Conclusions de l’Avocat géné­ral M. Dean Spielmann, du 17 septembre 2026, affaire C‑317/​25

Faits

L’affaire trouve son origine dans des campagnes de pros­pec­tion élec­tro­nique réali­sées en 2021 pour le compte du Groupe Canal+ SAS (ci-après : Canal+) visant envi­ron 3,9 millions de personnes. Les données utili­sées ont été acquises auprès de deux four­nis­seurs d’ac­cès à Internet (FAI) ayant recueilli le consen­te­ment de leurs abon­nés via une case à cocher auto­ri­sant l’uti­li­sa­tion de leurs données à des fins de pros­pec­tion par leurs « partenaires ».

Toutefois, ni le formu­laire de collecte ni un lien acces­sible aux personnes concer­nées ne permettent d’iden­ti­fier concrè­te­ment lesdits partenaires.

À la suite de plusieurs plaintes, la Commission Nationale de l’Informatique et des Libertés (CNIL) consi­dère que Canal+ ne dispose pas d’un consen­te­ment valable pour adres­ser ses commu­ni­ca­tions commer­ciales. Par une déli­bé­ra­tion du 12 octobre 2023, elle estime que le consen­te­ment recueilli initia­le­ment par les FAI n’est pas conforme aux exigences du RGPD et aux règles appli­cables à la pros­pec­tion élec­tro­nique. La CNIL inflige donc à Canal+ une amende admi­nis­tra­tive de EUR 600’000.

Canal+ conteste alors cette déci­sion devant le Conseil d’État fran­çais. L’entreprise soutient que les personnes concer­nées ont déjà accepté que leurs données soient utili­sées par les « parte­naires » des FAI, ce qui suffit à couvrir les opéra­tions de pros­pec­tion réali­sées pour son compte.

Les ques­tions préjudicielles

Saisi du dossier, le Conseil d’État pose deux ques­tions préju­di­cielles à la Cour de justice de l’Union euro­péenne (CJUE).

Dans un premier temps, il lui demande si un consen­te­ment visant la commu­ni­ca­tion à une simple caté­go­rie de desti­na­taires, en l’oc­cur­rence des « parte­naires » d’un FAI, peut être consi­déré comme suffi­sam­ment libre, spéci­fique et éclairé pour permettre à n’im­porte quelle entre­prise appar­te­nant à cette caté­go­rie d’uti­li­ser ulté­rieu­re­ment les données à des fins de pros­pec­tion élec­tro­nique ou si un nouveau consen­te­ment serait néces­saire avant tout envoi.

La seconde ques­tion préju­di­cielle porte sur le niveau de préci­sion exigé dans la dési­gna­tion des desti­na­taires des données.

Dans l’hypothèse où un consen­te­ment peut vala­ble­ment être donné au profit d’une caté­go­rie de desti­na­taires plutôt qu’à des entre­prises nommé­ment iden­ti­fiées, encore faut-il déter­mi­ner jusqu’où cette notion peut être éten­due. La réfé­rence géné­rique aux « parte­naires » du respon­sable de trai­te­ment est-elle suffi­sante pour permettre aux personnes concer­nées de comprendre qui est suscep­tible d’uti­li­ser leurs données et à quelles fins ? Ou, au contraire, l’exi­gence d’un consen­te­ment éclairé impose-t-elle de défi­nir des caté­go­ries de desti­na­taires plus précises, permet­tant aux indi­vi­dus d’ap­pré­hen­der concrè­te­ment l’éten­due de leur consentement ?

Sur le consen­te­ment « éclairé »

Tout d’abord, l’Avocat géné­ral rappelle que l’affaire au prin­ci­pal concerne des opéra­tions de pros­pec­tion directe de la part du Groupe Canal+. Par consé­quent, l’art. 13 de la direc­tive 2002/​58 (Directive ePrivacy) sur les commu­ni­ca­tions non solli­ci­tées s’applique. Conformément à l’art. 1 par. 2 de cette direc­tive, lu à la lumière du consid. 173 RGPD, ce texte de loi fait office de lex specia­lis complé­tant le RGPD.

A son art. 13 par. 1, la Directive ePrivacy auto­rise notam­ment l’utilisation de cour­rier élec­tro­nique à des fins de pros­pec­tion directe (en anglais : direct marke­ting) à condi­tion qu’elle vise des abon­nés ayant donné leur consen­te­ment préa­lable. Pour qu’une commu­ni­ca­tion soit quali­fiée « d’utilisée à des fins de pros­pec­tion directe », il est néces­saire qu’elle pour­suive un but commer­cial et s’adresse direc­te­ment et indi­vi­duel­le­ment à un consommateur.

