Vous avez cliqué sur « se désinscrire », parfois trois fois, et les e-mails commerciaux continuent d’arriver. Le lien de désabonnement ne fonctionne pas, renvoie vers une page en erreur, ou semble accepté avant que la newsletter suivante ne tombe dans votre boîte de réception. Cette situation n’est pas une simple gêne technique : quand un expéditeur poursuit ses envois après votre opposition, il enfreint des règles précises du droit français et européen, et vous disposez d’une gradation de recours, du signalement jusqu’au juge et à la réparation. Cet article décrit ces règles et cette marche à suivre, avec les textes et les décisions qui les portent.
I. Ce que l’expéditeur devait faire : consentement préalable et arrêt après opposition
A. Aucune prospection par e-mail sans votre consentement préalable
Le principe est posé par l’article L. 34-5 du code des postes et des communications électroniques, dont le texte en vigueur dispose : « Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. » La prospection directe y est définie largement, comme « l’envoi de tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l’image d’une personne vendant des biens ou fournissant des services ». Une newsletter commerciale, une offre promotionnelle ou un e-mail de fidélisation entrent donc dans ce champ.
La Commission nationale de l’informatique et des libertés (CNIL) rappelle sur sa page consacrée à la prospection que la publicité par voie électronique n’est possible qu’après consentement préalable des personnes démarchées, et ce consentement « doit être libre, spécifique, éclairé et univoque », avec une action positive de la personne, comme une case à cocher dédiée qui ne soit pas pré-cochée. L’acceptation de conditions générales d’utilisation ne suffit pas. Cette exigence reprend la définition du règlement général sur la protection des données (RGPD), dont l’article 4, paragraphe 11, définit le consentement comme toute manifestation de volonté, libre, spécifique, éclairée et univoque, exprimée par une déclaration ou un acte positif clair, et dont l’article 6, paragraphe 1, point a), n’autorise le traitement que si « la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ».
Deux exceptions seulement dispensent du consentement préalable : la prospection adressée à un client existant pour des produits ou services analogues fournis par la même entreprise, et la prospection sans nature commerciale, par exemple caritative. La CNIL précise que la première exception ne peut pas être mobilisée quand aucune vente ni prestation n’a été effectuée, y compris quand le client a simplement créé un compte en ligne sans commander. Autrement dit, le fait d’avoir un compte, d’avoir téléchargé une application ou d’avoir participé à un jeu-concours ne vaut pas consentement à recevoir de la publicité par e-mail. C’est exactement le terrain des contentieux récents : le 15 mai 2025, la CNIL a sanctionné la société Solocal Marketing Services d’une amende de 900 000 euros pour des démarchages de prospects sans consentement et des transmissions de données à des partenaires sans base légale, dans le cadre de sa thématique de contrôle sur la prospection commerciale et la revente de données par les courtiers. Et le Conseil d’État est saisi de recours contre des sanctions du même type : par une délibération du 12 octobre 2023, la formation restreinte de la CNIL a prononcé contre la société Groupe Canal + une amende de 600 000 euros « à raison de manquements au paragraphe 1 de l’article 7, aux articles 12, 13, 14, 15, 28, 32 et 33 » du RGPD « ainsi qu’à l’article L. 34-5 du code des postes et des communications électroniques ». Dans cette affaire, le Conseil d’État a même renvoyé à la Cour de justice de l’Union européenne la question de savoir si le consentement peut être regardé comme éclairé quand les partenaires destinataires des données ne sont désignés que comme une catégorie générique de « partenaires » du primo-collectant. La leçon pour le destinataire est simple : un e-mail commercial reçu sans aucun consentement préalable identifiable est déjà, en soi, le signe d’un manquement, avant même toute question de désinscription.
Le consentement n’est en outre jamais définitif. L’article 7, paragraphe 3, du RGPD ouvre à la personne concernée « le droit de retirer son consentement à tout moment » et ajoute une formule décisive pour notre sujet : « Il est aussi simple de retirer que de donner son consentement. » Un lien de désinscription qui ne fonctionne pas, qui exige la création d’un compte, qui impose un appel téléphonique ou qui renvoie vers une page en erreur contredit directement cette exigence de simplicité symétrique. Le retrait ne compromet pas la licéité des envois effectués avant lui, mais il prive de base légale tous les envois postérieurs qui reposaient sur le seul consentement.
