Vous venez de payer vos courses et le caissier vous demande votre adresse e-mail pour vous envoyer le ticket, ou votre numéro de téléphone pour vous l’adresser par SMS. La scène est devenue banale depuis la fin de l’impression systématique des tickets de caisse. Elle pose pourtant une vraie question de protection de vos données personnelles : que devient l’adresse que vous dictez en caisse, qui peut la réutiliser, et comment reprendre la main quand les messages publicitaires commencent à arriver.
Le droit applicable distingue deux moments. Le premier se joue en caisse : le ticket dématérialisé ne peut pas vous être imposé, et le ticket papier reste toujours possible sans communiquer la moindre coordonnée. Le second commence après : dès que votre adresse e-mail ou votre numéro sert à vous démarcher, des règles strictes s’appliquent, avec un accord préalable en principe, un droit d’opposition à chaque étape, puis la plainte devant la CNIL et le juge en cas de manquement.
I. En caisse, le ticket dématérialisé ne vous oblige à rien
A. Papier, rien ou dématérialisé : un choix que le commerce doit respecter
La loi a mis fin au caractère systématique de l’impression, pas au ticket lui-même. Le code de l’environnement dispose qu’« Au plus tard le 1er janvier 2023, sauf demande contraire du client, sont interdites : 1° L’impression et la distribution systématiques de tickets de caisse dans les surfaces de vente et dans les établissements recevant du public » (article L. 541-15-10 du code de l’environnement). Appliquée depuis le 1er août 2023 selon les indications de la CNIL (CNIL, fin de l’impression systématique des tickets de caisse : quels sont mes droits), cette interdiction vise aussi les tickets de carte bancaire, les tickets d’automates et les bons d’achat promotionnels.
Concrètement, trois options s’offrent à vous et le commerçant doit vous laisser choisir. Vous pouvez ne demander aucun ticket, ce qui répond à la fois à l’objectif environnemental de la loi et à la protection de votre vie privée. Vous pouvez demander l’impression papier du ticket, par exemple pour vérifier le décompte en sortant du magasin ou parce qu’un échange reste possible. Cette impression papier se fait sans collecte de vos coordonnées et préserve votre vie privée (CNIL, quels sont mes droits). Vous pouvez enfin accepter le ticket dématérialisé si le commerce le propose, par e-mail, par SMS, via un compte ou en scannant un QR code.
Le commerce doit vous informer de ce choix. Dans les surfaces de vente et les établissements recevant du public, il est obligatoire d’afficher de manière lisible que, sauf exception légale, l’impression et la remise des tickets de caisse et de carte bancaire ne se font qu’à la demande du consommateur (Service-public.fr, interdiction d’impression systématique des tickets). Si aucun affichage n’est visible en caisse et que le caissier vous réclame d’emblée votre e-mail, commencez par demander le ticket papier : c’est votre droit, et il ne suppose aucune donnée personnelle.
Certaines impressions systématiques restent autorisées et ne doivent pas vous surprendre. C’est le cas lorsque le ticket mentionne l’existence et la durée de la garantie légale de conformité, par exemple pour l’électroménager ou l’informatique, pour les tickets édités par une balance à fonctionnement non automatique comme la pesée des fruits et légumes en vrac, et pour les opérations de paiement par carte annulées, n’ayant pas abouti, soumises à pré-autorisation ou faisant l’objet d’un crédit (Service-public.fr, cas d’impression systématique autorisée). Les tickets d’automates dont la conservation et la présentation restent nécessaires, notamment comme titre de transport ou preuve d’achat, relèvent également de ces exceptions.
Surtout, la dématérialisation ne peut pas vous être imposée. la dématérialisation, non prévue par la loi, ne peut pas être rendue obligatoire, comme le rappelle la CNIL (CNIL, quels sont mes droits). La fiche de la direction générale de la concurrence, de la consommation et de la répression des fraudes l’exprime en ces termes : le choix d’obtenir ou non un ticket appartient au consommateur, tandis que l’offre d’un ticket dématérialisé et le choix du mode de transmission restent décidés par le commerçant (DGCCRF, impression des tickets à la demande). Le commerçant n’est pas tenu de proposer la version dématérialisée, mais il doit toujours pouvoir vous remettre un ticket papier si vous le demandez : les consommateurs sans accès aux outils numériques, ou qui refusent de communiquer leurs données personnelles, peuvent donc exiger qu’un ticket papier leur soit remis sur demande (DGCCRF, questions générales).