En l’occurrence, il est admis que nous sommes en présence de pros­pec­tion directe, reste à savoir si un consen­te­ment préa­lable a vala­ble­ment été donné.

Comme le rappelle l’Avocat géné­ral, le consen­te­ment au sens de la direc­tive 2002/​58 doit s’entendre comme le consen­te­ment défini et prévu dans le RGPD (art. 2 al. 2 let. f et consid. 17 Directive ePrivacy).

Dès lors, le consen­te­ment doit satis­faire aux exigences de l’art. 4 ch. 11 RGPD. Il doit ainsi consis­ter en une

mani­fes­ta­tion de volonté, libre, spéci­fique, éclai­rée et univoque de la personne concer­née, prenant la forme d’une décla­ra­tion ou d’un acte posi­tif clair marquant son accep­ta­tion du trai­te­ment des données à carac­tère person­nel la concer­nant.

Ici, c’est bien le carac­tère éclairé du consen­te­ment qui fait débat. La ques­tion qui oppose les parties est celle de savoir si, dès lors que l’identité du respon­sable du trai­te­ment ulté­rieur de pros­pec­tion directe n’était pas connue, le consen­te­ment donné par les abon­nés lors de la « primo-collecte » était suffi­sant ou si un second consen­te­ment devait être donné.

L’exigence d’un consen­te­ment « éclairé », au sens de l’art. 4 ch. 11 RGPD suppose que la personne concer­née ait préa­la­ble­ment reçu les infor­ma­tions auxquelles elle a droit au regard de l’ensemble des circons­tances entou­rant le trai­te­ment envi­sagé. Ces infor­ma­tions doivent lui permettre de faire des choix rela­tifs à l’utilisation de ses données person­nelles et d’exprimer sa volonté de manière auto­dé­ter­mi­née, en pleine connais­sance de cause (cf. arrêt Meta Platforms Ireland, C‑757/​22, du 11 juillet 2024, p. 60, et arrêt CEPD/​CRU – notion de données à carac­tère person­nel – C‑413/​23, du 4 septembre 2025, p.106).

Pour ce faire, l’art. 12 RGPD oblige le respon­sable du trai­te­ment à prendre des mesures appro­priées pour four­nir toute infor­ma­tion visée aux art. 13 et 14. Cet article est l’expression du prin­cipe de transparence.

A cet égard, le respon­sable du trai­te­ment doit four­nir à la personne concer­née une infor­ma­tion sur les circons­tances entou­rant le trai­te­ment de données, sous une forme compré­hen­sible et aisé­ment acces­sible, formu­lée en des termes clairs et simples, la personne devant connaître, outre le type de données à trai­ter, la durée et les moda­li­tés de ce trai­te­ment ainsi que les fina­li­tés que celui-ci pour­suit, l’identité du respon­sable du traitement.

Les art. 13 et 14 RGPD distinguent les situa­tions dans lesquelles les données sont collec­tées auprès ou non de la personne concernée.

Au stade de la collecte des données par les FAI et de la trans­mis­sion à leurs parte­naires, l’art. 13 RGPD permet que seules des caté­go­ries de desti­na­taires soient mention­nées. L’identification du desti­na­taire n’étant pas toujours immé­dia­te­ment possible, cette notion de « caté­go­rie » permet de recueillir un consen­te­ment plus global.

Lors de la pros­pec­tion commer­ciale, les données person­nelles, indi­rec­te­ment collec­tées par les FAI, sont utili­sées par Canal +. Ce dernier est donc respon­sable de ce trai­te­ment. Les infor­ma­tions à four­nir et le délai pour ce faire sont ceux prévus à l’art. 14 RGPD. Le carac­tère indi­rect de la collecte justi­fie la possi­bi­lité de « diffé­rer la réali­sa­tion de l’obligation d’information » qui incombe au respon­sable du trai­te­ment (arrêt Storstockholms Lokaltrafik, C‑422/​24, du 18 décembre 2025, p. 39).

En règle géné­rale, les infor­ma­tions doivent être four­nies dans un délai raison­nable après la collecte, mais au plus tard dans un délai d’un mois. De surcroît, si ces mêmes données doivent être utili­sées aux fins de la commu­ni­ca­tion avec la personne concer­née, le respon­sable du trai­te­ment doit four­nir les infor­ma­tions au plus tard au moment de la première commu­ni­ca­tion à ladite personne.

En l’espèce, l’Avocat géné­ral estime que le fait pour un abonné d’un FAI de cocher une case d’un formu­laire donnant son accord pour l’utilisation de ses données à des fins de pros­pec­tion par les « parte­naires » de ce FAI consti­tue un consen­te­ment au trans­fert de ses données à ces derniers, en vue de faire ulté­rieu­re­ment l’objet d’une acti­vité de commu­ni­ca­tion ayant un but commer­cial et s’adressant indi­vi­duel­le­ment à lui.

