Conclusions de l'avocat général M. D. Spielmann, présentées le 17 septembre 2026.###

ECLI:EU:C:2026:773Eu Cjeu17 sept. 2026

Ouvrir la source

Texte intégral

CONCLUSIONS DE L’AVOCAT GÉNÉRAL

M. DEAN SPIELMANN

présentées le 17 septembre 2026 (1)

Affaire C‑317/25

Groupe Canal + SAS

contre

Commission nationale de l’informatique et des libertés (CNIL),

en présence de

Premier ministre,

Syndicat professionnel Data et Marketing France (DMA France),

Association Alliance Digitale,

Syndicat Collectif pour les acteurs du marketing digital (CPA),

Association Le Groupement des éditeurs de contenus et services en ligne (GESTE)

[demande de décision préjudicielle formée par le Conseil d’État (France)]

« Renvoi préjudiciel – Directive 2002/58/CE – Traitement des données à caractère personnel et protection de la vie privée dans le secteur des communications électroniques – Article 13 – Utilisation de courrier électronique à des fins de prospection directe – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 4, point 11 – Consentement de la personne concernée – Article 12, paragraphe 1 – Transparence des informations – Article 13, paragraphe 1, et article 14, paragraphe 1 – Obligation d’information du responsable du traitement – Données collectées par un primo-collectant à des fins de prospection commerciale par voie électronique par ses “partenaires” – Consentement de la personne concernée – Identification des destinataires des données collectées »






 Introduction

1.        La présente demande de décision préjudicielle est introduite par le Conseil d’État (France), dans le cadre d’un recours introduit par Groupe Canal + SAS contre la délibération SAN-2023-015, du 12 octobre 2023, de la Commission nationale de l’informatique et des libertés (CNIL) (ci-après la « délibération de la CNIL ») (2) le condamnant à une amende pour avoir effectué de la prospection commerciale, au sens de l’article 13 de la directive 2002/58/CE concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) (3), sans avoir recueilli le consentement des personnes concernées. Ces personnes avaient, lors de la collecte de leurs données à caractère personnel par des fournisseurs d’accès Internet (ci-après les « FAI »), consenti au transfert de leurs données, à des fins de communications commerciales non sollicitées (spamming), à des « partenaires » non identifiés lors du recueil du consentement.

2.        La présente affaire est ainsi l’occasion pour la Cour de préciser dans quelles conditions un traitement de données à caractère personnel succédant à un autre, par un responsable de traitement différent, peut reposer sur le consentement initial donné lors de la collecte de ces données.

 Le cadre juridique

 Le droit de l’Union

 La directive 2002/58

3.        Le considérant 40 de la directive 2002/58 prévoit qu’« [i]l importe de protéger les abonnés contre toute violation de leur vie privée par des communications non sollicitées effectuées à des fins de prospection directe, en particulier au moyen d’automates d’appel, de télécopies et de courriers électroniques, y compris les messages courts (SMS). Si ces formes de communications commerciales non sollicitées peuvent être relativement faciles et peu onéreuses à envoyer, elles peuvent, en revanche imposer une charge et/ou un coût à leur destinataire. En outre, dans certains cas, leur volume peut poser un problème pour les réseaux de communications électroniques et les équipements terminaux. S’agissant de ces formes de communications non sollicitées effectuées à des fins de prospection directe, il est justifié d’exiger de l’expéditeur qu’il ait obtenu le consentement préalable du destinataire avant de les lui envoyer. Le marché unique exige une approche harmonisée à cet égard afin que les entreprises comme les utilisateurs disposent de règles simples s’appliquant à l’échelle de la Communauté ».

4.        Aux termes de l’article 2, second alinéa, sous f), de cette directive, « le “consentement” d’un utilisateur ou d’un abonné correspond au “consentement de la personne concernée” figurant dans la directive 95/46/CE [(4)] ».

5.        L’article 13 de ladite directive, intitulé « Communications non sollicitées », énonce :

« 1.      L’utilisation de systèmes automatisés d’appel sans intervention humaine (automates d’appel), de télécopieurs ou de courrier électronique à des fins de prospection directe ne peut être autorisée que si elle vise des abonnés ayant donné leur consentement préalable.

2.      Nonobstant le paragraphe 1, lorsque, dans le respect de la directive 95/46/CE, une personne physique ou morale a, dans le cadre d’une vente d’un produit ou d’un service, obtenu directement de ses clients leurs coordonnées électroniques en vue d’un courrier électronique, ladite personne physique ou morale peut exploiter ces coordonnées électroniques à des fins de prospection directe pour des produits ou services analogues qu’elle-même fournit pour autant que lesdits clients se voient donner clairement et expressément la faculté de s’opposer, sans frais et de manière simple, à une telle exploitation des coordonnées électroniques lorsqu’elles sont recueillies et lors de chaque message, au cas où ils n’auraient pas refusé d’emblée une telle exploitation.

[...] »

 Le RGPD

6.        L’article 4, point 11, du RGPD définit le consentement de la personne concernée comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».

7.        L’article 5 du RGPD, intitulé « Principes relatifs au traitement des données à caractère personnel », prévoit :

« 1.      Les données à caractère personnel doivent être :

a)      traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;

b)      collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités [...] »

8.        Aux termes de l’article 6 du RGPD, intitulé « Licéité du traitement » :

« 1.      Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

a)      la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;

[...] »

9.        Le chapitre III du RGPD, qui comporte les articles 12 à 23 de celui-ci, est intitulé « Droits de la personne concernée ». L’article 12 de ce règlement, intitulé « Transparence des informations et des communications et modalités de l’exercice des droits de la personne concernée », énonce, à son paragraphe 1 :

« Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l’article 34 en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d’autres moyens y compris, lorsque c’est approprié, par voie électronique. Lorsque la personne concernée en fait la demande, les informations peuvent être fournies oralement, à condition que l’identité de la personne concernée soit démontrée par d’autres moyens. »

10.      L’article 13 dudit règlement, intitulé « Informations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée », prévoit :

« 1.      Lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, toutes les informations suivantes :

a)      l’identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement

[...]

c)      les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;

[...]

e)      les destinataires ou les catégories de destinataires des données à caractère personnel, s’ils existent ; [...]

[...]

3.      Lorsqu’il a l’intention d’effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont été collectées, le responsable du traitement fournit au préalable à la personne concernée des informations au sujet de cette autre finalité et toute autre information pertinente visée au paragraphe 2.

4.      Les paragraphes 1, 2 et 3 ne s’appliquent pas lorsque, et dans la mesure où, la personne concernée dispose déjà de ces informations. »

11.      L’article 14 du RGPD, intitulé « Informations à fournir lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée », est libellé comme suit :

« 1.      Lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée, le responsable du traitement fournit à celle-ci toutes les informations suivantes :

a)      l’identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ;

[...]

c)      les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;

[...]

2.      En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée les informations suivantes nécessaires pour garantir un traitement équitable et transparent à l’égard de la personne concernée :

[...]

c)      l’existence du droit de demander au responsable du traitement l’accès aux données à caractère personnel, la rectification ou l’effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ainsi que du droit de s’opposer au traitement et du droit à la portabilité des données ;

d)      lorsque le traitement est fondé sur l’article 6, paragraphe 1, point a), ou sur l’article 9, paragraphe 2, point a), l’existence du droit de retirer le consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;

[...]

f)      la source d’où proviennent les données à caractère personnel et, le cas échéant, une mention indiquant qu’elles sont issues ou non de sources accessibles au public ;

[...]