B. Après votre opposition, les envois doivent cesser
Quand la prospection repose sur le consentement, le retrait de celui-ci fait tomber la base légale. Quand elle repose sur une autre base, comme l’exception client pour produits analogues ou l’intérêt légitime pour la prospection non commerciale, c’est le droit d’opposition qui prend le relais. L’article 21, paragraphe 2, du RGPD dispose que « Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection », et son paragraphe 3 tranche la conséquence : « Lorsque la personne concernée s’oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins. » Ici, contrairement à l’opposition générale du paragraphe 1, l’expéditeur ne peut pas opposer de motifs légitimes impérieux : l’arrêt est inconditionnel. Chaque e-mail commercial reçu après une opposition clairement exprimée constitue donc un traitement de données sans base légale.
L’article L. 34-5 organise concrètement cette sortie. D’abord, il impose à l’expéditeur d’offrir au destinataire, au moment de la collecte puis à chaque envoi, « la possibilité de s’opposer, sans frais, hormis ceux liés à la transmission du refus, et de manière simple, à l’utilisation de ses coordonnées au moment où elles sont recueillies et chaque fois qu’un courrier électronique de prospection lui est adressé au cas où il n’aurait pas refusé d’emblée une telle exploitation ». Un message sans lien de désabonnement fonctionnel, ou dont le lien est inopérant, méconnaît cette obligation. Ensuite, le texte interdit « d’émettre, à des fins de prospection directe, des messages […] sans indiquer de coordonnées valables auxquelles le destinataire puisse utilement transmettre une demande tendant à obtenir que ces communications cessent ». Une adresse de réponse qui n’existe pas, un formulaire qui n’enregistre rien et un lien mort sont trois visages de la même violation.
L’opposition produit en outre un effet sur la conservation de vos données. L’article 17, paragraphe 1, du RGPD ouvre le droit d’obtenir l’effacement dans les meilleurs délais, notamment quand « la personne concernée retire le consentement sur lequel est fondé le traitement […] et il n’existe pas d’autre fondement juridique au traitement », ou quand « la personne concernée s’oppose au traitement en vertu de l’article 21, paragraphe 2 ». Après une désinscription, l’expéditeur peut conserver la trace de votre refus dans une liste d’opposition, pour ne plus vous solliciter, mais il ne peut pas continuer à utiliser votre adresse à des fins de prospection. La frontière est nette : la liste d’opposition sert à vous oublier commercialement, pas à vous relancer.
Enfin, l’expéditeur doit répondre à votre demande. L’article 12, paragraphe 3, du RGPD lui impose de fournir des informations sur les mesures prises à la suite d’une demande fondée sur les articles 15 à 22 « dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande ». Ce délai d’un mois court à compter de la réception de votre demande par l’organisme, selon ce même texte, qui autorise une prolongation de deux mois en cas de complexité, à charge pour l’organisme de vous en informer avec les motifs du report dans le premier délai d’un mois. Un silence total après une demande de désinscription doublée d’une demande d’effacement constitue donc un manquement supplémentaire, distinct de la poursuite des envois.
II. Vos recours quand les e-mails continuent malgré la désinscription
A. Constituer la preuve, signaler, puis saisir la CNIL
Le contentieux de la prospection persistante se gagne ou se perd sur la preuve. Conservez chaque e-mail reçu après votre désinscription avec ses en-têtes complets, qui identifient l’expéditeur réel, le routeur et la date d’envoi. Capturez le lien de désinscription inopérant : page en erreur, formulaire qui boucle, message de confirmation jamais suivi d’effet. Conservez la preuve de votre demande initiale, confirmation de désabonnement, copie du formulaire envoyé, courrier ou e-mail au service concerné, et notez les dates : date du retrait du consentement ou de l’opposition, date des envois postérieurs, absence de réponse au bout d’un mois. Ces pièces établissent trois faits distincts que les autorités et le juge examinent séparément : la poursuite des envois, l’inopérance du mécanisme de sortie et le silence opposé à votre demande. Si vous recevez aussi des SMS commerciaux non sollicités, un autre régime de signalement existe avec le numéro 33700 et la procédure dite STOP, décrite dans notre article consacré aux SMS commerciaux non sollicités ; pour les e-mails, la voie adaptée est la plateforme Signal Spam, qui transmet les signalements aux autorités, puis la plainte devant la CNIL.
