Vous recevez un appel, un SMS ou un courrier électronique commercial d’une société dont vous n’avez jamais entendu parler. Vous n’êtes pas son client, vous ne vous êtes jamais inscrit à quoi que ce soit chez elle, et pourtant elle connaît votre nom, votre numéro ou votre adresse électronique. La première question qui vient à l’esprit est simple : où a-t-elle eu mes coordonnées ? La seconde est pratique : comment l’obliger à répondre, à effacer et à ne plus jamais me recontacter ?
Cette situation correspond à deux montages courants. Le premier est l’achat ou la location d’un fichier de prospects : une société collecte des coordonnées, par exemple à l’occasion de jeux-concours, puis les revend contre rémunération à des partenaires qui démarchent ensuite les personnes fichées. Le second est le scraping, c’est-à-dire l’aspiration automatisée de données publiées en ligne, sur des annuaires, des réseaux sociaux ou des sites d’annonces, pour reconstituer des listes de prospection. Dans les deux cas, vos données circulent sans que vous ayez rencontré celui qui vous démarche.
Le droit français et européen ne laisse pas ces pratiques sans cadre. Celui qui vous prospecte doit vous informer de son identité et de la provenance de vos données, justifier d’une base licite réelle et respecter vos droits d’accès, d’effacement et d’opposition. S’il refuse ou se tait, la plainte devant la CNIL puis le recours devant le juge offrent des voies graduées, jusqu’à la sanction administrative et à la réparation du préjudice démontré. Cet article décrit d’abord ce que toute société qui exploite vos données vous doit, même sans vous avoir jamais rencontré (I), puis comment agir pas à pas : exiger, saisir la CNIL et aller devant le juge (II).
I. Ce que toute société qui exploite vos données vous doit, même sans vous avoir jamais rencontré
A. Vous informer : qui elle est, d’où viennent vos données et ce que vous pouvez exiger
Lorsque vos données n’ont pas été collectées auprès de vous, le règlement européen 2016/679, dit RGPD, impose au responsable du traitement une obligation d’information renforcée. L’article 14 du règlement s’applique précisément à cette hypothèse : celle où la société a obtenu vos coordonnées auprès d’un tiers, par l’achat d’un fichier, ou en les aspirant elle-même sur des pages publiques. Le texte du règlement (UE) 2016/679 est diffusé en français sur EUR-Lex, site officiel du droit de l’Union.
Le contenu de cette information est détaillé : identité et coordonnées du responsable du traitement, coordonnées du délégué à la protection des données lorsqu’il existe, finalités du traitement et base juridique invoquée, catégories de données concernées, destinataires ou catégories de destinataires, durée de conservation ou critères qui la déterminent, et ensemble de vos droits, dont le droit d’opposition et le droit d’introduire une réclamation auprès d’une autorité de contrôle. Surtout, le responsable doit vous indiquer la source exacte d’où proviennent vos données, en précisant le cas échéant si elles sont issues ou non de sources accessibles au public. Autrement dit, la société qui vous démarche doit vous dire si elle a acheté vos coordonnées, auprès de qui, ou si elle les a elle-même collectées sur internet.
Cette information doit arriver vite. Le responsable la fournit dans un délai raisonnable après avoir obtenu les données, sans dépasser un mois, et au plus tard au moment de sa première communication avec vous si les données servent à vous contacter. S’il est envisagé de transmettre vos données à un autre destinataire, l’information doit intervenir au plus tard lors de la première transmission. Le juge administratif applique ces textes à la lettre : le Conseil d’État a rejeté, le 15 avril 2025 (n° 492943, décision sur Légifrance), le recours d’une association qui menait une prospection électorale à partir de données collectées sans satisfaire à ses obligations d’information ni effacer les données, confirmant une amende de 20 000 euros prononcée pour manquements aux articles 12, 13, 14 et 17 du RGPD. La procédure suivie était la procédure simplifiée, réservée aux affaires sans difficulté particulière, ce qui montre que le défaut d’information et le défaut d’effacement sont des manquements établis, sanctionnés même en procédure allégée.