3.      Le responsable du traitement fournit les informations visées aux paragraphes 1 et 2 :

a)      dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées ;

b)      si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne concernée, au plus tard au moment de la première communication à ladite personne ; ou

c)      s’il est envisagé de communiquer les informations à un autre destinataire, au plus tard lorsque les données à caractère personnel sont communiquées pour la première fois.

4.      Lorsqu’il a l’intention d’effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont été obtenues, le responsable du traitement fournit au préalable à la personne concernée des informations au sujet de cette autre finalité et toute autre information pertinente visée au paragraphe 2.

5.      Les paragraphes 1 à 4 ne s’appliquent pas lorsque et dans la mesure où :

a)      la personne concernée dispose déjà de ces informations ;

b)      la fourniture de telles informations se révèle impossible ou exigerait des efforts disproportionnés, en particulier pour le traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques sous réserve des conditions et garanties visées à l’article 89, paragraphe 1, ou dans la mesure où l’obligation visée au paragraphe 1 du présent article est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement. En pareils cas, le responsable du traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles ;

c)      l’obtention ou la communication des informations sont expressément prévues par le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement est soumis et qui prévoit des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée ; ou

d)      les données à caractère personnel doivent rester confidentielles en vertu d’une obligation de secret professionnel réglementée par le droit de l’Union ou le droit des États membre[s], y compris une obligation légale de secret professionnel. »

 Le droit français

 Le code des postes et des communications électroniques

12.      L’article L. 34-5 du code des postes et des communications électroniques, qui transpose en droit interne l’article 13 de la directive 2002/58, dans sa version applicable au litige au principal (5), dispose :

« Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen.

Pour l’application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à [des fins] de prospection directe.

Constitue une prospection directe l’envoi de tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l’image d’une personne vendant des biens ou fournissant des services. Pour l’application du présent article, les appels et messages ayant pour objet d’inciter l’utilisateur ou l’abonné à appeler un numéro surtaxé ou à envoyer un message textuel surtaxé relèvent également de la prospection directe.

Toutefois, la prospection directe par courrier électronique est autorisée si les coordonnées du destinataire ont été recueillies auprès de lui, dans le respect des dispositions de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés [(6)], à l’occasion d’une vente ou d’une prestation de services, si la prospection directe concerne des produits ou services analogues fournis par la même personne physique ou morale, et si le destinataire se voit offrir, de manière expresse et dénuée d’ambiguïté, la possibilité de s’opposer, sans frais, hormis ceux liés à la transmission du refus, et de manière simple, à l’utilisation de ses coordonnées au moment où elles sont recueillies et chaque fois qu’un courrier électronique de prospection lui est adressé au cas où il n’aurait pas refusé d’emblée une telle exploitation.

[...] »

 La loi no 78-17

13.      L’article 4 de la loi no 78-17 énonce, en substance, que les données à caractère personnel doivent être traitées de manière licite et loyale, collectées pour des finalités déterminées, explicites, légitimes et ne pas être traitées ultérieurement de manière incompatible avec ces finalités. Elles doivent être adéquates, pertinentes, limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, et exactes.

 Le litige au principal, les questions préjudicielles et la procédure devant la Cour

14.      Au cours de l’année 2021, Groupe Canal + a fait réaliser, pour son compte, des opérations de prospection commerciale par voie électronique auprès d’environ 3,9 millions de personnes, dont les données à caractère personnel avaient été préalablement acquises par deux FAI. Pour ce faire, ces FAI avaient invité leurs abonnés à cocher une case d’un formulaire de collecte indiquant le consentement de ces derniers à l’utilisation de leurs données à caractère personnel à des fins de prospection par les « partenaires » desdits FAI, ces partenaires n’étant nommément identifiés ni dans le formulaire de collecte ni sur une liste accessible par un lien hypertexte ou par un autre moyen.

15.      Saisie de plusieurs plaintes au sujet des opérations de prospection commerciale par voie électronique effectuées par Groupe Canal +, la CNIL a effectué des contrôles auprès de cette société et, par délibération du 12 octobre 2023, la formation restreinte de la CNIL a estimé que ladite société avait manqué aux obligations résultant de l’article L. 34-5 du code des postes et des communications électroniques et de l’article 7, paragraphe 1, du RGPD en ce qu’elle ne disposait pas du consentement valable des personnes concernées pour la mise en œuvre de ces opérations. Dès lors, considérant que Groupe Canal + avait manqué à l’obligation de recueillir un tel consentement, la CNIL a prononcé à l’encontre de celle-ci une amende administrative d’un montant de 600 000 euros.

16.      Par une requête du 15 décembre 2023, Groupe Canal + a saisi le Conseil d’État, la juridiction de renvoi, aux fins d’obtenir l’annulation de la délibération de la CNIL, ainsi que la réformation de celle-ci en vue de réduire le montant de l’amende administrative qui lui a été infligée. Devant la juridiction de renvoi, Groupe Canal + soutient que le consentement des personnes concernées, recueilli par les FAI, était suffisamment éclairé pour qu’elles puissent recevoir de la prospection commerciale par voie électronique pour son compte, dans la mesure où ces personnes avaient déjà donné leur accord à l’utilisation de leurs données à caractère personnel par les partenaires des FAI.

17.      La juridiction de renvoi se demande si le consentement, qui a été recueilli par les FAI, en tant que primo‑collectant, en vue de l’utilisation des données à caractère personnel des personnes concernées à des fins de prospection commerciale par les partenaires de ces fournisseurs, permet à Groupe Canal + de mettre en œuvre ses opérations de prospection commerciale. Elle se demande en particulier si Groupe Canal +, qui n’était pas nommément identifié comme l’un des partenaires des FAI et dont l’identité n’était donc pas connue des personnes concernées, devait ou non recueillir un nouveau consentement spécifique auprès de celles-ci avant de mettre en œuvre ses opérations de prospection commerciale. En outre, si le consentement recueilli par les FAI peut être considéré comme éclairé au sens des dispositions du RGPD et de la directive 2002/58, elle s’interroge sur le degré de précision de la notion de « catégorie » de destinataires.

18.      C’est dans ce contexte que le Conseil d’État a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

« 1)      Le [point] 11 de l’article 4 du RGPD, lu en combinaison avec les articles 13 et 14 du RGPD ainsi que l’article 13 de la directive [2002/58], doit-il être interprété en ce sens que le consentement de la personne concernée, donné à un primo-collectant, à ce que ses données soient utilisées par une catégorie de destinataires, comme, en l’espèce, les “partenaires” des FAI, peut être considéré comme un consentement libre, spécifique, éclairé et univoque permettant à toute personne appartenant à cette catégorie de procéder à des opérations de prospection commerciale par voie électronique sans avoir besoin de solliciter un nouveau consentement, ou bien la combinaison de ces dispositions implique-t-elle, dans une telle hypothèse, que tout destinataire des données personnelles recueillies, si son identité n’était pas connue de la personne concernée au moment où elle a donné son consentement au primo-collectant, recueille le consentement de cette personne avant de pouvoir procéder auprès d’elle à de la prospection commerciale en qualité de responsable d’un nouveau traitement ?

