Panorama rapide de l’actualité « Numérique » de la semaine du 21 septembre 2026

Données personnelles

RGPD : le consentement à la prospection suppose l’identification des partenaires

• Dans ses conclusions du 17 septembre 2026, l’avocat général Dean Spielmann estime que le consentement donné à un fournisseur d’accès pour la transmission des données à ses « partenaires » ne permet pas à ceux-ci de prospecter par voie électronique sans recueillir un nouveau consentement lorsque leur identité n’était pas connue lors de la collecte.
  Le Groupe Canal+ a formé un recours devant le Conseil d’État contre la délibération SAN-2023-015 du 12 octobre 2023, par laquelle la CNIL lui a infligé une amende pour des opérations de prospection commerciale menées à partir de données transmises par des fournisseurs d’accès à internet. Les abonnés avaient consenti à recevoir des sollicitations de la part des « partenaires » de leur FAI, sans que ces derniers soient individuellement identifiés, ce qui a conduit le Conseil d’État à interroger la CJUE sur la portée d’un tel consentement lorsque les données sont réutilisées par un autre responsable de traitement.
  L’avocat général rappelle que la prospection par courrier électronique est régie par l’article 13 de la directive 2002/58/CE, qui impose un consentement préalable libre, spécifique, éclairé et univoque. Cette exigence implique que la personne concernée connaisse les circonstances pertinentes du traitement, au premier rang desquelles l’identité du responsable qui utilisera effectivement les données. Faute d’identification de ce responsable au moment de la collecte, le consentement initial donné aux FAI ne peut, selon lui, valoir pour un tiers comme Canal+, de sorte qu’un nouveau consentement, suffisamment éclairé, doit être obtenu avant toute prospection
  À titre subsidiaire, l’avocat général se prononce sur le degré de précision requis pour une « catégorie de destinataires ». Il estime que celle-ci doit être suffisamment précise pour permettre à la personne concernée d’anticiper raisonnablement l’utilisation de ses données et d’identifier, au moment du traitement, le destinataire concerné. La seule référence aux « partenaires » du FAI ne permettrait pas, en l’espèce, de satisfaire à cette exigence. Il rattache cette exigence au principe de transparence du RGPD : l’information relative à l’identité du responsable du traitement doit être fournie aux personnes concernées sans qu’elles aient à exercer préalablement leur droit d’accès. (CJUE, concl. de l’avocat...