Deux pratiques doivent donc vous alerter. La première consiste à conditionner le ticket dématérialisé à la création d’un compte de fidélité. Or la création d’un compte de fidélité ne constitue toutefois pas un préalable obligatoire à l’obtention du ticket (CNIL, quels sont mes droits), car cette solution conduit à communiquer des données qui ne sont pas nécessaires au simple envoi du ticket. La seconde consiste à ne proposer que l’e-mail ou le SMS, sans alternative. Les solutions qui permettent de récupérer le ticket en scannant un QR code, sans communiquer vos coordonnées, la CNIL invite les commerces à privilégier ces solutions, qui limitent les données personnelles collectées (CNIL, solutions limitant la communication des données).
À Paris et en Île-de-France, où les caisses automatiques se multiplient dans les surfaces de vente, les mêmes règles s’appliquent : l’information sur vos options peut être donnée « directement sur l’interface d’une caisse automatique » (CNIL, solutions et règles pour les commerçants), et le refus de communiquer votre adresse ne doit jamais vous priver du ticket papier. Si vous anticipez un échange, un remboursement ou l’activation d’une garantie, demandez systématiquement un support : sans ticket papier ni ticket dématérialisé, vous ne pourrez ni vérifier ce qui vous a été facturé ni rapporter la preuve de votre achat, y compris vis-à-vis d’un tiers pour lequel vous auriez fait les courses (DGCCRF, zéro ticket et preuve d’achat).
B. Quand vous communiquez votre adresse : information, base légale et conservation
Dès que vous dictez votre e-mail ou votre numéro, le commerce traite vos données personnelles, même pour le seul envoi du ticket. La CNIL l’énonce sans détour : la délivrance d’un ticket dématérialisé constitue un traitement de données du client, même limité dans certains cas (CNIL, dématérialisation et encadrement). Ce traitement doit respecter le règlement général sur la protection des données, à commencer par le principe de minimisation : les données doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) » (Conseil d’État, 6 décembre 2023, n° 467368, rappelant l’article 5 du RGPD). Concrètement, le commerce ne peut pas exiger votre date de naissance, votre adresse postale ou la composition de votre foyer pour vous adresser un simple ticket : seule l’adresse strictement nécessaire à l’envoi peut être collectée.
Le commerce doit d’abord vous informer, et cette information se joue à deux niveaux. Au passage en caisse, un premier niveau synthétique doit indiquer l’identité du responsable du traitement et les objectifs poursuivis par la collecte, afin que vous compreniez l’utilisation qui pourrait en être faite, y compris une réutilisation à des fins de prospection commerciale. Cette information peut passer par un affichage près de la caisse, un rappel oral du caissier ou directement l’écran d’une caisse automatique. Un second niveau, complet, doit rester accessible, par exemple via un QR code renvoyant vers la politique de confidentialité (CNIL, informer les personnes concernées). Si aucune information n’est disponible et que le caissier ne peut pas vous dire à quoi servira votre adresse, ne la communiquez pas et demandez le ticket papier.
Vient ensuite la question de la base légale, c’est-à-dire de ce qui autorise le commerce à utiliser votre adresse. Pour le seul envoi du ticket que vous avez demandé, la CNIL admet que la CNIL admet le recours à la base légale de l’intérêt légitime pour ce seul envoi (CNIL, traitement fondé sur l’intérêt légitime). Vous devez alors en être informé et mis en mesure de vous y opposer, et en pratique, selon la CNIL, cette opposition passe simplement par le choix de ne pas prendre de ticket ou d’en demander l’impression papier (CNIL, opposition pratique). Le commerce peut aussi choisir de fonder cet envoi sur votre consentement. Dans ce cas, c’est à lui de rapporter la preuve de votre accord : « Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant » (article 7, paragraphe 1, du règlement (UE) 2016/679). Une case pré-cochée, un accord noyé dans les conditions générales ou un consentement extorqué par l’absence d’alternative ne satisfont pas à cette exigence, car le traitement n’est licite que si « la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques » (article 6, paragraphe 1, point a), du règlement (UE) 2016/679).
