Jeu-concours et RGPD : les règles à respecter en 2026

L’essentiel. Le jeu-concours n’est presque plus encadré par le droit de la consommation — les articles qui imposaient un règlement type et son dépôt chez un officier ministériel ont été abrogés en 2014. Le risque juridique s’est déplacé sur le terrain des données personnelles, et il est réel : la CNIL a sanctionné la société TAGADAMEDIA pour l’apparence de ses formulaires de participation, et non pour le contenu de son règlement. Trois règles structurent un jeu-concours conforme : la participation ne peut pas être conditionnée à l’acceptation de la prospection ; la transmission des coordonnées à des partenaires suppose un consentement recueilli par l’organisateur, avec une liste de partenaires exhaustive et accessible ; et à compter du 11 août 2026, un numéro de téléphone collecté sans consentement téléphonique explicite ne sera plus exploitable en B2C.

Le jeu-concours est resté l’un des mécanismes d’acquisition les plus efficaces du marketing français : un lot attractif, un formulaire court, et une base de prospects qui se remplit en quelques jours. C’est aussi l’un des rares dispositifs où la CNIL a sanctionné non pas un fichier ou une durée de conservation, mais le dessin d’un bouton. Voici le cadre exact, ce que la formation restreinte a effectivement reproché, et ce que le Conseil d’État en a fait le 20 mai 2026.

Ce qu’il reste du droit de la consommation

Beaucoup de professionnels raisonnent encore avec le cadre d’avant 2014 : règlement obligatoire, inventaire des lots, bulletin de participation distinct de tout bon de commande, dépôt chez un huissier. Ces obligations n’existent plus. L’article 54 de la loi n° 2014-1545 du 20 décembre 2014 relative à la simplification de la vie des entreprises a abrogé les anciens articles L. 121-36-1 à L. 121-41 du Code de la consommation, et réécrit l’ancien article L. 121-36 pour renverser le principe : la loterie publicitaire devient licite, sauf déloyauté.

Ce qui subsiste tient donc en un seul article, recodifié par l’ordonnance n° 2016-301 du 14 mars 2016. L’article L. 121-20 du Code de la consommation dispose que :

« Dès lors qu’elles sont déloyales au sens de l’article L. 121-1, sont interdites les pratiques commerciales mises en œuvre par les professionnels à l’égard des consommateurs, sous la forme d’opérations promotionnelles tendant à l’attribution d’un gain ou d’un avantage de toute nature par la voie d’un tirage au sort, quelles qu’en soient les modalités, ou par l’intervention d’un élément aléatoire. »

Autrement dit : la loterie publicitaire est licite par principe, et ne devient illicite que si elle constitue une pratique commerciale déloyale. Le contrôle relève alors de la DGCCRF, sur le terrain de la tromperie du consommateur — un gain annoncé qui n’existe pas, des conditions de participation dissimulées, un lot dont la valeur est artificiellement gonflée.

Le règlement de jeu, lui, n’est plus une obligation légale mais reste un outil contractuel utile : il fixe les conditions de participation, la mécanique du tirage, la nature et la valeur des lots, les modalités de remise. Son dépôt auprès d’un commissaire de justice n’est plus imposé ; il conserve un intérêt probatoire en cas de contestation d’un participant. Dans mon expérience de conseil, c’est surtout la cohérence entre le règlement et le formulaire qui pose problème : un règlement irréprochable annexé à un formulaire qui, lui, ne recueille aucun consentement valable.

Car c’est bien là que le risque s’est déplacé.

Un jeu-concours, ce sont trois traitements distincts — pas un

L’erreur de conception la plus fréquente consiste à traiter le jeu-concours comme une opération unique. Sur le plan du RGPD, il faut en distinguer au minimum trois finalités, chacune avec sa propre base légale :

Finalité	Base légale	Commentaire
Organiser le jeu (enregistrer les participations, effectuer le tirage, remettre le lot)	Art. 6(1)(b) ou 6(1)(f)	La participation crée un lien contractuel avec le participant ; à défaut, l’intérêt légitime de l’organisateur se justifie aisément
Prospecter le participant pour son propre compte	Art. 6(1)(a) en B2C par voie électronique, Art. 6(1)(f) pour le courrier postal	Le canal commande la règle (art. L. 34-5 du CPCE), comme en prospection commerciale
Transmettre les coordonnées à des partenaires	Art. 6(1)(a) dans la quasi-totalité des cas	Voir la doctrine CNIL détaillée plus bas

Cette segmentation n’est pas un raffinement académique. Elle produit une conséquence opérationnelle immédiate : le participant doit pouvoir jouer sans accepter la prospection. L’article 7(4) du RGPD impose de tenir « le plus grand compte », pour apprécier le caractère libre du consentement, du point de savoir si l’exécution d’un contrat — y compris la fourniture d’un service — est subordonnée au consentement à un traitement qui n’est pas nécessaire à l’exécution de ce contrat. La prospection ne l’est jamais.