2)      Dans l’hypothèse où il conviendrait de retenir que le consentement donné par la personne concernée, à un primo-collectant, à ce que ses données soient utilisées par une catégorie de destinataires pour réaliser de la prospection commerciale par voie électronique, peut être considéré comme un consentement éclairé au sens des dispositions précitées, le degré de précision de la notion de “catégorie” de destinataires revêt-il une importance ou celle-ci peut-elle, comme dans le cas présent, se contenter de renvoyer à tout “partenaire” du primo-collectant ? »

19.      Des observations écrites ont été déposées par Groupe Canal + ainsi que par la Commission européenne et les gouvernements français, espagnol et italien. Lors de l’audience qui s’est tenue publiquement le 2 juillet 2026, Groupe Canal +, le Syndicat professionnel Data et Marketing France, la Commission et les gouvernements français et espagnol ont présenté leurs observations orales.

 Analyse

 Sur la première question

20.      La juridiction de renvoi demande si le consentement donné par les abonnés des FAI, à l’occasion de la collecte de leurs données à caractère personnel, permettait à Groupe Canal + d’utiliser ces données à des fins de prospection commerciale à leur égard sans recueillir à son tour un nouveau consentement.

21.      En substance, Groupe Canal + soutient qu’il n’était pas tenu de recueillir un nouveau consentement afin d’effectuer des opérations de prospection commerciale par voie électronique auprès des personnes concernées. Les autres parties intéressées considèrent, au contraire, que le consentement obtenu par les FAI, sur la base de la simple information des « catégories de destinataires » auxquelles sont transmises les données collectées à l’occasion d’un premier traitement, ne suffit pas à démontrer l’existence du consentement nécessaire au second traitement consistant en des opérations de prospection commerciale électronique réalisées par Groupe Canal +.

22.      Après avoir rappelé les dispositions applicables au litige au principal, j’examinerai la portée du consentement donné par les personnes concernées lors de la collecte de leurs données à caractère personnel afin de déterminer si ce consentement pouvait constituer le fondement juridique de la prospection directe par Groupe Canal +.

 Rappel des dispositions applicables

–       La nécessité d’un consentement au sens de l’article 13, paragraphe 1, de la directive 2002/58

23.      Tout d’abord, je rappelle que l’affaire au principal concerne des opérations de prospection directe de la part de Groupe Canal +. L’article 13 de la directive 2002/58, intitulé « Communications non sollicitées », vise notamment, conformément à ce qu’énonce son considérant 40, à protéger les abonnés contre toute violation de leur vie privée par des communications non sollicitées effectuées à des fins de prospection directe. Comme mentionné à l’article 1, paragraphe 2, de cette directive, lu à la lumière du considérant 173 du RGPD, la directive 2002/58 fait office de lex specialis, complétant le RGPD (lex generalis) (7). L’article 13 de la directive 2002/58 est donc applicable au litige au principal et l’appréciation de la licéité du traitement consistant en l’utilisation par Groupe Canal + des données à caractère personnel en cause doit dès lors s’effectuer à la lumière des conditions prévues par cette directive.

24.      Ensuite, je note que l’article 13, paragraphe 1, de ladite directive autorise l’utilisation de différents types de communication, à savoir les systèmes automatisés d’appel sans intervention humaine (automates d’appel), les télécopieurs ou le courrier électronique, à des fins de prospection directe à condition qu’elle vise des abonnés ayant donné leur consentement préalable. Aux fins de l’application de cette disposition, il convient donc de vérifier, premièrement, si le type de communication utilisée à des fins de prospection directe figure parmi celles visées à ladite disposition, deuxièmement, si une telle communication a pour finalité la prospection directe, c’est-à-dire si elle poursuit un but commercial et s’adresse directement et individuellement à un consommateur, et, troisièmement, si l’exigence d’obtenir un consentement préalable de la part de l’utilisateur a été respectée (8).

25.      En l’occurrence, il ressort de la demande de décision préjudicielle que les deux premières conditions sont remplies. En effet, la juridiction de renvoi vise expressément des « opérations de prospection commerciale par voie électronique » réalisées à l’égard des personnes concernées, prospects de Groupe Canal +.

26.      En revanche, la question du consentement préalable des personnes concernées, destinataires des communications non sollicitées aux fins de prospection commerciale, est au centre des débats.

27.      La nécessité d’un consentement pour fonder le traitement ultérieur de prospection directe n’est pas discutée. À cet égard, je précise que les conditions de l’exception au consentement prévue à l’article 13, paragraphe 2, de la directive 2002/58, ne sont pas remplies dans le litige au principal (9). La question qui oppose les parties est celle de savoir si, dès lors que l’identité du responsable du traitement ultérieur de prospection directe n’était pas connue, le consentement donné par les abonnés lors de la primo-collecte était suffisant ou si un second consentement devait être donné, ce qui m’amène à la notion de « consentement éclairé ».

–       Le consentement éclairé au sens du RGPD

28.      Le consentement au sens de la directive 2002/58, et notamment de son article 13, paragraphe 1, doit s’entendre au sens du consentement prévu par le RGPD. En effet, d’une part, l’article 2, second alinéa, sous f), de cette directive, lu à la lumière de son considérant 17 (10), définit le « consentement » d’un utilisateur ou d’un abonné comme correspondant au « consentement de la personne concernée » figurant dans la directive 95/46, et, d’autre part, l’article 94, paragraphe 2, du RGPD prévoit que les références faites à la directive 95/46, abrogée par le RGPD, s’entendent comme faites au RGPD.

29.      Il résulte de ces dispositions que le consentement doit satisfaire aux exigences résultant de l’article 4, point 11, du RGPD, applicable ratione temporis au litige au principal et qui définit le « consentement de la personne concernée » en ce sens qu’il requiert une « manifestation de volonté, libre, spécifique, éclairée et univoque » de la personne concernée, prenant la forme d’une déclaration ou d’« un acte positif clair » marquant son acceptation du traitement des données à caractère personnel la concernant (11).

30.      En l’occurrence, le caractère libre, spécifique et univoque du consentement donné lors de la primo-collecte n’est pas discuté. Le désaccord entre les parties se cristallise sur la question de savoir si le consentement donné par les personnes concernées était suffisamment éclairé pour fonder le traitement de prospection directe.

31.      Je rappelle que l’exigence d’un consentement « éclairé », au sens de l’article 4, point 11, du RGPD, nécessaire pour qu’un traitement de données soit licite, dépend, entre autres, du point de savoir si cette personne a, au préalable, obtenu les informations au regard de toutes les circonstances entourant le traitement des données en question auxquelles elle avait droit et qui lui permettent de faire ses choix quant à l’utilisation de ses données et de donner son consentement, de façon « autodéterminée », en pleine connaissance de cause (12).

32.      En effet, ainsi qu’il résulte de l’article 12 du RGPD, qui est l’expression du principe de transparence, le responsable du traitement doit prendre des mesures appropriées pour fournir toute information visée aux articles 13 et 14 de ce règlement. Il doit à cet égard fournir à la personne concernée une information au regard de toutes les circonstances entourant le traitement des données, sous une forme compréhensible et aisément accessible, formulée en des termes clairs et simples, cette personne devant connaître, outre le type de données à traiter, la durée et les modalités de ce traitement ainsi que les finalités que celui-ci poursuit, l’identité du responsable du traitement. Une telle information doit permettre à ladite personne de déterminer facilement les conséquences du consentement qu’elle pourrait donner et garantir que ce consentement soit donné en pleine connaissance de cause (13). Pierre angulaire du principe de transparence, le droit à l’information garantit ainsi la transparence de tout traitement dans le contexte du RGPD (14).

