Vous avez participé à un jeu-concours ou à un test de produits en ligne, et depuis votre boîte de réception déborde d’offres commerciales d’entreprises que vous n’avez jamais contactées. Votre adresse électronique, votre numéro de téléphone ou votre adresse postale ont circulé : l’organisateur du jeu les a transmis à ses partenaires, parfois contre rémunération, et chacun vous prospecte à son tour. Cette situation n’est pas une fatalité du marketing moderne. Le droit des données personnelles encadre strictement ces transmissions, et la jurisprudence récente donne aux participants des armes concrètes.
Le 29 décembre 2023, la CNIL a sanctionné la société TAGADAMEDIA d’une amende de 75 000 euros, notamment pour avoir collecté des données de prospects sans consentement valide, en raison de l’apparence trompeuse de ses formulaires de jeux-concours (source CNIL). Par une décision du 20 mai 2026, le Conseil d’État a réformé cette sanction en ramenant son montant à 50 000 euros, tout en validant l’essentiel des griefs relatifs au recueil du consentement et en maintenant l’injonction de mettre en place un formulaire conforme (Conseil d’État, 20 mai 2026, n° 492836). Plus récemment encore, le 16 octobre 2026, le Conseil d’État a rejeté le recours d’un grand opérateur contre une sanction de 50 millions d’euros prononcée notamment parce que des traceurs restaient lisibles après le retrait du consentement des utilisateurs (Conseil d’État, 16 octobre 2026, n° 501268). Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne décrivent la situation ni de la société TAGADAMEDIA ni de l’opérateur concerné par la décision du 16 octobre 2026, sur lesquelles l’article ne formule aucun constat. Ils expliquent comment vérifier ce qui a été fait de vos données et comment réagir, du simple retrait du consentement jusqu’à la réparation devant le juge.
I. Le consentement donné pour jouer ne vaut que s’il était libre, spécifique, éclairé et univoque
Participer à un jeu-concours ne signifie pas autoriser l’organisateur à disposer de vos coordonnées. La transmission de vos données à des partenaires à des fins de prospection constitue un traitement distinct, qui exige son propre fondement. Lorsque ce fondement est votre consentement, celui-ci doit satisfaire à quatre qualités cumulatives, et c’est à l’organisme de prouver qu’elles étaient réunies.
A. Ce que le formulaire aurait dû vous montrer avant toute transmission aux partenaires
Le règlement européen sur la protection des données définit le consentement comme toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement (article 4, paragraphe 11, du RGPD). Le traitement n’est licite que si, entre autres fondements possibles, la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques (article 6, paragraphe 1, point a), du RGPD). Participer au tirage au sort d’une part, recevoir les offres de dizaines de partenaires d’autre part : ce sont deux finalités différentes, et votre accord pour la première ne vaut jamais accord pour la seconde.
La CNIL, dans sa fiche consacrée à la transmission des données à des partenaires à des fins de prospection, distingue deux situations. Lorsque l’organisme qui collecte vos données ne recueille pas lui-même votre consentement pour les opérations de prospection de ses partenaires, il doit au minimum vous informer, lors de la collecte, de l’objectif de la transmission et des catégories de destinataires, et les partenaires devront ensuite recueillir eux-mêmes votre consentement avant de vous démarcher par voie électronique. Lorsque l’organisme recueille ce consentement pour le compte de ses partenaires dès la collecte, la CNIL recommande que les personnes doivent notamment être clairement informées de l’identité des partenaires pour le compte desquels le consentement est collecté et des finalités pour lesquelles les données seront utilisées, et elle admet qu’en pratique, l’organisme qui transmet les données peut recueillir le consentement à la transmission des données et aux opérations de prospection pour le compte de ses partenaires par le biais d’une seule et même case à cocher (décochée par défaut) (fiche CNIL sur la transmission des données à des partenaires). Une case pré-cochée, un bouton unique qui mélange inscription au jeu et accord commercial, une liste de partenaires introuvable : aucun de ces procédés ne recueille un consentement valable.