La réutilisation de votre adresse à des fins publicitaires obéit à des conditions plus strictes, détaillées dans la seconde partie de cet article. Retenez dès ici l’essentiel : l’adresse donnée pour recevoir un ticket ne vaut pas autorisation générale à vous démarcher, et chaque finalité doit être distinguée. Si le formulaire de caisse mêle l’envoi du ticket et l’inscription à la lettre d’information dans une case unique, ou si le caissier vous assure que votre adresse « sert uniquement au ticket » alors que des publicités suivent, conservez-en la preuve, par exemple en photographiant l’écran ou l’affichette et en gardant les premiers messages reçus avec leur date.
Reste la conservation, souvent négligée. Le ticket lui-même est une pièce justificative que le commerce doit garder longtemps : « Les documents comptables et les pièces justificatives sont conservés pendant dix ans » (article L. 123-22 du code de commerce), et les pièces sur lesquelles s’exercent les droits de contrôle de l’administration « doivent être conservés pendant un délai de six ans à compter de la date de la dernière opération mentionnée sur les livres ou registres ou de la date à laquelle les documents ou pièces ont été établis » (article L. 102 B du livre des procédures fiscales, dans sa version applicable à la date de rédaction). Ces durées concernent la preuve des transactions, pas le droit de vous démarcher pendant dix ans : les données doivent être « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées (…) (limitation de la conservation) » (Conseil d’État, 6 décembre 2023, n° 467368, rappelant l’article 5 du RGPD).
Le juge sanctionne les conservations excessives. Dans l’affaire ayant donné lieu à la décision du 6 décembre 2023, la CNIL avait prononcé une amende de 175 000 euros contre une société de location de véhicules qui conservait notamment des données de géolocalisation pendant trois ans après la fin de la relation commerciale. Le Conseil d’État a jugé qu’« Il s’ensuit que la formation restreinte de la CNIL a pu légalement estimer que la société Ubeeqo conservait les données de géolocalisation pour une durée excessive au regard des finalités poursuivies et retenir l’existence d’un manquement aux dispositions du e) du 1. de l’article 5 du RGPD » (Conseil d’État, 6 décembre 2023, n° 467368). L’enseignement vaut pour votre adresse e-mail : le commerce peut garder la trace de la transaction pour ses obligations comptables et fiscales, mais il ne peut pas conserver indéfiniment une adresse utilisable à des fins commerciales une fois la finalité épuisée et vos droits exercés.
II. Quand l’adresse donnée en caisse sert à vous démarcher
A. E-mails et SMS publicitaires : un accord préalable, sauf une exception étroite
Quelques jours après votre achat, les messages promotionnels arrivent sur l’adresse que vous aviez donnée pour le seul ticket. Ce basculement de l’envoi du ticket vers la prospection est le point le plus contrôlé par les autorités. Le principe posé par le code des postes et des communications électroniques est clair : « Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen » (article L. 34-5 du code des postes et des communications électroniques). La prospection directe s’entend de tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l’image d’une personne qui vend des biens ou fournit des services. Un e-mail ou un SMS vantant les promotions de l’enseigne entre dans cette définition, même s’il se présente comme une « information client ».
Une seule exception permet au commerce de vous écrire sans votre accord préalable. Lorsque vos coordonnées ont été recueillies à l’occasion d’une vente, dans le respect de la loi du 6 janvier 1978, que la prospection concerne des produits ou services analogues fournis par la même entreprise, et que vous avez été mis en mesure de vous opposer simplement à cette utilisation au moment de la collecte puis à chaque envoi, l’accord préalable n’est pas exigé (article L. 34-5 du code des postes et des communications électroniques, exception dite des clients). La CNIL résume ainsi la règle : quand la prospection porte sur des produits ou services similaires à ceux déjà achetés, le commerce peut écrire sans accord préalable, à condition de vous en avoir informé et de vous avoir permis de vous y opposer lors de la collecte puis à chaque envoi (CNIL, collecte des coordonnées et prospection). Chaque condition compte : un achat unique d’un bien alimentaire n’autorise pas des offres d’assurance ou de crédit, un numéro dicté oralement sans aucune information ne remplit pas la condition d’information, et un message sans lien de désinscription prive le commerce du bénéfice de l’exception.