33.      De plus, comme la Cour l’a indiqué, l’obligation d’information qui incombe au responsable du traitement à l’égard des personnes concernées par un traitement de données à caractère personnel constitue « le corollaire du droit d’information qui est reconnu à ces personnes par les articles 12 et 13 du RGPD » (15).

34.      La violation du droit des personnes concernées  d’être suffisamment informées de toutes les circonstances entourant un traitement de données à caractère personnel, et en particulier de l’identité du responsable de traitement, est ainsi susceptible de faire obstacle à l’expression d’un consentement éclairé, au sens de l’article 4, point 11, du RGPD, ce qui peut rendre ce traitement illicite, au sens de l’article 5, paragraphe 1, de ce règlement (16). Le droit à l’information de la personne concernée participe donc à l’existence d’un consentement de nature à fonder un traitement licite de données et l’identité du responsable du traitement en cause est, à cet égard, un élément particulièrement nécessaire pour éclairer ledit consentement.

35.      En outre, les obligations en termes de recueil du consentement et de fourniture des informations prévues pour éclairer ce consentement incombent au responsable du traitement en cause, c’est-à-dire à la personne qui « détermine les finalités et les moyens [de ce] traitement » (17).

36.      Dans le cadre du litige au principal, lorsque l’on se situe au stade de la collecte des données à caractère personnel par les FAI et de la transmission de ces données à leurs partenaires, l’article 13 du RGPD s’applique aux FAI en ce qui concerne les obligations d’informations, qui permet que seules des catégories de destinataires soient mentionnées (18). Les FAI n’ont donc pas l’obligation de préciser le destinataire des données, sans quoi l’expression « catégorie de destinataires » serait vidée de son sens.

37.      En revanche, au stade de la prospection commerciale, les données à caractère personnel indirectement collectées par les FAI sont utilisées par Groupe Canal + (19) et les informations à fournir aux personnes concernées à ce stade sont celles prévues à l’article 14 du RGPD, adopté pour répondre aux situations dans lesquelles le responsable du traitement n’est pas en contact direct avec la personne concernée (20). Dans ces situations relevant de l’article 14 du RGPD, comme la Cour l’a jugé, le responsable du traitement collecte les données à caractère personnel à partir d’une autre source, de sorte que la communication des informations que vise cette disposition au moment où celles-ci sont obtenues est, en pratique, rendue difficile, voire impossible. Le caractère indirect d’une telle collecte justifie ainsi que cette dernière disposition prévoie la possibilité de « différer la réalisation de l’obligation d’information » qui incombe au responsable du traitement (21). La règle générale est cependant que le responsable du traitement qui a obtenu indirectement les données à caractère personnel fournit les informations dans un délai raisonnable après la collecte de ces données, mais au plus tard dans un délai d’un mois, compte tenu des circonstances particulières dans lesquelles lesdites données sont traitées (22). En outre, si ces mêmes données doivent être utilisées aux fins de la communication avec la personne concernée, le responsable du traitement doit fournir les informations au plus tard au moment de la première communication à ladite personne (23).

38.      C’est dans ce contexte que se pose la question de savoir si, dans le cadre du litige au principal, le consentement recueilli par les FAI pouvait constituer le fondement juridique du traitement ultérieur de prospection directe par Groupe Canal + sans nécessité de recueillir un nouveau consentement, ce qui implique de s’interroger, à présent, sur la portée du consentement recueilli par les FAI.

 Sur la portée du consentement donné en l’espèce

39.      Il peut être considéré que le fait pour un abonné d’un FAI de cocher une case d’un formulaire donnant son accord pour l’utilisation de ses données à caractère personnel à des fins de prospection par les « partenaires » de ce FAI constitue un consentement au transfert de ses données auxdits partenaires, en vue de faire ultérieurement l’objet d’une activité de communication ayant un but commercial et s’adressant directement et individuellement à lui (24). Il en résulte, selon moi, un consentement sur le transfert des données pour une finalité de prospection directe indiquée lors de la collecte de leurs données à caractère personnel.

40.      Toutefois, comme l’a souligné notamment le gouvernement français, un tel consentement ne signifie pas nécessairement que les personnes concernées ont consenti à ce que le traitement de prospection directe émane de quelque personne que ce soit.

41.      Or, à l’instar de la Commission et des gouvernements parties intéressées, je suis d’avis que, pour pouvoir juridiquement fonder ladite prospection, ce consentement doit notamment porter sur l’identité du responsable du traitement de prospection directe (25). Tant que tel n’est pas le cas, le traitement de prospection directe ne saurait débuter sans un nouveau consentement dûment éclairé quant à l’identité du responsable de ce traitement de prospection.

42.      Une telle interprétation résulte à mon sens des termes des dispositions applicables, du contexte dans lequel elles s’insèrent et des objectifs poursuivis par la réglementation dont elles font partie (26).

43.      En premier lieu, l’article 13, paragraphe 1, de la directive 2002/58 implique un consentement préalable qui, au stade de la prospection directe, s’analyse au regard des exigences de l’article 14 du RGPD si les données ont été collectées de façon indirecte, lequel implique, aux termes de son paragraphe 1, sous a), la connaissance de l’identité du responsable de cette prospection (27). L’article 14, paragraphe 3, sous b), du RGPD prévoit d’ailleurs que, si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne concernée, le responsable du traitement doit fournir les informations visées, dont l’identité du responsable du traitement, au plus tard au moment de la première communication à ladite personne.

44.      En deuxième lieu, le contexte  dans lequel ces dispositions s’insèrent confirme cette interprétation.

45.      Premièrement, en effet, il ressort du considérant 42 du RGPD que, « [p]our que le consentement soit éclairé, la personne concernée devrait connaître au moins l’identité du responsable du traitement et les finalités du traitement auquel sont destinées les données à caractère personnel ».

46.      Certes, la Cour a pu admettre, dans certaines chaînes de traitements spécifiques, que la réitération du consentement n’était pas nécessaire. Tel est le cas en particulier lorsque la finalité des traitements successifs est la même (28). Cependant, cette solution jurisprudentielle particulière est circonscrite au consentement envisagé dans le cadre de l’article 12 de la directive 2002/58. D’ailleurs, la Cour a pris soin de rappeler que, ainsi que l’énonce le considérant 39 de cette directive, si la partie qui a collecté ces données auprès de l’abonné ou un tiers quelconque auquel elles ont été transmises souhaitent les exploiter à d’autres fins que la publication d’un annuaire public, ladite partie ou ledit tiers devront obtenir une nouvelle fois le consentement de l’abonné (29).

47.      J’estime donc que la société Groupe Canal + ne saurait utilement se prévaloir de cette jurisprudence, non transposable à l’affaire au principal. Au contraire, une telle jurisprudence est de nature à conforter l’interprétation selon laquelle, dans les circonstances du litige au principal, un nouveau consentement est nécessaire pour fonder juridiquement le traitement de prospection, dès lors que les données à caractère personnel sont exploitées à d’autres fins que celles pour lesquelles elles ont été collectées.

48.      Deuxièmement, les principes de transparence et de loyauté du traitement de données, prévus à l’article 5, paragraphe 1, sous a), du RGPD, lus à la lumière des considérants 60 et 61 de ce règlement (30), justifient, à mon sens, que les personnes concernées soient tenues informées dès que possible des modifications affectant la catégorie des destinataires de leurs données. Une telle information permet ainsi de garantir à la personne concernée qu’elle ne « rate » pas la modification éventuelle concernant les destinataires de ses données à caractère personnel et permet de lui accorder une période de temps raisonnable pour qu’elle puisse évaluer la nature et l’incidence de la modification, et le cas échéant exercer ses droits au titre du RGPD en lien avec la modification (par exemple, retirer son consentement ou s’opposer au traitement) (31).