Avant la plainte, écrivez directement à l’expéditeur : exercez par écrit votre retrait du consentement, votre opposition à toute prospection et votre demande d’effacement de votre adresse de la base de prospection, en rappelant que le lien de désinscription fourni ne fonctionne pas. Cette mise en demeure n’est pas une formalité vaine : elle fixe la date à partir de laquelle la poursuite des envois ne pourra plus être présentée comme une simple erreur isolée, elle déclenche le délai de réponse d’un mois de l’article 12 du RGPD, et elle démontre au juge que vous avez cherché une issue amiable. Adressez-la au destinataire désigné dans la politique de confidentialité de l’expéditeur, et conservez la preuve de l’envoi et de sa réception.
La plainte devant la CNIL est l’étape suivante. La loi du 6 janvier 1978 confie à la Commission le soin de veiller à ce que les traitements soient mis en œuvre conformément aux textes, et de traiter les réclamations et plaintes des personnes concernées en les informant de l’issue de l’enquête dans un délai raisonnable. Le Conseil d’État a précisé l’étendue de ce rôle dans une décision du 25 juillet 2025 rendue sur la plainte d’un particulier qui avait reçu un e-mail de prospection après avoir demandé à ne plus être démarché et signalé l’absence de possibilité de désinscription dans le message : la CNIL avait rappelé la réglementation à la société, qui invoquait une erreur technique, puis clôturé la plainte, et le requérant contestait cette clôture par une requête enregistrée le 30 août 2024. Le juge administratif rappelle d’abord que la CNIL « dispose, en principe, d’un large pouvoir d’appréciation et peut tenir compte de la gravité des manquements allégués […], du sérieux des indices […], de la date à laquelle ils ont été commis, du contexte dans lequel ils l’ont été », et qu’elle peut choisir entre le rappel aux obligations, la mise en demeure et la saisine de sa formation restreinte pour sanction. En l’espèce, « la CNIL n’a pas, dans les circonstances de l’espèce, commis d’erreur d’appréciation en prenant une mesure de rappel au respect de la réglementation » avant de clôturer, et la requête a été rejetée. Cette décision, qui ne donne pas raison au plaignant, est néanmoins très utile à comprendre : elle montre que la CNIL gradue sa réponse selon la gravité et le contexte, que l’argument de l’erreur technique isolée peut conduire à un simple rappel, mais aussi que la répétition des manquements, d’autres réclamations visant le même expéditeur et des envois postérieurs documentés changent l’appréciation. Votre plainte doit donc être construite comme un dossier de récidive : tous les envois postérieurs à l’opposition, la démonstration que le lien de désinscription ne fonctionne toujours pas, et, si vous les connaissez, les éléments montrant que d’autres destinataires sont dans la même situation.
La CNIL n’est pas la seule autorité compétente. L’article L. 34-5 prévoit que ses manquements sont recherchés et constatés par les agents de la concurrence et de la consommation, et sanctionnés par une amende administrative « dont le montant ne peut excéder 75 000 € pour une personne physique et 375 000 € pour une personne morale ». Un signalement à la direction départementale de la protection des populations double donc utilement la plainte CNIL, surtout face à un expéditeur qui persiste. Quant à la procédure expliquée dans notre guide de la plainte CNIL sans réponse, elle s’applique ici pleinement : dépôt en ligne avec pièces, relance en cas de silence, puis contestation du refus d’agir devant le juge administratif, qui exerce sur les droits individuels comme l’opposition un entier contrôle, ainsi que le rappelle la décision du 25 juillet 2025.
Ne confondez pas la prospection persistante et l’hameçonnage. Quand le message vient d’une entreprise identifiée dont vous êtes client ou prospect, avec un lien de désinscription même défaillant, vous êtes dans le contentieux de la prospection décrit ici. Quand le message usurpe l’identité d’une banque, d’une administration ou d’un proche, réclame un mot de passe ou un paiement urgent et renvoie vers un site imitant l’original, vous êtes face à une tentative d’escroquerie : ne cliquez sur rien, ne répondez pas et signalez le message comme hameçonnage, selon la procédure de signalement décrite par service-public.fr, qui distingue les canaux et les organismes destinataires du signalement. Les deux situations peuvent se cumuler, par exemple quand une fuite de données alimente ensuite des campagnes de faux e-mails, et chacune suit alors sa propre voie de signalement et de plainte.