Hors de cette exception, votre accord préalable est indispensable pour toute sollicitation par voie électronique, qu’il s’agisse d’e-mails, de SMS ou d’automates d’appel. Et lorsque le commerce envisage de transmettre votre adresse à des partenaires commerciaux pour qu’ils vous démarchent à leur tour, le verrou est double : « le consentement des personnes concernées est nécessaire », et les enseignes qui recueillent ce consentement pour le compte de leurs partenaires les enseignes doivent informer le client, dès la collecte, de l’identité des partenaires qui utiliseront ce consentement (CNIL, prospection par des partenaires commerciaux). Une case intitulée « j’accepte de recevoir les offres des partenaires » sans nommer personne, ou un renvoi vers une liste de plusieurs centaines de sociétés accessible par un lien discret, ne satisfait pas à cette exigence d’un consentement éclairé.
Les sanctions récentes montrent que les autorités contrôlent précisément ces formulaires. Le 20 mai 2026, le Conseil d’État s’est prononcé sur le cas d’une société qui organisait des jeux-concours et transmettait contre rémunération les données des participants à ses partenaires commerciaux (Conseil d’État, 20 mai 2026, n° 492836). La CNIL lui avait infligé une amende de 75 000 euros pour l’absence de consentement valable à cette transmission et pour la tenue défectueuse du registre des traitements, avec l’injonction de mettre en place un formulaire recueillant « un consentement libre, spécifique, éclairé et univoque quant à la transmission des données à caractère personnel à des partenaires à des fins de prospection ». Le Conseil d’État a confirmé les manquements et le principe de la sanction, dont il a ramené le montant à 50 000 euros : « Le montant de l’amende administrative prononcée à l’encontre de la société Tagadamedia par la délibération de la formation restreinte de la CNIL du 29 décembre 2023 est ramené à 50 000 euros » (Conseil d’État, 20 mai 2026, n° 492836). Les motifs détaillent des formulaires ambigus, où le refus passait par un lien discret quand l’acceptation s’affichait en grand : la présentation même du choix vicie le consentement.
La question des cases « partenaires » reste même devant la Cour de justice de l’Union européenne. Le 5 mai 2025, saisi du recours d’un groupe de médias contre une amende de 600 000 euros prononcée par la CNIL pour des manquements liés au recueil du consentement à la prospection des partenaires, le Conseil d’État a décidé qu’« Il est sursis à statuer sur la requête de la société Groupe Canal + jusqu’à ce que la Cour de justice de l’Union européenne se soit prononcée sur les questions suivantes » (Conseil d’État, 5 mai 2025, n° 490202). La première question porte sur le point qui vous concerne directement : le consentement donné au commerce pour une catégorie de destinataires désignée en bloc comme les « partenaires » vaut-il consentement éclairé permettant à chacun d’eux de vous démarcher, ou chaque destinataire dont l’identité vous était inconnue doit-il recueillir à son tour votre accord. Tant que la Cour ne s’est pas prononcée, la prudence commande de ne cocher aucune case « partenaires » et de considérer tout démarchage d’une société inconnue, dont vous n’avez jamais été client, comme suspect.
Pour les appels téléphoniques passés par une personne, et non par un automate, le régime est celui de l’opposition : chacun doit pouvoir s’opposer à tout moment aux sollicitations par appel téléphonique (CNIL, collecte des coordonnées et prospection). Dites votre refus pendant l’appel, puis confirmez-le par écrit pour en garder la trace. Les manquements à ces règles exposent le commerce à des amendes administratives prononcées par l’autorité chargée de la concurrence et de la consommation « dont le montant ne peut excéder 75 000 € pour une personne physique et 375 000 € pour une personne morale » (article L. 34-5 du code des postes et des communications électroniques, sanctions), sans préjudice des sanctions propres à la CNIL.
