-2025-017, dont la publication anonymisée vise précisément à informer le public, et dans les limites rappelées par la Cour de cassation pour les archives de presse le 3 juin 2026, les enseignes qui ont cessé ces transmissions après les contrôles montrent que la pression des droits exercés, adhérent par adhérent, fait cesser les pratiques.