49.      J’ajoute que le lien de désinscription permettant le retrait du consentement lors de la première communication, auquel Groupe Canal + a fait référence lors de l’audience, s’inscrit dans le cadre de l’exercice de ces droits et reste nécessaire à cet effet, notamment en vertu de l’article 13, paragraphe 4, de la directive 2002/58, mais ne régularise pas a posteriori l’absence de consentement préalable concernant l’identité du responsable du traitement de prospection, précisément destiné à rendre licite ce traitement avant qu’il n’ait lieu.

50.      De plus, cette mise à jour des informations, de nature à éclairer le consentement des personnes concernées, devrait intervenir en dehors de toute demande active de leur part fondée sur leur droit d’accès prévu à l’article 15 du RGPD. À cet égard, l’argument de Groupe Canal + concernant la différence entre, d’une part, les obligations en matière d’informations prévues aux articles 13 et 14 du RGPD et, d’autre part, le rôle fonctionnel du droit d’accès prévu à l’article 15 du RGPD (32) ne me semble pas atténuer l’obligation d’information préalable dans les circonstances de l’espèce. Le droit d’accès répond à une demande spécifique de la personne concernée (33), tandis que l’information donnée au titre des articles 13 et 14 du RGPD, qui implique un comportement actif du responsable de traitement, s’adresse à l’ensemble des personnes concernées et est plus générale. Cela étant, indépendamment de l’existence d’un droit d’accès que les personnes concernées peuvent choisir d’exercer ou non, des informations insuffisantes fournies au titre des articles 13 ou 14 du RGPD ne donnent lieu qu’à un consentement dont la portée est limitée et qui ne suffit pas, en soi, pour permettre le traitement des données à caractère personnel à des fins de prospection sans que l’identité du responsable de ce traitement soit connue.

51.      Troisièmement, je relève que les exceptions à l’obligation de fournir les informations prévues par les textes, et notamment l’identité du responsable du traitement, sont limitativement énumérées à l’article 14, paragraphe 5, du RGPD.

52.      Or ces exceptions ne sont pas applicables en l’espèce.

53.      En particulier, l’exception visée à l’article 14, paragraphe 5, sous a), du RGPD visant le cas où les personnes concernées disposent déjà de l’information en cause n’est pas applicable dès lors que l’identité du responsable du traitement de prospection n’a, par hypothèse, pas encore été communiquée.

54.      De même, la fourniture de l’information concernant l’identité du responsable du traitement de prospection ne me semble pas exiger des efforts disproportionnés au sens de l’article 14, paragraphe 5, sous b), du RGPD. En effet, comme suggéré par certaines parties intéressées, Groupe Canal + pourrait contractuellement confier aux FAI la charge de recueillir le consentement nécessaire au traitement de prospection directe, soit en précisant l’identité des destinataires, soit, s’ils ne sont pas encore connus lors de la collecte, par exemple en tenant une liste à jour de toute modification substantielle relative aux traitements des données à caractère personnel ou concernant les informations précédemment transmises (34). À défaut, Groupe Canal + pourrait encore recueillir le consentement avant de procéder à la prospection directe proprement dite, soit au plus tard au moment de la première communication à la personne concernée, hypothèse d’ailleurs envisagée à l’article 14, paragraphe 3, sous b), du RGPD.

55.      En troisième lieu, il convient d’interpréter les dispositions applicables dans un sens conforme aux objectifs poursuivis par la directive 2002/58, tels qu’énoncés aux considérants 2 et 40 de celle-ci, visant notamment à garantir le plein respect des droits exposés aux articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne et, à cette fin, à protéger les abonnés contre toute violation de leur vie privée par des communications non sollicitées effectuées à des fins de prospection directe.

56.      À cet égard, comme cela ressort du considérant 40 de la directive 2002/58, les communications à des fins de prospection directe effectuées par courriers électroniques « peuvent être relativement faciles et peu onéreuses à envoyer », tout en imposant une charge et/ou un coût à leur destinataire, et parfois un problème de volume pour les réseaux de communications électroniques et les équipements terminaux. Il est ainsi particulièrement justifié d’exiger du responsable du traitement de prospection directe (l’expéditeur des communications directes), qu’il ait obtenu le consentement préalable du prospect (le destinataire des communications directes) avant de les lui envoyer.

57.      Au vu de l’intrusion dans la sphère privée que constitue la prospection par message électronique ou par d’autres moyens de communication directe et individuelle (35), j’estime que l’exigence d’un consentement préalable, éclairé quant à l’identité du responsable du traitement de prospection, s’impose d’autant plus avant une telle prospection, sous peine de porter atteinte à l’effet utile de l’article 13, paragraphe 1, de la directive 2002/58 et de permettre que cette condition de licéité du traitement de prospection directe soit contournée.

58.      Au surplus, compte tenu de l’existence d’enjeux considérables liés aux utilisations secondaires des données à caractère personnel, notamment par les courtiers en données (data brokers) (36), je ne suis pas favorable à une interprétation des textes en matière de consentement qui atténuerait la protection des données à caractère personnel à cet égard.

59.      Au vu de ces considérations, l’argument de Groupe Canal + concernant une « fatigue du consentement » (37) ne me convainc pas et, au demeurant, il ne saurait exonérer les responsables de traitement (qu’il s’agisse des FAI lors du transfert de données ou de Groupe Canal + lors de la première prospection directe) de leurs obligations en termes de consentement préalable et éclairé.

60.      Il s’ensuit que, contrairement à ce que Groupe Canal + soutient, j’estime que, dès lors que le consentement donné par les personnes concernées lors de la primo-collecte ne porte pas sur l’identité du responsable du traitement de prospection directe, il revêt une portée limitée qui ne permet pas à Groupe Canal + de procéder à la prospection commerciale sans obtenir un nouveau consentement, et ce au plus tard au moment de la première communication aux personnes concernées.

61.      Je suis dès lors d’avis de répondre à la première question que l’article 4, point 11, du RGPD, lu en combinaison avec les articles 13 et 14 de ce règlement ainsi qu’avec l’article 13 de la directive 2002/58, doit être interprété en ce sens que le consentement de la personne concernée, donné à un primo-collectant, à ce que ses données soient utilisées par une catégorie de destinataires, désignés comme les « partenaires » du primo-collectant, mais dont l’identité n’était pas connue de la personne concernée au moment où elle a donné son consentement au primo-collectant, ne peut pas être considéré comme un consentement éclairé permettant à toute personne appartenant à cette catégorie de destinataires de procéder à des opérations de prospection commerciale par voie électronique sans avoir besoin de solliciter un nouveau consentement des personnes concernées avant de procéder auprès d’elles à de telles opérations de prospection commerciale.

62.      Par conséquent, il n’y a pas lieu de répondre à la seconde question préjudicielle. C’est donc à titre subsidiaire que je l’envisagerai ci-dessous.

 Sur la seconde question

63.      Si la Cour devait ne pas me suivre dans ma proposition de réponse à la première question, deux approches me semblent envisageables pour répondre à la seconde question, concernant le degré de précision de la notion de « catégorie » de destinataires et son lien avec le caractère suffisamment éclairé du consentement.