La décision du Conseil d’État du 20 mai 2026 illustre concrètement ce contrôle. L’organisateur utilisait un premier formulaire avec un bouton unique portant la mention « je valide », mis en valeur, tandis que le refus passait par un simple lien dans un texte en petits caractères ; puis un troisième formulaire avec deux boutons d’apparence identique, « j’accepte » et « étape suivante », dont l’intitulé laissait penser à deux étapes successives de l’inscription plutôt qu’à un choix entre consentir et refuser. Le Conseil d’État a jugé que c’est sans erreur d’appréciation que la formation restreinte a retenu que ces formulaires ne permettaient pas un consentement libre, spécifique, éclairé et univoque des utilisateurs au sens des dispositions de l’article 6 du RGPD, dès lors que le bouton « je valide » était mis en valeur et que des ambiguïtés demeuraient sur les conséquences liées au fait d’actionner l’autre bouton, et que le troisième formulaire, compte tenu de son caractère équivoque, ne répondait pas aux exigences du RGPD sur le recueil du consentement (Conseil d’État, 20 mai 2026, n° 492836). La leçon pour le participant est directe : si le bouton qui transmet vos données était le plus visible, le plus gros ou le seul évident, le consentement affiché par l’organisateur est contestable.
Ce contrôle de l’apparence des formulaires s’appuie sur une jurisprudence européenne constante. Le Conseil d’État rappelle qu’il résulte des dispositions du RGPD, telles qu’interprétées par la Cour de justice de l’Union européenne dans son arrêt C-673/17 du 1er octobre 2019, que le consentement libre, spécifique, éclairé et univoque ne peut qu’être un consentement exprès de l’utilisateur, donné en toute connaissance de cause et après une information adéquate sur l’usage qui sera fait de ses données personnelles (Conseil d’État, 20 mai 2026, n° 492836). Conservez donc une capture d’écran du formulaire tel qu’il se présentait au moment de votre inscription : la taille des caractères, la couleur des boutons, l’emplacement du lien de refus et l’absence de liste des partenaires sont des éléments de preuve déterminants.
Du côté des communications électroniques, le principe est l’interdiction de principe. Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen (article L. 34-5 du code des postes et des communications électroniques). Autrement dit, un partenaire qui vous écrit pour la première fois par courrier électronique ou par SMS doit en principe avoir obtenu votre consentement avant cet envoi, sauf l’exception strictement encadrée de la relation commerciale existante portant sur des produits ou services analogues, avec une possibilité d’opposition offerte à chaque envoi. Les messages reçus de sociétés avec lesquelles vous n’avez jamais rien acheté, après un simple jeu-concours, entrent dans le champ de cette interdiction dès lors que votre consentement à cette prospection n’a pas été valablement recueilli.
B. Les transmissions opérées sans votre accord et les chaînes de revente
Certaines transmissions ne reposent sur aucun consentement, même apparent. Dans l’affaire jugée le 20 mai 2026, l’instruction avait révélé que, lorsqu’un participant n’avait pas consenti à la transmission de ses données, l’organisateur s’abstenait de transmettre son adresse électronique à ses partenaires mais leur transmettait néanmoins son adresse postale et son numéro de téléphone, en laissant croire aux utilisateurs que toutes leurs données étaient transmises sur le fondement de leur consentement, alors que certaines données étaient transmises, à leur insu, sur le fondement d’un intérêt légitime, sans prévoir d’option pour s’opposer à cette transmission (Conseil d’État, 20 mai 2026, n° 492836). Le Conseil d’État a sanctionné sur ce point une méconnaissance des droits de la défense, parce que la formation restreinte avait substitué à ce grief un manquement à l’article 6 du RGPD sur lequel la société n’avait pu s’expliquer, et c’est pour ce motif, avec d’autres, que l’amende a été ramenée de 75 000 à 50 000 euros. Pour le participant, l’enseignement pratique demeure : vérifiez quelles coordonnées exactes chaque partenaire détient sur vous, car l’adresse postale et le numéro de téléphone ont pu circuler alors même que vous aviez refusé toute transmission.