Concrètement, un formulaire qui ne permet de valider la participation qu’après avoir coché l’acceptation des offres partenaires ne recueille pas un consentement libre. Le traitement est alors privé de base légale — et c’est précisément le raisonnement que la CNIL a tenu. La règle vaut d’ailleurs pour tout dispositif d’acquisition : c’est le même écueil que celui du lead magnet conditionné, décrit dans mon guide sur la lead génération conforme.

L’affaire TAGADAMEDIA : sanctionné sur l’apparence du formulaire

Le 29 décembre 2023, la formation restreinte de la CNIL a prononcé une amende de 75 000 euros contre la société TAGADAMEDIA (délibération n° SAN-2023-025), rendue publique, accompagnée d’une injonction de mettre en place un formulaire conforme dans un délai d’un mois sous astreinte de 1 000 euros par jour de retard. La société exploite des sites de jeux-concours et de tests de produits par lesquels elle collecte des données de prospects, revendues ensuite à des annonceurs partenaires. Le contrôle s’inscrivait dans la thématique prioritaire « prospection commerciale » de 2022, avec une attention particulière portée aux courtiers en données.

Le montant représente environ 1,6 % du chiffre d’affaires de la société — un ratio qui mérite d’être retenu par les acteurs de la lead generation, dont les marges sont rarement compatibles avec ce niveau de prélèvement.

Deux manquements ont été retenus.

Le manquement à l’article 6 : le design comme vice du consentement

La société fondait ses traitements sur le consentement. La formation restreinte a jugé que l’apparence de ses formulaires ne permettait pas de recueillir un consentement libre, éclairé et univoque, pour deux motifs cumulés :

• la mise en valeur du bouton d’acceptation par rapport au bouton de refus, qui n’était pas mis en valeur de la même manière ;
• un texte incomplet et de taille réduite, incitant fortement l’utilisateur à accepter la transmission de ses données aux partenaires.

Le détail des formulaires examinés est plus instructif encore que le principe. Le premier ne comportait qu’un seul bouton, « JE VALIDE », le refus n’étant accessible que par un lien hypertexte noyé dans le corps du texte. Le deuxième comportait bien deux boutons, mais aucune mention n’expliquait les conséquences d’un clic sur « JE REFUSE » — d’où un consentement non éclairé. Le troisième, transmis en cours de procédure, présentait deux boutons de taille, de police et de couleur identiques ; il a pourtant été jugé non conforme, parce que leurs libellés (« J’ACCEPTE » / « ÉTAPE SUIVANTE ») laissaient croire à deux étapes successives d’un même parcours plutôt qu’à un choix.

La conséquence est brutale : sans consentement valable, le traitement est privé de base légale, donc illicite dans son intégralité — et non simplement irrégulier sur un point de forme.

C’est le point que la plupart des synthèses manquent. Il ne s’agissait ni d’une case pré-cochée, ni d’une politique de confidentialité absente. On est dans le champ des dark patterns interdits, avec une nuance décisive : la symétrie graphique ne suffit pas. L’asymétrie visuelle est un indice déterminant du vice du consentement, mais ce qui est sanctionné, c’est l’effet combiné du design et du libellé sur la compréhension réelle du choix offert.

Le 25 avril 2024, la CNIL a clôturé la procédure d’injonction (délibération n° SAN-2024-007) : trois nouveaux formulaires permettaient enfin un recueil conforme aux articles 4(11) et 6 du RGPD. La formation restreinte s’est appuyée d’abord sur le texte explicatif, dont la lecture permettait « de prendre pleinement conscience des conséquences d’un clic sur chacun des boutons », puis sur l’absence de mise en valeur de l’un par rapport à l’autre. La preuve, s’il en fallait, que le correctif est atteignable — encore faut-il le concevoir dès l’origine.

Le manquement à l’article 30 : qui est responsable de traitement ?

Second grief, moins commenté et pourtant très instructif : le registre des activités de traitement de TAGADAMEDIA, partagé avec une seconde société, ne précisait pas laquelle des deux agissait en qualité de responsable de traitement.