64.      La première approche consisterait à considérer qu’il n’y a pas de lien entre, d’une part, le caractère suffisamment éclairé du consentement et, d’autre part, le degré de précision de la notion de « catégorie » de destinataires. Dans cette hypothèse, l’identité du responsable du traitement de prospection directe n’apparaît pas comme une condition de la validité du consentement à faire l’objet de ce traitement de prospection. Dès lors, le consentement donné par la personne concernée, à un primo-collectant, à ce que ses données soient utilisées par une catégorie de destinataires pour réaliser de la prospection commerciale par voie électronique, pourrait être considéré comme un consentement suffisamment éclairé quel que soit le degré de précision de la notion de « catégorie » de destinataires. On pourrait ainsi estimer que l’identité du responsable du traitement de prospection directe ne devrait être connue que pour l’exercice de droits tels que le droit d’accès aux données à caractère personnel, de rectification ou d’effacement de celles-ci, ou le droit de s’opposer au traitement. Le consentement serait alors considéré comme suffisamment éclairé, que la catégorie de destinataires énoncée soit précise ou non. Dans le cas présent, la prospection pourrait ainsi être effectuée par Groupe Canal + sans qu’un nouveau consentement ne soit requis, indépendamment de la précision de la catégorie de destinataires désignée lors de la primo-collecte.

65.      La seconde approche, qui aurait ma préférence, pourrait conduire à considérer qu’un lien existe entre, d’une part, le caractère suffisamment éclairé du consentement et, d’autre part, le degré de précision de la notion de « catégorie » de destinataires. Dans ce cas, même en l’absence d’information sur l’identité concrète du responsable du traitement de prospection, la possibilité de son identification serait tout de même nécessaire pour permettre la prospection directe sans recueillir un nouveau consentement. Le degré de précision de la notion de « catégorie de destinataires » pourrait alors avoir son importance.

66.      Dans ce cas, la « catégorie » de destinataires devrait être précisée par le primo-collectant de sorte que, au vu du contexte et des circonstances au moment de la collecte de ses données, la personne concernée puisse raisonnablement s’attendre à ce que ses données à caractère personnel fassent l’objet d’une utilisation à des fins de prospection commerciale par la personne la contactant. Autrement dit, la personne concernée ne devrait pas être surprise par la prospection directe émanant de Groupe Canal + et devrait savoir qu’elle y a consenti lors de la collecte de ses données à caractère personnel par son FAI, compte tenu, par exemple, de la précision de la catégorie de destinataires mentionnée ou du contexte de la collecte des données et de l’activité du primo-collectant (ici les FAI) (38).

67.      Or, en l’occurrence, la notion de « partenaires » des FAI reste, au titre de la « catégorie » de destinataires, une notion très vague dans le contexte de la collecte de données à caractère personnel par les FAI. Contrairement à ce qui est soutenu par Groupe Canal +, j’estime que l’emploi du terme « partenaire », même lu à la lumière de la finalité de prospection commerciale par voie électronique, ne saurait suffire à informer la personne concernée de sorte qu’elle puisse être considérée comme ayant donné son consentement en pleine connaissance de cause pour être contactée par Groupe Canal +. À supposer même que les abonnés des FAI puissent avoir une idée de ce que Groupe Canal + appelle l’« écosystème commercial » de leur fournisseur, cela ne me semble pas permettre de préciser la notion de « partenaire », ni d’identifier ce que le fait d’être le « partenaire » dudit fournisseur peut recouvrir en termes de biens ou de services concernés (39). La seule indication est qu’il s’agit d’une entité ayant une relation contractuelle et commerciale avec le FAI, ce qui constitue une catégorie, certes non infinie, mais pour autant non définie. En effet, par hypothèse, le transfert de données du FAI au destinataire implique le plus souvent une telle relation.

68.      En outre, dans le contexte du litige au principal, cette notion de « partenaire » me semble indéfinie au point que, en donnant son consentement au stade de la collecte, l’abonné des FAI devrait au contraire s’attendre à être plus précisément informé concernant l’identité de ce partenaire le moment venu, c’est-à-dire lors du transfert de ses données audit partenaire et, au plus tard, préalablement à la prospection commerciale. Je note d’ailleurs que, selon le groupe de travail « Article 29 », lorsque seules des « catégories de destinataires » sont communiquées, les informations devraient être les plus spécifiques possible et indiquer par exemple le type de destinataire en fonction des activités qu’il mène, l’industrie, le secteur et le sous-secteur, ainsi que l’emplacement des destinataires en cause (40).

69.      Il en résulte selon moi que, si l’on accepte que le consentement donné en présence d’une « catégorie de destinataires » peut juridiquement fonder la prospection directe par un de ces destinataires sans qu’il soit identifié, son identification le moment venu comme étant le destinataire des FAI primo-collectant devrait tout de même être raisonnablement possible (41). Ainsi, plus l’imprécision concernant ces catégories de destinataires au stade de la primo-collecte est grande, moins elle est susceptible de donner lieu à un consentement pouvant fonder l’utilisation des données à caractère personnel collectées aux fins d’un traitement de prospection directe par un autre responsable de traitement.

70.      Dans les circonstances du litige au principal, j’estime que la notion de « partenaire » des FAI primo-collectants ne saurait donner lieu à la « chaîne de consentements » invoquée par Groupe Canal +. Dans le cadre de cette seconde approche, le recueil d’un nouveau consentement permettant d’identifier le destinataire des données resterait donc nécessaire préalablement à l’utilisation des données à caractère personnel en cause à des fins de prospection commerciale.

 Conclusion

71.      Eu égard à l’ensemble des considérations qui précèdent, je propose à la Cour, d’une part, de dire qu’il n’y a pas lieu de répondre à la seconde question préjudicielle posée par le Conseil d’État (France) et, d’autre part, de répondre à la première question de la manière suivante :

L’article 4, point 11, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE, lu en combinaison avec les articles 13 et 14 de ce règlement ainsi qu’avec l’article 13 de la directive 2002/58/CE du Parlement européen et du Conseil, du 12 juillet 2002, concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques),

doit être interprété en ce sens que :

le consentement de la personne concernée, donné à un primo-collectant, à ce que ses données soient utilisées par une catégorie de destinataires, désignés comme les « partenaires » du primo-collectant, mais dont l’identité n’était pas connue de la personne concernée au moment où elle a donné son consentement au primo-collectant, ne peut pas être considéré comme un consentement éclairé permettant à toute personne appartenant à cette catégorie de destinataires de procéder à des opérations de prospection commerciale par voie électronique sans avoir besoin de solliciter un nouveau consentement des personnes concernées avant de procéder auprès d’elles à de telles opérations de prospection commerciale.

1      Langue originale : le français.

2      Disponible à l’adresse suivante : https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000048222771.

3      Directive du Parlement européen et du Conseil du 12 juillet 2002 (JO 2002, L 201, p. 37). La proposition de règlement « ePrivacy »  a été abandonnée [voir annexes de la communication de la Commission au Parlement européen, au Conseil, au Comité économique et social européen et au Comité des régions. Programme de travail 2025 de la Commission. Avancer ensemble : une Union plus audacieuse, plus simple et plus rapide (COM(2025) 45 final), p. 26, no 29].

4      Directive du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31). Cette directive a été remplacée par le règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (JO 2016, L 119, p. 1, ci-après le « RGPD »), dont l’article 94, intitulé « Abrogation de la directive 95/46/CE », énonce, à son paragraphe 2, que les références faites à la directive abrogée s’entendent comme faites à ce règlement.