L’information doit en outre être concise, transparente, compréhensible, aisément accessible, et rédigée en des termes clairs et simples. Un renvoi noyé dans des conditions générales illisibles ou un lien caché en bas d’un message ne satisfait pas à cette exigence. La CNIL détaille par ailleurs ce qu’est une prospection : l’envoi de tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l’image d’une personne qui vend ou fournit des services, comme elle l’explique dans sa fiche consacrée à la prospection commerciale par courrier électronique, SMS et automates d’appel. Si le message reçu promeut une offre, il s’agit d’une prospection, et tout le régime décrit ici s’applique, même lorsque l’expéditeur prétend qu’il s’agit d’une simple information.
Il existe des exceptions à l’obligation d’information, mais elles sont étroites et c’est au responsable de démontrer qu’il entre dans l’une d’elles. L’article 14, paragraphe 5, les énumère : la personne dispose déjà des informations, la fourniture se révèle impossible ou exigerait des efforts disproportionnés, l’obtention est expressément prévue par le droit de l’Union ou le droit national avec des garanties appropriées, ou les données doivent rester confidentielles en vertu d’une obligation de secret professionnel. Le simple fait d’avoir acheté un fichier volumineux ne constitue pas, à lui seul, une impossibilité : le responsable qui choisit d’exploiter des milliers de contacts choisit aussi d’en assumer l’information. De même, le caractère public des données aspirées sur internet ne dispense pas d’informer : la mention de la source publique fait partie des informations dues, elle ne les remplace pas. La CNIL a consacré une fiche aux mesures attendues lorsque la collecte repose sur l’aspiration de données publiées en ligne, qui rappelle que l’intérêt légitime invoqué dans ce cadre doit s’accompagner de garanties concrètes (fiche CNIL sur l’intérêt légitime et l’aspiration de données publiées).
Retenez donc le premier réflexe : face à un démarcheur inconnu, demandez-lui par écrit qui il est, d’où il tient vos coordonnées exactement, sur quelle base juridique il les traite, à qui il les a déjà transmises et comment exercer vos droits. Son silence ou sa réponse évasive constituent déjà un indice de manquement, que la suite de la procédure permettra d’exploiter.
B. Justifier d’une base licite réelle : consentement exprès ou intérêt légitime qui résiste à votre opposition
Informer ne suffit pas : tout traitement doit reposer sur l’une des bases licites énumérées par l’article 6, paragraphe 1, du RGPD. Pour la prospection issue d’un fichier acheté ou scrapé, deux bases sont en pratique invoquées : le consentement de la personne concernée ou l’intérêt légitime du responsable ou d’un tiers. Chacune obéit à des conditions strictes, et c’est au responsable de prouver qu’il les remplit.
Le consentement valable est une manifestation de volonté libre, spécifique, éclairée et univoque, exprimée par une déclaration ou un acte positif clair. Cette définition exclut les cases pré-cochées, les consentements groupés et les formulations ambiguës. Il appartient au responsable de démontrer que ce consentement a bien été donné, et la demande de consentement, lorsqu’elle figure dans une déclaration écrite qui concerne aussi d’autres sujets, doit être présentée de façon clairement distincte, compréhensible et aisément accessible, en des termes clairs et simples.
Le Conseil d’État vient d’en faire une application topique au commerce des fichiers de prospects. Le 20 mai 2026 (n° 492836, décision sur Légifrance), il a jugé le cas d’un éditeur de sites de jeux-concours qui transmettait contre rémunération à ses partenaires commerciaux les noms, adresses postale et électronique et numéros de téléphone des participants, à des fins de prospection par ces partenaires. Les formulaires proposaient un bouton de validation mis en valeur, dans une typographie nettement plus visible que le reste du texte, avec des ambiguïtés sur les conséquences du clic. Le Conseil d’État a estimé que c’est sans erreur d’appréciation que la CNIL avait retenu que ces formulaires « ne permettaient pas un consentement libre, spécifique, éclairé et univoque des utilisateurs au sens des dispositions de l’article 6 du RGPD », la juridiction relevant que le bouton de validation était mis en valeur et que des ambiguïtés demeuraient sur les conséquences liées au fait d’actionner l’autre bouton. L’amende de 75 000 euros a été ramenée à 50 000 euros après l’annulation partielle d’un grief distinct, pour atteinte aux droits de la défense, et l’injonction de mettre en place un formulaire recueillant un consentement libre, spécifique, éclairé et univoque a été maintenue. L’enseignement est direct : un consentement extorqué par un parcours trompeur ne vaut pas consentement, et celui qui achète un tel fichier ne peut pas se prévaloir d’un accord que les personnes n’ont jamais réellement donné.