La revente en chaîne obéit à la même logique. La CNIL précise que le consentement recueilli pour le compte des partenaires ne vaut que pour ces derniers, et que les partenaires qui souhaitent transmettre à leur tour les données reçues à leurs propres partenaires doivent recueillir de nouveau le consentement des personnes pour cette transmission et, le cas échéant, pour les opérations de prospection de leurs propres partenaires (fiche CNIL sur la transmission des données à des partenaires). Si vous recevez des offres d’une société dont le nom ne figurait nulle part dans le jeu-concours initial, demandez-lui par écrit l’identité de la société qui lui a transmis vos coordonnées : les partenaires qui reçoivent vos données doivent, quand ils communiquent pour la première fois avec vous et au plus tard dans un délai d’un mois, vous informer des caractéristiques du traitement, notamment du nom de la société à l’origine de la collecte et de vos droits, dont votre droit de vous opposer ou de retirer votre consentement (fiche CNIL sur la transmission des données à des partenaires). L’absence de cette information lors du premier message constitue déjà, en elle-même, un manquement que vous pouvez invoquer.
Le cadre consumériste renforce ce dispositif. Dès lors qu’elles sont déloyales au sens de l’article L. 121-1, sont interdites les pratiques commerciales mises en œuvre par les professionnels à l’égard des consommateurs, sous la forme d’opérations promotionnelles tendant à l’attribution d’un gain ou d’un avantage de toute nature par la voie d’un tirage au sort, quelles qu’en soient les modalités, ou par l’intervention d’un élément aléatoire (article L. 121-20 du code de la consommation). Un jeu-concours qui sert de prétexte à une collecte massive de coordonnées destinées à la revente, avec un règlement qui dissimule cette finalité ou des conditions de participation qui la rendent incontournable, peut être examiné sous cet angle en plus de l’angle des données personnelles. Les agents de la concurrence, de la consommation et de la répression des fraudes sont d’ailleurs compétents pour rechercher les manquements à l’article L. 34-5 du code des postes et des communications électroniques, qui prévoit des sanctions administratives prononcées par l’autorité chargée de la concurrence et de la consommation (article L. 34-5 du code des postes et des communications électroniques). Vous disposez donc de deux guichets de signalement : la CNIL pour la protection de vos données, la direction départementale de la protection des populations pour les pratiques commerciales.
Enfin, si les sollicitations indésirables arrivent par téléphone, le cadre se durcit encore. La CNIL rappelle que la loi du 30 juin 2025 fait évoluer les règles du démarchage téléphonique et qu’à compter du 11 août 2026, les consommateurs ne pourront plus être démarchés par téléphone, sauf s’ils ont donné leur consentement préalable explicite ou lorsque l’appel concerne un contrat en cours (fiche CNIL sur la transmission des données à des partenaires). Conservez chaque appel indésirable avec sa date, son heure et le numéro appelant : ces relevés alimentent aussi bien votre dossier CNIL que la démonstration de votre préjudice.
II. Ce que vous pouvez faire dès les premiers messages non sollicités
Agir vite et dans le bon ordre change tout : le retrait du consentement stoppe la licéité pour l’avenir, l’opposition impose l’arrêt du démarchage, l’effacement supprime vos données, et chaque démarche documentée prépare l’éventuelle réparation. Les développements qui suivent décrivent la méthode applicable à tout organisme, sans viser aucune situation particulière.
A. Retirer votre consentement, vous opposer et exiger l’effacement
Le retrait du consentement est un droit inconditionnel. La personne concernée a le droit de retirer son consentement à tout moment, et le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait ; surtout, il est aussi simple de retirer que de donner son consentement (article 7, paragraphe 3, du RGPD). Concrètement, cliquez sur le lien de désinscription présent dans chaque message commercial, utilisez l’espace « mes données » ou « confidentialité » du site du jeu-concours, et doublez toujours par un message écrit, courrier électronique ou formulaire de contact, dont vous conservez une copie. Si le retrait exige de créer un compte, de téléphoner à un numéro surtaxé ou de remplir un parcours compliqué alors que le consentement se donnait en un clic, cette asymétrie est en elle-même contestable.