5      Tel que modifié par l’article 8 de la loi no 2020-901 du 24 juillet 2020 (JORF du 25 juillet 2020, no 181).

6      JORF du 7 janvier 1978, no 6 (ci-après la « loi no 78-17).

7      Voir arrêt du 13 novembre 2025, Inteligo Media (C-654/23, EU:C:2025:871, points 66 à 68). Voir, aussi, Comité européen de la protection des données (CEPD), avis 5/2019, du 12 mars 2019, relatif aux interactions entre la directive « vie privée et communications électroniques » et le RGPD, en particulier en ce qui concerne la compétence, les missions et les pouvoirs des autorités de protection des données, p. 12 et suiv., disponible à l’adresse suivante : https://www.edpb.europa.eu/system/files/documents/files/file1/201905_edpb_opinion_eprivacydir_gdpr_interplay_fr.pdf.

8      Voir arrêt du 25 novembre 2021, StWL Städtische Werke Lauf a.d. Pegnitz (C‑102/20, EU:C:2021:954, point 37). Concernant la définition « vaste et volontairement neutre sur le plan technologique » de la notion de « courrier électronique », voir groupe de travail « Article 29 », avis 5/2004, du 27 février 2004, portant sur les communications de prospection directe non sollicitées selon l’article 13 de la directive 2002/58/CE, WP 90, point 3.1, disponible à l’adresse suivante : https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2004/wp90_fr.pdf.

9      La dérogation à la règle du consentement préalable s’explique par la circonstance que, dans le cadre d’une relation client-fournisseur existante, il est raisonnable d’autoriser l’entreprise qui, dans le respect du RGPD, a obtenu les coordonnées électroniques de ses clients, à exploiter ces coordonnées, mais exclusivement cette entreprise, et seulement pour proposer aux clients des produits ou des services similaires (voir considérant 41 de la directive 2002/58). Or, tel n’est pas le cas dans le litige au principal, dès lors que les opérations de prospection commerciale directe n’émanent pas des FAI primo-collectants en vue de la proposition de produits ou services analogues. L’exception au consentement, prévue à l’article 13, paragraphe 2, de cette directive, n’est donc pas applicable.

10      Ce considérant indique que, aux fins de la présente directive, le consentement d’un utilisateur ou d’un abonné, que ce dernier soit une personne physique ou morale, devrait avoir le même sens que le consentement de la personne concernée tel que défini et précisé davantage par la directive 95/46.

11      Cette disposition du RGPD a ainsi pu être considérée comme plus exigeante que celle qui résultait de la directive 95/46, dont l’article 2, sous h), définissait les termes « consentement de la personne concernée » comme visant « toute manifestation de volonté, libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement [de données à caractère personnel] » (voir arrêt du 1er octobre 2019, Planet49 (C‑673/17, EU:C:2019:801, point 61). Voir, également, CEPD, lignes directrices 5/2020, du 4 mai 2020, sur le consentement au sens du règlement (UE) 2016/679, version 1.1, point 1, disponible à l’adresse suivante : https://www.edpb.europa.eu/documents/guideline/guidelines-052020-on-consent-under-regulation-2016679_fr.

12      Voir arrêts du 11 juillet 2024, Meta Platforms Ireland (Action représentative) (C‑757/22, ci-après l’« arrêt Meta Platforms Ireland », EU:C:2024:598, point 60), et, par analogie, du 4 septembre 2025, CEPD/CRU (Notion de données à caractère personnel) (C‑413/23 P, EU:C:2025:645, point 106).

13      Voir, en ce sens, arrêts du 11 novembre 2020, Orange Romania (C-61/19, EU:C:2020:901 point 40), et Meta Platforms Ireland (points 55, 56, 59 et 60). Sur le lien étroit entre la protection des données et la transparence, souligné par l’article 12 du RGPD, voir Bygrave, L. A., et Tosoni, L., « Article 4(11). Consent », dans Kuner, C., Bygrave, L. A., Docksey, C., et Drechsler, L., (dir.), The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Oxford, 2020, p. 184. Voir, également, Tambou, O., Manuel de droit européen de la protection des données à caractère personnel, Bruylant, Bruxelles, 2020, p. 129, no 141 et suiv., spéc. p. 134, no 144, et Dix, A., « Art. 12. Transparent information, communication and modalities for the exercise of the rights of the data subject », dans General Data Protection Regulation. Article-by-Article Commentary, Nomos, Baden-Baden, 2023, p. 434 à 447.

14      Voir conclusions de l’avocat général Cruz Villalón dans l’affaire Bara e.a. (C‑201/14, EU:C:2015:461, point 74) et conclusions de l’avocate générale Medina dans l’affaire Storstockholms Lokaltrafik (C‑422/24, EU:C:2025:623, point 1).

15      Voir arrêt Meta Platforms Ireland (point 58).

16      Voir arrêt Meta Platforms Ireland (point 59).

17      Il est défini comme tel par l’article 4, paragraphe 7, du RGPD. Voir, également, concernant la responsabilité conjointe, arrêt du 29 juillet 2019, Fashion ID (C‑40/17, EU:C:2019:629, point 106).

18      À ce stade, l’identification du destinataire n’est pas toujours possible et la notion de « catégorie de destinataires » permet de recueillir un consentement plus global.

19      La question des sous-traitants de Groupe Canal + qui réalisent pour son compte cette prospection commerciale n’est pas en cause ici.

20      Voir arrêt du 18 décembre 2025, Storstockholms Lokaltrafik (C-422/24, ci-après l’« arrêt Storstockholms Lokaltrafik », EU:C:2025:980, point 39). Voir, également, sur le champ d’application de l’article 14 du RGPD, arrêt du 28 novembre 2024, Másdi (C-169/23, EU:C:2024:988, point 55).

21      Voir arrêt Storstockholms Lokaltrafik (point 39).

22      Voir article 14, paragraphe 3, sous a), du RGPD. Voir, aussi, groupe de travail « Article 29 », Lignes directrices sur la transparence au sens du règlement (UE) 2016/679, 11 avril 2018, WP 260, rev. 01, point 28 (ci-après les « lignes directrices sur la transparence »), disponible à l’adresse suivante : https://www.edpb.europa.eu/documents/guideline/article-29-working-party-guidelines-on-transparency-under-regulation-2016679_fr.

23      Voir article 14, paragraphe 3, sous b), du RGPD.

24      Voir, sur la notion de « prospection directe », arrêt du 25 novembre 2021, StWL Städtische Werke Lauf a.d. Pegnitz (C-102/20, EU:C:2021:954, point 47). Voir, également, sur le caractère large de la notion de « prospection directe », groupe de travail « Article 29 », avis 5/2004, du 27 février 2004, portant sur les communications de prospection directe non sollicitées selon l’article 13 de la directive 2002/58/CE, WP 90, point 3.3.

25      Voir CEPD, lignes directrices 5/2020, du 4 mai 2020, sur le consentement au sens du règlement (UE) 2016/679, version 1.1, point 65, selon lequel « si le consentement sollicité doit servir de base à plusieurs responsables (conjoints) du traitement ou si les données doivent être transférées à, ou traitées par, d’autres responsables qui souhaitent se fonder sur le consentement original, ces organisations devraient toutes êtres nommées ».

26      Voir, sur cette méthode d’interprétation de la Cour, notamment, arrêt Storstockholms Lokaltrafik (point 28 et jurisprudence citée).