L’autre base invoquée est l’intérêt légitime, prévu par l’article 6, paragraphe 1, point f) : le traitement doit être nécessaire aux fins des intérêts légitimes poursuivis, sauf prévalence des intérêts, libertés et droits fondamentaux de la personne concernée. Cette balance se fait au cas par cas, en tenant compte des attentes raisonnables des personnes, de la nature des données et de l’existence de garanties. Pour la prospection, l’intérêt légitime ne permet pas de tout faire : il doit céder devant votre opposition, comme on le verra, et il ne dispense ni d’informer ni de respecter les règles propres aux canaux utilisés. En particulier, pour la prospection par courrier électronique, SMS, MMS ou automate d’appel, l’article L. 34-5 du code des postes et des communications électroniques pose une interdiction de principe : « Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. » (texte en vigueur sur Légifrance). La seule exception notable concerne le client existant : la prospection par courrier électronique reste autorisée si les coordonnées ont été recueillies directement auprès du destinataire à l’occasion d’une vente ou d’une prestation, pour des produits ou services analogues, et si le destinataire s’est vu offrir, de manière expresse et dénuée d’ambiguïté, la possibilité de s’y opposer. Un fichier acheté ou des coordonnées scrapées ne remplissent pas ces conditions : les coordonnées n’ont pas été recueillies auprès de vous par celui qui vous écrit. Pour ces messages électroniques, le consentement préalable reste donc exigé, et son absence vicie l’opération dès l’origine.
En résumé, la société inconnue qui vous démarche doit cumuler trois qualités : vous avoir informé complètement et à temps, disposer de votre consentement exprès ou d’un intérêt légitime réel et documenté, et respecter les règles du canal employé. Si l’un de ces piliers manque, vos demandes d’accès, d’effacement et d’opposition ont toutes les chances de prospérer, et la CNIL comme le juge disposent des moyens de les faire respecter.
II. Agir pas à pas : exiger, saisir la CNIL, aller devant le juge
A. Exiger d’abord : accès, effacement, opposition
La première étape consiste à écrire au responsable du traitement, c’est-à-dire à la société qui vous démarche, et, lorsque vous l’avez identifiée, à celle qui lui a transmis vos coordonnées. Un courrier électronique suffit, en conservant une copie et les accusés. Trois droits se combinent utilement dans le même envoi : le droit d’accès, le droit à l’effacement et le droit d’opposition.
Le droit d’accès, prévu par l’article 15 du RGPD, permet d’obtenir la confirmation que des données vous concernant sont traitées, l’accès à ces données et un ensemble d’informations : finalités, catégories de données, destinataires, durée de conservation, droits dont vous disposez, source des données et existence éventuelle d’une prise de décision automatisée. C’est l’outil qui oblige le démarcheur à mettre cartes sur table : d’où viennent vos coordonnées, qui les lui a vendues ou à partir de quelles pages elles ont été aspirées, et à qui il les a lui-même transmises.
Le droit à l’effacement, prévu par l’article 17, permet d’obtenir l’effacement de vos données dans les meilleurs délais lorsque l’un des motifs prévus s’applique. Plusieurs de ces motifs correspondent exactement à la prospection issue d’un fichier acheté ou scrapé : les données ne sont plus nécessaires au regard des finalités, vous retirez votre consentement sans autre fondement juridique, vous vous opposez au traitement sans motif légitime impérieux contraire, ou les données ont fait l’objet d’un traitement illicite, par exemple faute de base licite ou d’information. Lorsque le responsable a rendu vos données publiques, il doit en outre prendre des mesures raisonnables, y compris techniques, pour informer les autres responsables qui les traitent de votre demande d’effacement. Exigez donc l’effacement auprès du démarcheur et auprès du vendeur du fichier, ainsi que la justification de la transmission de votre demande aux partenaires déjà destinataires.