Toutefois, il nuance cela en expli­quant qu’un tel consen­te­ment ne signi­fie pas néces­sai­re­ment que l’abonné consente à ce que la pros­pec­tion directe émane de quelque personne que ce soit. A son sens, le consen­te­ment doit notam­ment porter sur l’identité du respon­sable du trai­te­ment de la pros­pec­tion directe. Tant que tel n’est pas le cas, la pros­pec­tion ne saurait débu­ter sans un nouveau consen­te­ment informé de son identité.

En d’autres termes, le trans­fert des données person­nelles à des « parte­naires » serait possible sur la base de ce consen­te­ment mais ne permet pas encore la pros­pec­tion directe tant que la personne concer­née ne connaît pas l’identité dudit partenaire.

Cette inter­pré­ta­tion est égale­ment confor­tée par les prin­cipes de trans­pa­rence et de loyauté consa­crés par le RGPD. Selon l’Avocat géné­ral, la personne concer­née doit être infor­mée dans les meilleurs délais des modi­fi­ca­tions affec­tant les desti­na­taires de ses données afin de pouvoir exer­cer utile­ment ses droits. Le fait qu’un lien de désins­crip­tion soit proposé lors de la première commu­ni­ca­tion ne saurait remé­dier à l’absence de consen­te­ment préalable.

Une telle solu­tion serait d’ailleurs contraire à l’objectif pour­suivi par la Directive ePrivacy, qui vise préci­sé­ment à proté­ger les personnes concer­nées contre les commu­ni­ca­tions commer­ciales non solli­ci­tées. En effet, les commu­ni­ca­tions à des fins de pros­pec­tion directe peuvent être rela­ti­ve­ment faciles et peu onéreuses à envoyer. En revanche, elles imposent une charge et un coût à leur desti­na­taire, voir même un problème de volume de stockage.

L’Avocat géné­ral conclut donc que le consen­te­ment de la personne concer­née à ce que ses données soient utili­sées par une caté­go­rie de desti­na­taires, dési­gnés comme les « parte­naires » du primo collec­tant mais dont l’identité n’est pas connue, ne permet pas à toute personne de cette caté­go­rie de procé­der à de la pros­pec­tion commer­ciale par voie élec­tro­nique sans solli­ci­ter un nouveau consentement.

Sur le degré de préci­sion de « catégories »

Compte tenu de sa réponse à la première ques­tion, il n’y aurait pas lieu d’analyser la seconde et le degré de préci­sion de la notion de « caté­go­rie » de desti­na­taire et son lien avec le carac­tère suffi­sam­ment éclairé du consen­te­ment. L’Avocat géné­ral s’est tout de même prêté à l’exercice en distin­guant deux approches.

La première consis­te­rait à consi­dé­rer qu’il n’y a pas de lien entre, d’une part, le carac­tère suffi­sam­ment éclairé du consen­te­ment et, d’autre part, le degré de préci­sion de la notion de « caté­go­rie » de desti­na­taires. On pour­rait ainsi esti­mer que l’identité du respon­sable du trai­te­ment de pros­pec­tion directe ne devrait être connue que pour l’exercice de droits tels que les droits d’accès aux données à carac­tère person­nel, de recti­fi­ca­tion ou d’effacement de celles-ci, ou le droit de s’opposer au trai­te­ment. Le consen­te­ment serait alors consi­déré comme suffi­sam­ment éclairé, que la caté­go­rie de desti­na­taires énon­cée soit précise ou non.

L’Avocat géné­ral privi­lé­gie toute­fois une approche diffé­rente. Selon lui, il existe un lien direct entre le carac­tère éclairé du consen­te­ment au sens de l’art. 4 ch. 11 RGPD et le degré de préci­sion de la caté­go­rie de desti­na­taires mention­née lors de la collecte des données. Même lorsque l’identité exacte du desti­na­taire n’est pas connue au moment de la collecte, la personne concer­née doit être en mesure de raison­na­ble­ment anti­ci­per qui pourra utili­ser ses données à des fins de prospection.

La caté­go­rie de desti­na­taires doit ainsi être défi­nie avec une préci­sion suffi­sante pour que la personne concer­née ne soit pas surprise par la prise de contact ulté­rieure. Cette analyse rejoint d’ailleurs les lignes direc­trices de l’ancien Groupe de travail « Article 29 », selon lesquelles les caté­go­ries de desti­na­taires devraient être décrites aussi préci­sé­ment que possible, notam­ment par réfé­rence à leur secteur d’activité ou au type d’activités exer­cées (cf. Groupe de travail « Article 49 », Lignes direc­trices sur la trans­pa­rence du 11 avril 2018, point 28).