C’est un travers classique des écosystèmes de lead generation, où l’éditeur du site de jeu, la régie qui commercialise les leads et l’annonceur destinataire opèrent souvent sous une architecture juridique floue. La qualification des acteurs n’est pas une formalité déclarative : elle détermine qui doit informer les personnes, qui répond des demandes de droits, et qui sera poursuivi. Un registre qui ne tranche pas cette question est un registre non conforme à l’article 30 du RGPD.

Ce que le Conseil d’État a jugé le 20 mai 2026 — et ce qu’il n’a pas jugé

Par une décision n° 492836 du 20 mai 2026, le Conseil d’État a réformé la délibération et ramené l’amende à 50 000 euros. La lecture qui circule — « le Conseil d’État a désavoué la CNIL sur le design des formulaires » — est exactement l’inverse de ce qui a été jugé.

L’annulation est partielle et ciblée. Elle ne porte que sur une branche du manquement à l’article 6 : celle relative à la transmission aux partenaires de l’adresse postale et du numéro de téléphone de prospects n’ayant pas consenti. Le rapport de sanction analysait ce grief sous l’angle de l’article 5(1)(a) — un traitement déloyal ; la formation restreinte l’a requalifié sous l’article 6 dans sa décision, sans permettre à la société de présenter ses observations sur ce nouveau fondement. C’est un défaut de contradictoire dans la procédure de sanction : on ne peut pas être sanctionné sur un fondement juridique qui n’a pas été discuté.

Sur le fond du design des formulaires, le Conseil d’État a confirmé la CNIL. Il a jugé que c’est sans erreur d’appréciation que la formation restreinte a retenu que ces formulaires ne permettaient pas un consentement libre, spécifique, éclairé et univoque, dès lors que le bouton « je valide » était mis en valeur et que des ambiguïtés demeuraient. L’injonction a également été validée.

Pour les organisateurs de jeux-concours, la leçon reste donc entière — et désormais confirmée par le juge administratif : le formulaire est la pièce à charge.

Transmettre les coordonnées à des partenaires : la doctrine CNIL

C’est le cœur du modèle économique de la plupart des jeux-concours gratuits, et la CNIL a actualisé sa doctrine le 10 juin 2026. Elle distingue selon le canal que les partenaires utiliseront.

Prospection postale des partenaires : information et opposition

La transmission peut reposer sur l’intérêt légitime de l’organisme qui transmet. Deux conditions : informer préalablement les personnes (finalité de la transmission, catégories de destinataires — secteurs concernés, type de sollicitation, nombre approximatif de partenaires) et leur permettre de s’y opposer de manière simple et gratuite, au moment de la collecte et à tout moment ensuite.

En pratique, une case à cocher d’opposition suffit :

Je m’oppose à ce que mes coordonnées postales soient transmises aux partenaires [lien vers la liste des partenaires] de la société X à des fins de prospection commerciale par courrier postal.

La CNIL recommande en outre, à titre de bonne pratique, de mettre à disposition une liste exhaustive et à jour des partenaires, avec leur identité et un lien vers la politique de protection des données de chacun, accessible depuis le formulaire.

Prospection électronique ou téléphonique : consentement obligatoire

Dès que les partenaires entendent prospecter par courrier électronique, SMS ou automate d’appel — et, à compter du 11 août 2026, par téléphone — le consentement est requis, dans les mêmes termes que pour l’email marketing mené en direct. Et c’est l’organisme qui transmet qui doit le recueillir. Deux montages sont admis.

Cas n° 1 — l’organisateur recueille le consentement pour le compte de ses partenaires. C’est la solution recommandée par la CNIL. Elle suppose que les personnes soient clairement informées de l’identité des partenaires pour le compte desquels le consentement est collecté et des finalités poursuivies. Une liste exhaustive et à jour doit être accessible au moment du recueil : soit visible directement sur le support de collecte, soit accessible par lien hypertexte si elle est trop longue, avec les politiques de confidentialité des partenaires. Une seule case à cocher, décochée par défaut, peut couvrir à la fois la transmission et la prospection :

J’accepte que mon adresse électronique soit transmise aux partenaires [lien vers la liste des partenaires] de la société X à des fins de prospection commerciale par courrier électronique.