Le droit d’opposition est le plus puissant en matière de prospection. Lorsque les données sont traitées à des fins de prospection, vous pouvez vous opposer à tout moment à ce traitement, y compris au profilage lié à cette prospection, et le responsable doit alors cesser tout traitement à ces fins. Ici, aucune balance d’intérêts : l’opposition à la prospection est absolue. Ce droit doit d’ailleurs vous avoir été présenté explicitement, clairement et séparément de toute autre information, au plus tard au moment de la première communication. Si le premier message reçu ne mentionnait pas ce droit, c’est un manquement supplémentaire. Pour la prospection par courrier électronique qui continue malgré tout, les recours propres à ce canal sont décrits dans notre analyse de la prospection par email qui continue malgré la désinscription : opposition, signalement, plainte CNIL et réparation.
Le responsable doit répondre vite et sans frais. Il fournit les informations sur les mesures prises dans les meilleurs délais et au plus tard dans un délai d’un mois à compter de la réception de votre demande, ce délai pouvant être prolongé de deux mois pour les demandes complexes, à condition de vous prévenir dans le premier mois. S’il refuse de donner suite, il doit vous informer sans tarder, et au plus tard dans un délai d’un mois, des motifs de son inaction ainsi que de la possibilité de saisir une autorité de contrôle et de former un recours juridictionnel. Aucun paiement ne peut être exigé pour ces démarches, sauf demandes manifestement infondées ou excessives, dont c’est au responsable de démontrer le caractère abusif. Conservez donc soigneusement la preuve de vos envois et des réponses, ou de l’absence de réponse : ce dossier fera la force de la plainte puis, le cas échéant, du recours.
En pratique, votre courrier gagne à comporter quatre demandes numérotées : la communication de la source exacte de vos coordonnées et de la base juridique invoquée, l’accès à l’ensemble des données détenues, l’effacement de ces données avec confirmation écrite et information des destinataires déjà alimentés, et la prise en compte immédiate de votre opposition à toute prospection, avec inscription sur la liste interne d’opposition. La CNIL explique d’ailleurs comment utiliser une liste repoussoir pour respecter l’opposition à la prospection : la société peut conserver vos seules coordonnées nécessaires pour ne plus vous démarcher, mais elle ne peut plus les utiliser à d’autres fins. Fixez un délai d’un mois, conformément aux textes, et annoncez qu’à défaut vous saisirez la CNIL.
B. Saisir la CNIL puis le juge, et être indemnisé du préjudice démontré
Si la société ne répond pas, répond à côté ou persiste à vous démarcher, la plainte devant la CNIL constitue la deuxième étape. Toute personne concernée peut introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État de sa résidence, de son lieu de travail ou du lieu de la violation. La plainte se dépose en ligne sur le site de la CNIL, en joignant votre courrier resté sans réponse ou la réponse insatisfaisante, les messages de prospection reçus avec leurs en-têtes et les captures montrant l’absence d’information sur la provenance. L’autorité doit vous informer de l’état d’avancement et de l’issue de votre réclamation. Si elle ne traite pas votre plainte ou ne vous informe pas dans un délai de trois mois, vous disposez d’un recours juridictionnel effectif contre l’autorité elle-même. Les démarches concrètes lorsque la plainte n’avance pas sont détaillées dans notre article sur la plainte CNIL restée sans réponse : déposer, relancer et contester.
La CNIL dispose de pouvoirs gradués : rappel à l’ordre, injonction de mise en conformité, limitation ou interdiction temporaire du traitement, amende administrative. La loi du 6 janvier 1978 organise la procédure : le président peut saisir la formation restreinte en vue de mesures prononcées après procédure contradictoire, dont l’amende administrative, et une procédure simplifiée permet à un membre unique de statuer seul lorsque l’amende encourue n’excède pas 20 000 euros et que l’affaire ne présente pas de difficulté particulière. C’est cette voie qui a été suivie dans l’affaire de prospection électorale confirmée par le Conseil d’État en avril 2025. Pour les manquements graves et systémiques, les montants changent d’échelle : le 4 mars 2026 (n° 482872, décision sur Légifrance), le Conseil d’État a rejeté le recours formé contre une amende de 40 millions d’euros prononcée en 2023 pour des manquements liés au reciblage publicitaire, confirmant la sévérité des sanctions encourues par les acteurs qui exploitent des données à grande échelle sans base valable. La publication de la sanction, souvent ordonnée en complément, ajoute une portée réputationnelle à la condamnation pécuniaire.