En l’espèce, la notion de « parte­naires » est jugée exces­si­ve­ment vague. Ce terme permet unique­ment de déduire l’existence d’une rela­tion commer­ciale avec le FAI, sans qu’il soit possible d’identifier la nature des acti­vi­tés concer­nées, les biens ou services propo­sés ou encore le type d’organisations suscep­tibles de rece­voir les données.

L’Avocat géné­ral en conclut que la caté­go­rie des « parte­naires » n’est pas suffi­sam­ment déter­mi­née pour permettre une telle « chaîne de consen­te­ments ». Dès lors, même dans cette approche plus souple, Groupe Canal+ ne peut pas se fonder sur le consen­te­ment initial recueilli par les FAI et doit obte­nir un nouveau consen­te­ment avant toute opéra­tion de pros­pec­tion commerciale.

Conclusion

L’Avocat géné­ral adopte une posi­tion rela­ti­ve­ment stricte sur consen­te­ment en matière de pros­pec­tion élec­tro­nique et plutôt user-friendly (en bon fran­çais). Le fait qu’une personne ait accepté que ses données soient utili­sées par les « parte­naires » d’un primo-collec­tant ne suffit pas à permettre à n’im­porte lequel de ces parte­naires de la contac­ter à des fins commer­ciales. La personne concer­née doit soit connaître l’iden­tité du pros­pec­teur, soit pouvoir raison­na­ble­ment l’an­ti­ci­per sur la base des infor­ma­tions qui lui ont été four­nies lors de la collecte des données.

Note

Il ne faut toute­fois pas conclure trop hâti­ve­ment à une prochaine impos­si­bi­lité pour toute entre­prise de procé­der à de la pros­pec­tion commer­ciale sur la base de ce consentement.

Concrètement, pour les entre­prises, plus la descrip­tion des desti­na­taires est vague, plus le risque est élevé que le consen­te­ment soit consi­déré comme insuf­fi­sant. Les orga­ni­sa­tions qui souhaitent réuti­li­ser des données obte­nues par l’in­ter­mé­diaire de parte­naires ont donc inté­rêt à iden­ti­fier dès le départ les desti­na­taires concer­nés ou, à tout le moins, à décrire les caté­go­ries de desti­na­taires de manière suffi­sam­ment précise.

Il est tout à fait envi­sa­geable pour le desti­na­taire de confier contrac­tuel­le­ment au primo-collec­tant la charge de collec­ter le consen­te­ment soit en préci­sant l’identité du desti­na­taire, soit en tenant une liste à jour de toute modi­fi­ca­tion substan­tielle concer­nant le trai­te­ment. À défaut, un nouveau consen­te­ment devra vrai­sem­bla­ble­ment être recueilli par le desti­na­taire avant toute campagne de prospection.

Cette affaire fait égale­ment écho à l’arrêt RW c. Österreichische Post AG, C‑154/​21 du 12 janvier 2023 trai­tant l’information à four­nir sur l’identité des desti­na­taires dans le cadre d’une demande d’accès. Cet arrêt a fait l’objet de trois contri­bu­tions concer­nant l’interprétation du droit d’accès (cf. www​.swiss​pri​vacy​.law/​216 pour une analyse de l’arrêt au fond, www​.swiss​pri​vacy​.law/​217 pour une analyse compa­ra­tive à l’aune du droit suisse et www​.swiss​pri​vacy​.law/​218 pour des réflexions concer­nant la mise en œuvre pratique de cette jurisprudence).

L’arrêt à venir sera donc peut-être l’oc­ca­sion pour la CJUE de préci­ser où se situe la fron­tière entre une caté­go­rie admis­sible et une caté­go­rie trop géné­rale pour permettre un consen­te­ment véri­ta­ble­ment éclairé.

En Suisse, le système est rela­ti­ve­ment simi­laire. En effet, l’en­voi de cour­riels publi­ci­taires est égale­ment prévu par le droit et soumis aux exigences de l’art. 3 al. 1 let. o LCD, qui repose lui aussi sur le prin­cipe du consen­te­ment préa­lable du desti­na­taire, sous réserve de l’ex­cep­tion appli­cable aux clients exis­tants. De plus, le PFPDT a récem­ment consi­déré que l’envoi de messages publi­ci­taires à des clients malgré l’expression de leur refus consti­tue un trai­te­ment illi­cite (cf. swiss​pri​vacy​.law/​423)

On peut ainsi s’at­tendre à ce que cette future déci­sion alimente nos réflexions rela­tives à la trans­pa­rence, à la réuti­li­sa­tion des données par des tiers et à la portée du consen­te­ment. L’affaire est à présent dans les « mains » de la CJUE qui déci­dera du niveau d’information néces­saire concer­nant ces parte­naires particuliers.