Ce retrait doit être effectif, pas seulement affiché. Le Conseil d’État vient de le rappeler le 16 octobre 2026 : des traceurs restaient inscrits sur les terminaux des visiteurs puis étaient relus par l’opérateur ou ses partenaires malgré le retrait du consentement, et la juridiction a jugé que, dès lors que la lecture de ces informations stockées dans les terminaux des utilisateurs n’est pas contestée, la circonstance qu’elles n’auraient fait l’objet d’aucun traitement ultérieur est sans incidence sur la caractérisation du manquement à l’article 82 de la loi du 6 janvier 1978 (Conseil d’État, 16 octobre 2026, n° 501268). Transposée à votre situation, la règle est claire : après votre retrait, l’organisateur et ses partenaires doivent cesser toute utilisation, y compris la simple relecture ou conservation active de vos coordonnées à des fins de prospection. Vérifiez quelques jours après votre demande : tout nouveau message commercial reçu postérieurement prouve l’ineffectivité du retrait.
Parallèlement, exercez votre droit d’opposition propre à la prospection. Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection, y compris au profilage dans la mesure où il est lié à une telle prospection, et lorsque la personne concernée s’oppose au traitement à des fins de prospection, les données à caractère personnel ne sont plus traitées à ces fins (article 21, paragraphes 2 et 3, du RGPD). L’opposition se distingue du retrait : elle vise tous les traitements de prospection, quel qu’en soit le fondement allégué, y compris l’intérêt légitime que certains organismes invoquent pour la prospection postale ou pour la première sollicitation. Adressez votre opposition à la fois à l’organisateur du jeu-concours et à chaque partenaire qui vous a démarché, puisque chacun est responsable de ses propres envois.
Pour les messages électroniques et les SMS, des recours voisins existent selon le canal. Si les spams arrivent par SMS, les règles du démarchage par message et les dispositifs de signalement dédiés complètent utilement vos démarches, comme l’explique notre analyse consacrée aux SMS commerciaux non sollicités et au signalement au 33700. Pour les appels vocaux non sollicités, l’inscription sur la liste d’opposition au démarchage téléphonique et le signalement de chaque appel complètent l’opposition exercée directement auprès des sociétés.
Constituez dès le départ un dossier de preuves simple et daté : capture d’écran du formulaire d’inscription et du règlement du jeu, copie de vos demandes de retrait et d’opposition avec leurs dates, ensemble des messages reçus après ces demandes avec leurs en-têtes, relevé des appels avec dates et numéros, et copie des réponses éventuelles des sociétés, y compris leurs silences. Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant (article 7, paragraphe 1, du RGPD). La charge de la preuve pèse donc sur l’organisme, pas sur vous : à lui de produire le formulaire exact, la case cochée, la date et la version de l’information délivrée. Votre dossier n’a qu’à établir les faits, dates et messages ; c’est l’organisateur qui devra justifier d’un consentement libre, spécifique, éclairé et univoque.
B. Saisir la CNIL et le juge pour faire cesser et obtenir réparation
Si les messages continuent malgré vos demandes, ou si les sociétés ne répondent pas, la plainte devant la CNIL est l’étape suivante. La CNIL veille au respect des règles de la prospection directe utilisant les coordonnées des abonnés et elle peut notamment recevoir, par tous moyens, les plaintes relatives aux manquements en la matière (article L. 34-5 du code des postes et des communications électroniques). Déposez votre plainte en ligne sur le site de la CNIL en joignant votre dossier : captures du formulaire, copies de vos demandes, messages reçus après le retrait, identité des sociétés concernées et chronologie des faits. La CNIL peut contrôler l’organisme, le mettre en demeure de se conformer, prononcer une injonction de mise en conformité assortie d’une astreinte, et infliger une amende administrative. Dans l’affaire des jeux-concours jugée en 2026, la CNIL avait ainsi enjoint à l’organisateur de mettre en œuvre un formulaire de collecte conforme dans un délai d’un mois, sous astreinte de 1 000 euros par jour de retard, avant que le Conseil d’État ne confirme cette injonction en validant l’analyse de la formation restreinte sur le caractère équivoque du nouveau formulaire proposé (Conseil d’État, 20 mai 2026, n° 492836). Votre plainte individuelle peut donc aboutir non seulement à l’examen de votre cas, mais à une mise en conformité générale du dispositif de collecte, ce qui protège l’ensemble des participants.