27      Voir, à cet égard, rappels effectués aux points 31 à 35 des présentes conclusions.

28      Voir arrêts du 5 mai 2011, Deutsche Telekom (C‑543/09, EU:C:2011:279, points 64 à 66), et du 27 octobre 2022, Proximus (Annuaires électroniques publics) (C‑129/21, EU:C:2022:833, points 48 à 50).

29      Voir arrêt du 27 octobre 2022, Proximus (Annuaires électroniques publics) (C‑129/21, EU:C:2022:833, point 50).

30      Le considérant 60 du RGPD prévoit notamment que le principe de traitement loyal et transparent « exige que la personne concernée soit informée de l’existence de l’opération de traitement et de ses finalités. Le responsable du traitement devrait fournir à la personne concernée toute autre information nécessaire pour garantir un traitement équitable et transparent, compte tenu des circonstances particulières et du contexte dans lesquels les données à caractère personnel sont traitées ». Le considérant 61 de ce règlement précise notamment que « [l]es informations sur le traitement des données à caractère personnel relatives à la personne concernée devraient lui être fournies au moment où ces données sont collectées auprès d’elle ou, si les données à caractère personnel sont obtenues d’une autre source, dans un délai raisonnable en fonction des circonstances propres à chaque cas. Lorsque des données à caractère personnel peuvent être légitimement communiquées à un autre destinataire, il convient que la personne concernée soit informée du moment auquel ces données à caractère personnel sont communiquées pour la première fois audit destinataire. Lorsqu’il a l’intention de traiter les données à caractère personnel à des fins autres que celles pour lesquelles elles ont été collectées, le responsable du traitement devrait, avant de procéder à ce traitement ultérieur, fournir à la personne concernée des informations au sujet de cette autre finalité et toute autre information nécessaire » (mise en italique par mes soins).

31      Voir, par analogie, arrêt du 1er octobre 2015, Bara e.a. (C-201/14, EU:C:2015:638, point 34), dans lequel la Cour souligne que l’exigence de traitement loyal des données personnelles oblige, par exemple, une administration publique à informer les personnes concernées de la transmission de ces données à une autre administration publique « en vue de leur traitement par cette dernière en sa qualité de destinataire desdites données » (mise en italique par mes soins). Voir, également, point 30 des lignes directrices sur la transparence.

32      L’article 15 du RGPD joue, en effet, un « rôle fonctionnel » et permet à la personne concernée d’exercer d’autres prérogatives prévues par le RGPD [voir conclusions de l’avocat général Pitruzzella dans l’affaire Österreichische Post (Informations relatives aux destinataires de données personnelles) (C‑154/21, EU:C:2022:452, point 33) ; voir, également en ce sens, arrêts du 12 janvier 2023, Österreichische Post (Informations relatives aux destinataires de données personnelles) (C‑154/21, EU:C:2023:3, points 38 et 39), ainsi que du 22 juin 2023, Pankki S (C‑579/21, EU:C:2023:501, point 58)].

33      Certains auteurs ont ainsi évoqué la transparence « passive » pour le responsable de traitement dans le cadre de l’article 15 du RGPD, en ce que la demande incombe à la personne concernée [voir Zanfir-Fortuna, G., « Article 15. Right of access by the data subject », dans Kuner, C., Bygrave, L. A., Docksey, C., et Drechsler, L. (dir.), The EU General Data Protection Regulation (GDPR). A Commentary, Oxford University Press, Oxford, 2020, p. 449 à 467]. Le droit à l’information est « au cœur du dispositif de protection » puisque la personne concernée ne peut exercer ses droits (et notamment le droit d’accès de l’article 15 du RGPD) lorsqu’elle ignore si elle fait l’objet d’un traitement ou non (voir Castets-Renard, C., « Titre 1 – Protection des données personnelles », dans Droit du marché unique numérique et intelligence artificielle, Bruylant, Bruxelles, 2020, 1re éd., p. 221 à 300, spéc. p. 270, no 341).

34      La délibération de la CNIL mentionne également cette possibilité à son point 27, où elle évoque une liste exhaustive et mise à jour « tenue à la disposition des personnes au moment du recueil de leur consentement, par exemple directement sur le support de collecte ou, si celle-ci est trop longue, via un lien hypertexte renvoyant vers ladite liste et les politiques de confidentialité des prestataires et fournisseurs ».

35      Voir, à cet égard, conclusions de l’avocat général Richard de la Tour dans l’affaire StWL Städtische Werke Lauf a.d. Pegnitz (C‑102/20, EU:C:2021:518, point 57).

36      Voir, notamment, Ruschemeier, H., « Data Brokers and European Digital Legislation », EDPL, vol. 9, no 1, 2023, p. 27 à 38.

37      Il s’agit ici de la lassitude de l’utilisateur qui, à force de trop de sollicitations, finit par donner son consentement de façon mécanique sans réfléchir, ou au contraire de renoncer à aller plus loin dans son utilisation du site. Voir, à cet égard notamment, l’initiative de la Commission d’« engagement contre les cookies » (cookies pledge) concernant notamment la réduction de la nécessité pour les consommateurs d’accepter ou de refuser constamment les cookies et autres traceurs, disponible à l’adresse suivante : https://commission.europa.eu/topics/consumers/consumer-rights-and-complaints/enforcement-consumer-protection/cookie-pledge_en.

38      Je m’inspire ici du point 49 du rapport explicatif, du Conseil de l’Europe, sur le protocole d’amendement à la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractères personnel, 10 octobre 2018, dite « Convention 108 + », du 18 mai 2018, concernant le fait que, afin d’établir si les finalités d’un traitement ultérieur sont compatibles avec celles pour lesquelles les données à caractère personnel ont été collectées initialement, le responsable du traitement, « après avoir respecté toutes les exigences liées à la licéité du traitement initial, devrait tenir compte, entre autres : de tout lien entre ces finalités et les finalités du traitement ultérieur prévu ; du contexte dans lequel les données à caractère personnel ont été collectées, en particulier des attentes raisonnables des personnes concernées, en fonction de leur relation avec le responsable du traitement, quant à l’utilisation ultérieure desdites données ; de la nature des données à caractère personnel ; des conséquences pour les personnes concernées du traitement ultérieur prévu ; et de l’existence de garanties appropriées à la fois dans le cadre du traitement initial et du traitement ultérieur prévu » (mise en italique par mes soins) (disponible à l’adresse suivante : https://rm.coe.int/16808ac91b).

39      Les plaintes à l’origine du litige au principal en sont la preuve.

40      Voir, à cet égard, lignes directrices sur la transparence, spécialement le tableau en annexe.

41      La comparaison effectuée par Groupe Canal + entre l’internaute et le consommateur européen moyen raisonnablement attentif et avisé pourrait s’avérer pertinente [voir, en ce sens, conclusions de l’avocat général Szpunar dans l’affaire Planet49 (C‑673/17, EU:C:2019:246, point 113) ; voir, également, sur les interactions entre la protection des données à caractère personnel et le droit de la consommation, conclusions de l’avocat général Richard de la Tour dans l’affaire Meta Platforms Ireland (C‑319/20, EU:C:2021:979, points 80 et 81)], étant soulignée la protection élevée du consommateur face au professionnel.

Poursuivez vos recherches dans ChatGPT ou Claude

Connectez Omnilex pour rechercher dans le corpus juridique depuis votre assistant IA.