Une société qui a constitué un traitement à partir de données recueillies sur un site internet concurrent et malgré l’opposition des personnes concernées à l’utilisation de leurs données à des fins de prospection commerciale ne saurait être regardée comme ayant respecté les principes énoncés au 1° de l’article 6 de la loi n°78‑17 du 6 janvier 1978, qui imposent à l’auteur d’un traitement de collecter de manière loyale les données à caractère personnel sur lesquelles porte le traitement.

Pour vendre les données à des partenaires en vue qu'ils les utilisent pour de la prospection commerciale par voie électronique, un responsable du traitement doit recueillir, sur le support de collecte des données, le consentement libre, spécifique, informé et univoque par lequel les personnes concernées acceptent, par une déclaration ou un acte positif clair, une telle transmission de leurs données.

Le consentement à la revente des données ne dispense pas que le consentement des personnes soit également recueilli, en application de l’article L. 34‑5 du code des postes et des communications électroniques, pour l'utilisation de leurs données à des fins de prospection commerciale par voie électronique. Ce consentement à la réception de prospection peut être recueilli soit par les opérateurs ayant acheté ou reçu les données et qui les utiliseront concrètement pour envoyer des messages de prospection, soit par le primo‑collectant qui souhaite les transmettre à des partenaires. Dans ce dernier cas, ce consentement peut alors être recueilli globalement pour la transmission et la prospection commerciale, mais cela implique que le primo‑collectant puisse fournir la liste exhaustive des partenaires ainsi autorisés, comme responsables de traitement, à utiliser les données pour de la prospection électronique.

Dans le contexte d'une transmission de données à des tiers afin qu'ils les utilisent pour de la prospection commerciale, le recueil d'un consentement spécifique implique que la personne soit en mesure de marquer son assentiment particulier à la transmission de ses données à des tiers, qui l'utiliseront pour de la prospection commerciale. L'exigence de spécificité du consentement exclut l'obtention d'un consentement global donné à la fois aux conditions générales contractuelles régissant un service et pour l'ensemble des finalités d'un traitement.

Dans le contexte d'une transmission de données à des partenaires en vue qu'ils les utilisent pour de la prospection commerciale, le recueil d'un consentement éclairé requiert en particulier d'informer les personnes concernées de l'étendue de la transmission de leurs données. À cet égard, des indications relatives au nombre et au secteur d'activité des partenaires rendus destinataires des données avant toute transmission sont de nature à éclairer les personnes concernées quant à l'utilisation ultérieure qui sera faite de leurs données.

Le droit d’opposition au traitement de données personnelles, contrairement à l’acceptation d’un tel usage, doit être spécifique, informé et dénué de toute ambiguïté. Il est considéré comme valablement exprimé même s’il l’est de façon générale. La circonstance, d’une part, que le droit d’opposition soit manifesté par un acte d’abstention plutôt que par un acte positif, d’autre part, qu’il soit exprimé d’une manière large en visant « tout démarchage commercial », est sans incidence sur la validité de l’expression du refus de prospection ultérieure.

Un SMS de prospection doit informer la personne de ce qu’elle peut s’opposer gratuitement au traitement de ses données.

Est-il illégal un dispositif qui informe la personne qu’il est possible de s’opposer au traitement en adressant un SMS ou un appel téléphonique payants dans le message de prospection reçu par SMS, ou en remplissant un formulaire sur internet, sans que cette faculté ait été mentionnée dans le SMS de prospection ?

Il revient à la société traitant des données à caractère personnel à des fins de prospection commerciale de mettre en place un mécanisme permettant une prise en compte effective du droit d'opposition exprimé par les personnes faisant l'objet de prospection téléphonique en application de l'article 21 du RGPD. Elle doit, à ce titre, être en mesure de s'assurer, dans le temps, que l'opposition exprimée par les intéressés est respectée et que les personnes ayant fait part de leur opposition ne reçoivent plus d'appels de prospection. Un tel mécanisme peut prendre la forme d'une liste repoussoir ou d'un système équivalent.

1) S’agissant de l’exigence d’obtenir un consentement préalable à la prospection commerciale par voie électronique, il résulte de l’article 2, second alinéa, sous f), de la directive 2002/58, lu en combinaison avec l’article 94, paragraphe 2, du règlement 2016/679, que ce consentement doit satisfaire aux exigences résultant de l’article 2, sous h), de la directive 95/46 ou de l’article 4, point 11, de ce règlement, selon que l’une ou l’autre de ces deux normes est applicable ratione temporis aux faits en cause au principal.

2) Lorsqu’un service gratuit de messagerie électronique est proposé aux utilisateurs sous la forme de deux catégories de services de messageries, à savoir, d’une part, un service de messagerie gratuit, financé par la publicité et, d’autre part, un service de messagerie payant, sans publicité, il appartient à la juridiction de renvoi de déterminer si l’utilisateur concerné, ayant opté pour la gratuité du service de messagerie électronique, a été dûment informé des modalités précises de diffusion d’une telle publicité et a effectivement consenti à recevoir des messages publicitaires tels que ceux en cause au principal. En particulier, il y a lieu de s’assurer, d’une part, que cet utilisateur a été informé de manière claire et précise notamment du fait que des messages publicitaires sont affichés au sein de la liste des courriels privés reçus et, d’autre part, qu’il a manifesté son consentement spécifique et en pleine connaissance de cause à recevoir de tels messages publicitaires (voir, en ce sens, arrêt du 11 novembre 2020, Orange Romania, C‑61/19, EU:C: 2020:901, point 52).

Des messages publicitaires qui visent la promotion de services, diffusés sous la forme d'un courrier électronique, de telle sorte qu'ils apparaissent directement dans la boîte de réception de la messagerie électronique privée de l'utilisateur concerné, permettent de qualifier ces messages de communications visant la prospection directe, au sens de l'article 13, paragraphe 1, de la directive 2002/58.

Le choix aléatoire ou prédéfini du destinataire ne constitue pas une condition de l'application de l'article 13, paragraphe 1, de la directive 2002/58. En d'autres termes, il importe peu que la publicité en cause soit adressée à un destinataire prédéterminé et individuellement identifié ou bien qu'il s'agisse d'une diffusion massive et aléatoire auprès de multiples destinataires. Ce qui importe est qu'il existe une communication à finalité commerciale qui atteint directement et individuellement un ou plusieurs utilisateurs de services de messagerie électronique en étant insérée dans la boîte de réception du compte de messagerie électronique de ces utilisateurs.

1) Pour vendre les données à des partenaires afin qu'ils les utilisent pour de la prospection commerciale par voie électronique, un responsable du traitement doit recueillir, sur le support de collecte des données, le consentement libre, spécifique, informé et univoque par lequel les personnes concernées acceptent, par une déclaration ou un acte positif clair, une telle transmission de leurs données.

2) Le consentement à la revente des données ne dispense pas que le consentement des personnes soit également recueilli, en application de l'article L.34-5 du code des postes et des communications électroniques (CPCE), pour l'utilisation de leurs données à des fins de prospection commerciale par voie électronique. Ce consentement à la réception de prospection peut être recueilli par les opérateurs ayant acheté ou reçu les données et qui les utiliseront concrètement pour envoyer des messages de prospection, soit par le primo‑collectant qui souhaite les transmettre à des partenaires. Dans ce dernier cas, ce consentement peut alors être recueilli globalement pour la transmission et la prospection commerciale, mais cela implique que le primo‑collectant puisse fournir la liste exhaustive des partenaires ainsi autorisés, comme responsables de traitement, à utiliser les données pour de la prospection électronique.