La voie judiciaire vous est ouverte en parallèle, sans attendre l’issue de la procédure devant la CNIL. Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi (article 82, paragraphe 1, du RGPD). Le préjudice réparable couvre aussi bien le dommage matériel, comme le coût des démarches, le temps passé ou un abonnement souscrit sous l’effet d’une pression commerciale, que le dommage moral, comme l’envahissement de votre boîte de réception, la perte de contrôle sur vos coordonnées personnelles ou l’anxiété liée à leur circulation entre des sociétés inconnues. Chaque responsable ayant participé au traitement répond du dommage causé par la violation, et le sous-traitant n’est tenu que s’il a méconnu ses obligations propres ou agi hors des instructions reçues, ce qui permet d’agir contre l’organisateur comme contre les partenaires qui vous ont effectivement démarché (article 82 du RGPD).
Devant le juge, la démonstration suit un ordre logique. D’abord, l’absence de base valable : produisez le formulaire tel que vous l’avez vu, relevez la mise en valeur du bouton d’acceptation, l’absence ou l’illisibilité de la liste des partenaires et le mélange entre inscription au jeu et accord commercial. Ensuite, la persistance : produisez les messages reçus après votre retrait ou votre opposition, avec leurs dates, pour établir que le consentement n’était pas respecté ou que l’opposition restait sans effet. Enfin, le préjudice : chiffrez le temps passé, conservez les factures liées aux démarches, décrivez précisément la fréquence des sollicitations et leurs conséquences sur votre vie quotidienne. Le responsable devra de son côté démontrer l’existence d’un consentement valable, conformément à l’obligation de preuve qui pèse sur lui. Lorsque les violations sont établies, le juge peut ordonner la cessation des envois et allouer des dommages et intérêts ; il peut également enjoindre la suppression de vos données des fichiers de l’organisateur et de ses partenaires.
Deux précautions complètent utilement vos démarches. D’une part, ne signez aucune « confirmation de consentement » ou « mise à jour de vos préférences » qui vous serait proposée après votre plainte sans en lire chaque ligne : certains organismes tentent de régulariser après coup en faisant cocher à nouveau une case ambiguë, ce qui compliquerait la démonstration de l’absence initiale de consentement. D’autre part, méfiez-vous des faux jeux-concours qui usurpent le nom de marques connues pour collecter vos coordonnées : si l’organisateur apparent est une enseigne célèbre mais que le règlement, les mentions légales et l’adresse de l’organisateur renvoient vers une société inconnue, conservez ces éléments et signalez-les dans votre plainte, car la dissimulation de l’identité de l’annonceur constitue un manquement distinct, le droit interdisant de dissimuler l’identité de la personne pour le compte de laquelle la communication de prospection est émise (article L. 34-5 du code des postes et des communications électroniques).
Conclusion
Participer à un jeu-concours n’autorise personne à revendre vos coordonnées ni à vous inonder d’offres commerciales. Le consentement exigé pour transmettre vos données à des partenaires doit être libre, spécifique, éclairé et univoque, prouvé par l’organisme, et révocable à tout moment avec un effet immédiat et vérifiable. Lorsque le formulaire masquait le refus, que vos coordonnées ont circulé sans votre accord ou que les messages continuent après vos demandes, la méthode tient en quatre temps : documenter, retirer et s’opposer par écrit auprès de chaque société, saisir la CNIL avec un dossier daté, puis demander au juge la cessation et la réparation de votre préjudice. Les décisions rendues en 2026 montrent que les formulaires équivoques et les retraits de pure façade ne résistent pas au contrôle : à vous de réunir les preuves qui permettront de le démontrer dans votre propre dossier.