Cas n° 2 — l’organisateur ne recueille pas le consentement pour la prospection des partenaires. Le mécanisme se déroule alors en deux temps. L’organisateur informe d’abord sur l’objectif de la transmission et les catégories de destinataires (type de sollicitation, nombre approximatif de partenaires, secteur d’activité), et recueille le consentement à la seule transmission. Les partenaires doivent ensuite contacter les personnes pour recueillir leur propre consentement avant toute prospection. Ce message de sollicitation peut reposer sur l’intérêt légitime du partenaire, sous deux réserves que je vois systématiquement ignorées :

• la sollicitation ne doit pas faire la promotion de l’image du partenaire ni des biens et services qu’il commercialise — c’est une demande de consentement, pas un premier email marketing déguisé ;
• le nombre de sollicitations adressées à une même personne doit être limité, faute de quoi la prospection constitue une nuisance importante et l’intérêt légitime s’effondre.

La règle qui casse les chaînes de revente

Le point le plus structurant est aussi le plus simple : le consentement recueilli n’est valable que pour les partenaires identifiés. Un partenaire qui souhaite transmettre à son tour les données à ses propres partenaires doit recueillir un nouveau consentement, en respectant l’intégralité des règles ci-dessus.

Il n’existe donc pas de consentement « transitif » qui se propagerait le long d’une chaîne de courtiers. Un fichier revendu au troisième rang sans nouveau recueil est un fichier sans base légale, quel que soit le contrat qui l’accompagne. C’est la raison pour laquelle j’invite systématiquement les annonceurs qui achètent des leads à exiger, non pas une attestation de conformité, mais la copie du formulaire exact et la liste des partenaires telle qu’elle était affichée à la date du recueil.

L’obligation d’information des partenaires (Art. 14)

Enfin, tout partenaire qui reçoit les données doit informer la personne lors de sa première communication avec elle, et au plus tard dans un délai d’un mois. Cette information doit comporter le nom de la société qui a transmis les données — la source de la collecte — ainsi que les droits de la personne, dont le droit de s’opposer ou de retirer son consentement. C’est l’application directe de l’article 14 du RGPD, et c’est l’obligation la moins respectée de tout l’écosystème.

Le 11 août 2026 : les numéros de téléphone changent de statut

Une opération qui collecte des numéros de téléphone doit intégrer un bouleversement imminent. L’article 13 de la loi n° 2025-594 du 30 juin 2025 a réécrit l’article L. 223-1 du Code de la consommation : à compter du 11 août 2026, un consommateur ne pourra plus être démarché par téléphone sauf s’il a donné son consentement préalable et explicite, ou si l’appel concerne un contrat en cours.

Le texte d’application est paru : le décret n° 2026-662 du 23 juillet 2026 fixe les modalités de recueil, de conservation et de retrait de ce consentement. Trois règles y méritent d’être retenues par tout organisateur de jeu-concours :

• la période couverte par le consentement ne peut excéder un an à compter de sa date de recueil — un numéro collecté lors d’une opération de septembre 2026 devient inexploitable un an plus tard, sans nouveau recueil ;
• la preuve du consentement doit être conservée sous format numérique pendant trois ans, avec horodatage et contenu de l’information délivrée ;
• le retrait ne peut pas être rendu plus difficile que le recueil, et le consommateur peut l’exprimer oralement, en cours d’appel.

Pour les jeux-concours, la conséquence est directe. Un numéro collecté dans un formulaire de participation, sans consentement spécifique visant expressément la prospection téléphonique, ne sera plus exploitable en B2C — ni par l’organisateur, ni par ses partenaires. Les fichiers constitués sur un simple modèle d’opt-out, ou sur une formulation générique du type « j’accepte de recevoir des offres », ne survivront pas au changement de régime. Le détail des exceptions et du calendrier figure dans mon guide sur le démarchage téléphonique et la loi opt-in.

Il faudra donc séparer les canaux dans le formulaire : email, SMS et téléphone ne pourront plus être couverts par une case unique dès lors que les régimes juridiques divergent et que les durées de validité ne sont pas les mêmes. C’est aussi la logique générale de l’opt-in et de l’opt-out selon la cible et le canal.

Les mineurs : le point aveugle des jeux-concours

Un jeu-concours grand public — lot high-tech, place de concert, console de jeu — attire mécaniquement des mineurs. L’article 8 du RGPD et l’article 45 de la loi Informatique et Libertés fixent en France le seuil à 15 ans : en dessous, le consentement au traitement doit être donné conjointement par le mineur et par le titulaire de l’autorité parentale, et le responsable de traitement doit « s’efforcer raisonnablement » de le vérifier.

Deux réflexes minimaux :

• écarter les mineurs par le règlement et par une déclaration d’âge au formulaire, lorsque la mécanique n’a pas vocation à les cibler ;
• ne jamais transmettre à des partenaires les données d’un participant déclaré mineur, la revente de données d’enfants étant l’un des scénarios les plus exposés en cas de contrôle.