B. Saisir le juge judiciaire et obtenir réparation du préjudice
La réparation relève du juge judiciaire, sur le fondement de l’article 82 du RGPD : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. » La chambre sociale de la Cour de cassation a fixé le mode d’emploi de ce texte dans un arrêt du 24 juin 2026, qui reprend les solutions de la Cour de justice de l’Union européenne. D’abord, « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation » : il faut démontrer un dommage réel, matériel ou moral, causé par la violation. Ensuite, « il s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral […] à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité » : aucun seuil de gravité ne peut être exigé pour le préjudice moral. Enfin, le droit à réparation « remplit une fonction compensatoire », et le montant des dommages-intérêts relève des règles internes de chaque État membre, dans le respect des principes d’équivalence et d’effectivité du droit de l’Union. Dans cette affaire, la Cour casse l’arrêt d’appel qui avait alloué 5 000 euros au salarié au motif que la violation caractérisait nécessairement un préjudice : « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation », et il appartenait au juge d’appel de vérifier si le salarié établissait que la violation lui avait causé un dommage. Concrètement, le temps passé à se désinscrire en vain, l’encombrement durable de la messagerie, l’exposition à des contenus non désirés, la perte de contrôle sur ses coordonnées et l’inquiétude liée à leur circulation entre partenaires sont des préjudices moraux indemnisables dès lors qu’ils sont établis par pièces, sans avoir à démontrer une gravité exceptionnelle.
Devant le juge, la démonstration suit un ordre logique. Premièrement, l’absence ou la chute de la base légale : soit aucun consentement préalable n’est établi par l’expéditeur, à qui l’article 7, paragraphe 1, du RGPD impose de démontrer le consentement, soit le consentement a été retiré, soit une opposition a été formée, et les envois postérieurs sont alors sans fondement. Deuxièmement, la violation des obligations d’accompagnement : lien de désinscription absent ou inopérant, absence de coordonnées valables pour faire cesser les envois, défaut d’information sur le droit d’opposition, silence après la demande. Troisièmement, le dommage et son lien avec ces violations : productions des e-mails persistants, journal des démarches, attestation du temps consacré, conséquences concrètes comme le changement d’adresse e-mail ou le filtrage manqué d’un message important. L’expéditeur répondra souvent par l’erreur technique, le prestataire routeur ou la base louée à un tiers ; ces explications regardent ses recours contre ses sous-traitants, pas votre droit à réparation, car l’article 82 rend chaque participant responsable du dommage dans sa totalité pour garantir une réparation effective.
Les montants en jeu doivent être appréciés avec mesure. Les sanctions administratives spectaculaires, 900 000 euros contre un courtier en données, 600 000 euros contre un groupe audiovisuel, 50 millions d’euros contre un opérateur de télécommunications sanctionné le 14 novembre 2024 par la délibération SAN-2024-019, avec une question prioritaire de constitutionnalité sur l’article L. 34-5 renvoyée au Conseil constitutionnel par une décision du 17 avril 2026, ne reviennent pas aux victimes : elles punissent. La réparation judiciaire, elle, indemnise votre préjudice personnel, et les tribunaux l’évaluent au cas par cas, en fonction du nombre d’envois, de leur durée, de l’obstination de l’expéditeur après vos demandes et des démarches que vous avez dû accomplir. C’est pourquoi la qualité du dossier de preuve décrit plus haut conditionne directement le résultat : un envoi isolé après une désinscription reçoit rarement la même réponse judiciaire qu’une campagne de plusieurs mois malgré des demandes répétées et une plainte CNIL restée sans effet utile. Adressez votre action au bon défendeur, l’annonceur donneur d’ordre plutôt que le simple routeur technique, chiffrez chaque chef de préjudice sans gonfler artificiellement les sommes, et articulez la demande avec la procédure CNIL en cours, dont les constatations, rappel ou mise en demeure nourrissent le dossier civil sans le remplacer.
La prospection qui ignore votre désinscription n’est donc ni une fatalité ni un simple désagrément sans recours : le consentement préalable est la condition des envois, le retrait doit être aussi simple que le consentement, l’opposition impose un arrêt inconditionnel, et chaque maillon manquant ouvre une voie d’action, du signalement à la sanction administrative jusqu’à la réparation judiciaire de votre préjudice moral. Restez méthodique, écrivez, datez, conservez, signalez, puis saisissez les autorités et le juge dans cet ordre : c’est cette progression documentée qui transforme une boîte de réception envahie en un dossier qui aboutit.