Le troisième niveau est le juge judiciaire, devant lequel vous pouvez agir contre le responsable du traitement ou son sous-traitant. Le RGPD ouvre un recours juridictionnel effectif contre le responsable, et toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a droit à réparation de son préjudice. Lorsque plusieurs acteurs participent au même traitement, vendeur du fichier et acheteur prospecteur par exemple, chacun peut être tenu pour le tout, afin de garantir une réparation effective, avec ensuite un partage entre eux selon leurs parts de responsabilité. Mais attention : la violation ne suffit pas à elle seule. La chambre sociale de la Cour de cassation a jugé le 24 juin 2026 (n° 24-22.792, publié au Bulletin) que la simple violation du règlement ne donne pas, à elle seule, droit à réparation, et qu’il appartient au juge d’apprécier si la personne établit que la violation constatée lui a causé un dommage matériel ou moral. Documentez donc votre préjudice : messages répétés malgré l’opposition, temps passé, gêne subie, inquiétude liée à la circulation de vos coordonnées, démarches engagées. Plus le démarchage persiste après votre opposition et votre plainte, plus le préjudice moral se caractérise. Le manquement peut également être poursuivi sur le fondement du droit commun de la responsabilité : l’article 1240 du code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (texte en vigueur sur Légifrance).
Face à un démarchage qui persiste malgré l’opposition, le référé civil offre une voie rapide de cessation : l’article 9 du code civil dispose que « Chacun a droit au respect de sa vie privée » et que les juges peuvent prescrire toutes mesures propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée, y compris en référé en cas d’urgence (texte en vigueur sur Légifrance). Plus largement, l’article 835 du code de procédure civile permet au président du tribunal judiciaire de prescrire en référé les mesures qui s’imposent pour faire cesser un trouble manifestement illicite (texte en vigueur sur Légifrance). Enfin, lorsque la collecte elle-même est frauduleuse ou déloyale, par exemple l’usurpation d’un consentement, l’aspiration massive en violation des conditions d’utilisation d’un site ou la revente de données volées, le volet pénal peut s’ajouter. L’article 226-18 du code pénal dispose que « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » (texte en vigueur sur Légifrance). Le dépôt de plainte ne remplace ni la demande d’effacement ni la plainte à la CNIL, mais il fige les faits, permet des investigations sur l’origine du fichier et pèse dans l’appréciation du préjudice. Réservez-le aux cas où des indices sérieux de fraude existent, et faites constater les messages et les parcours de collecte avant toute démarche.
Conclusion
Une société que vous n’avez jamais contactée ne peut pas disposer de vos données à sa guise : elle doit vous informer de son identité et de la provenance exacte de vos coordonnées au plus tard lors de son premier message, justifier d’un consentement exprès ou d’un intérêt légitime réel, et respecter les règles propres au canal employé, dont le consentement préalable exigé pour la prospection électronique. À défaut, vous pouvez exiger l’accès, l’effacement et la cessation de toute prospection, obtenir une réponse dans un délai d’un mois, puis saisir la CNIL, qui peut enjoindre, sanctionner jusqu’à des montants très élevés et publier sa décision, et enfin demander au juge la cessation et la réparation du préjudice que vous démontrez. La jurisprudence récente confirme chaque étage : information et effacement sanctionnés même en procédure simplifiée, formulaires ambigus de recueil du consentement censurés chez les revendeurs de fichiers, amende de 40 millions d’euros maintenue pour le reciblage sans base valable, et réparation subordonnée à la preuve d’un dommage. Face au démarcheur inconnu, écrivez donc vite, conservez tout et graduez : la fermeté documentée obtient presque toujours davantage que l’indignation sans trace.