B. Faire cesser les messages, effacer vos données, saisir la CNIL et obtenir réparation
Face à des messages non voulus, procédez par étapes et gardez la preuve de chacune. Cliquez d’abord sur le lien de désinscription présent dans chaque message : le droit d’opposition doit être porté à votre attention « Au plus tard au moment de la première communication avec la personne concernée, le droit visé aux paragraphes 1 et 2 est explicitement porté à l’attention de la personne concernée et est présenté clairement et séparément de toute autre information » (article 21, paragraphe 4, du règlement (UE) 2016/679). Vérifiez ensuite que la désinscription est effective : si les messages continuent après votre opposition, chaque nouvel envoi constitue un manquement supplémentaire. Conservez les captures d’écran du formulaire initial, les messages avec leurs dates et les confirmations de désinscription.
L’opposition ne se limite pas à un expéditeur. « Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection », et « Lorsque la personne concernée s’oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins » (article 21, paragraphes 2 et 3, du règlement (UE) 2016/679). Vous pouvez aller plus loin et demander l’effacement de votre adresse : « La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant », notamment lorsqu’elles « ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées » (article 17, paragraphe 1, du règlement (UE) 2016/679). Une adresse collectée pour un ticket, dont vous exigez la suppression après vous être opposé à toute prospection, entre dans ce cas de figure, sous réserve des conservations que la loi impose au commerce pour ses pièces comptables et fiscales.
Adressez ensuite votre demande directement au commerce ou à son délégué à la protection des données : chacun peut exercer ses droits auprès du commerce ou de son délégué à la protection des données, si l’enseigne en a désigné un (CNIL, que faire si un commerçant ne respecte pas mes droits). Écrivez de manière à prouver la date de votre demande, exposez les faits avec leurs dates, visez l’opposition et l’effacement, et fixez un délai de réponse. Si vous n’obtenez pas de réponse ou si elle ne vous satisfait pas, la voie de la plainte s’ouvre : en l’absence de réponse sous un mois à compter de l’envoi de la demande, ou si la réponse ne vous satisfait pas, une plainte peut alors être adressée à la CNIL (CNIL, adresser une plainte). La démarche complète, de la demande préalable jusqu’au recours contre une plainte restée sans réponse, est décrite pas à pas dans notre guide de la plainte CNIL sans réponse, de sa relance et de sa contestation. Lorsque les messages persistent malgré la désinscription, notre guide contre le spam et la prospection par e-mail détaille les signalements utiles, et si le commerce conserve vos données issues d’un compte client après la fin de la relation, notre analyse de la conservation des données après fermeture du compte s’applique à votre situation. Pour savoir exactement quelles données le commerce détient sur vous avant d’agir, utilisez votre droit d’accès et d’obtention d’une copie de vos données.
Le juge peut enfin réparer votre préjudice. « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » (article 82, paragraphe 1, du règlement (UE) 2016/679). Le temps passé à se désinscrire en vain, l’encombrement de votre messagerie, l’utilisation commerciale de votre adresse contre votre volonté et l’inquiétude liée à la diffusion de vos coordonnées caractérisent un préjudice dont vous demanderez l’indemnisation en l’établissant par vos pièces : formulaire photographié, messages datés, demande restée sans réponse, plainte CNIL. Les décisions citées dans cet article montrent que les autorités sanctionnent chaque maillon, du formulaire ambigu à la conservation excessive, ce qui nourrit votre démonstration devant le juge.
Conclusion
En caisse, votre adresse e-mail ou votre numéro de téléphone n’est jamais le prix à payer pour obtenir un ticket : le papier reste possible sans aucune coordonnée, le QR code limite la collecte, et le compte de fidélité ne peut pas vous être imposé. Quand vous acceptez le ticket dématérialisé, exigez une information claire, refusez les cases « partenaires » qui ne nomment personne et conservez la preuve de ce que vous avez accepté. Au premier message non voulu, opposez-vous par le lien de désinscription, demandez l’effacement de votre adresse, écrivez au commerce, puis saisissez la CNIL en cas de réponse insatisfaisante. Les sanctions prononcées contre les formulaires trompeurs et les conservations excessives confirment que ces réflexes sont protégés par le droit et réparés par le juge.