Le sujet est développé dans mon guide sur les données des mineurs et le RGPD.

Conservation, registre et preuve

Durées de conservation

Trois horizons distincts, qu’il faut poser noir sur blanc dans le registre :

Donnée	Durée usuelle	Fondement
Participations non gagnantes	Durée du jeu + délai de contestation	Nécessité de la finalité (art. 5(1)(e))
Coordonnées de prospect (si consentement)	3 ans à compter de la collecte ou du dernier contact émanant du prospect	Doctrine CNIL sur la gestion des activités commerciales
Justificatifs de remise des lots (gagnants)	Selon obligations comptables et fiscales	Obligation légale distincte

Le point de vigilance porte sur la base « prospects », et il est plus strict qu’on ne le croit : le délai court à compter du dernier contact émanant du prospect — un clic, une réponse, une nouvelle participation. Un email que vous envoyez ne réarme pas le compteur. Un participant qui n’a jamais rien ouvert n’est pas un contact actif, quelle que soit la fréquence de vos campagnes. Le principe de limitation de la conservation impose une purge automatisée, pas une intention.

Le registre, encore

Le grief article 30 retenu contre TAGADAMEDIA n’est pas anecdotique. Un jeu-concours avec transmission à des partenaires suppose de documenter, pour chaque finalité : la base légale, les catégories de destinataires, les durées, et surtout la qualification exacte de chaque acteur — responsable de traitement, responsables conjoints au sens de l’article 26, ou sous-traitant au sens de l’article 28. Cette cartographie doit être maintenue à jour à chaque campagne, chaque nouveau partenaire, chaque changement de mécanique. C’est typiquement le type de documentation vivante que Legiscope automatise pour les équipes marketing qui lancent plusieurs opérations par trimestre.

La preuve du consentement : ce qui arrive

Le 22 janvier 2026, la CNIL a annoncé l’ouverture d’une concertation en vue d’une recommandation sur la preuve du consentement en marketing, en associant les organisations professionnelles, les éditeurs de solutions de gestion du consentement et la société civile. Le communiqué vise explicitement les « chaînes de traitements complexes (courtiers en données) » — soit exactement le modèle des jeux-concours à partenaires.

La recommandation n’est pas publiée à ce jour, mais l’exigence, elle, existe déjà : l’article 7(1) du RGPD impose au responsable de traitement d’être en mesure de démontrer que la personne a consenti. Ce n’est pas une cinquième qualité du consentement — les quatre qualités (libre, spécifique, éclairé, univoque) sont définies à l’article 4(11) — mais une obligation de preuve autonome, qui s’ajoute à elles. Sans attendre le texte, je recommande de journaliser pour chaque participation :

• l’horodatage du recueil et l’identifiant de la campagne ;
• le texte exact soumis à la personne, et la version du formulaire (avec archivage des captures successives) ;
• le périmètre du consentement : canaux couverts (email, SMS, téléphone), partenaires nommés ;
• la liste des partenaires telle qu’affichée à cette date — c’est la pièce que personne ne conserve et que la CNIL demandera ;
• la source de collecte (site, landing page, opération offline).

Plan d’action pour un jeu-concours conforme

Étape	Action
1	Rédiger le règlement de jeu (non obligatoire, mais probatoire) et vérifier sa cohérence avec le formulaire
2	Découper les finalités : participation / prospection propre / transmission aux partenaires
3	Rendre la participation possible sans accepter la prospection (Art. 7(4))
4	Traiter acceptation et refus avec une présentation graphique équivalente et des libellés explicites sur les conséquences de chaque clic
5	Séparer les canaux : email, SMS, téléphone (régimes distincts à compter du 11 août 2026)
6	Publier une liste exhaustive et datée des partenaires, avec lien vers leurs politiques
7	Insérer les mentions de l’article 13 au formulaire, y compris durées et destinataires
8	Filtrer les mineurs de moins de 15 ans et ne jamais transmettre leurs données
9	Contractualiser avec les partenaires : qualification des rôles, obligation d’information Art. 14, interdiction de retransmission
10	Journaliser la preuve du consentement et archiver chaque version du formulaire
11	Inscrire les traitements au registre en tranchant la qualification de chaque acteur
12	Programmer la purge : 3 ans après la collecte ou le dernier contact émanant du prospect

Ce qu’il faut retenir

• Le droit de la consommation n’encadre presque plus les jeux-concours : la loi n° 2014-1545 du 20 décembre 2014 a abrogé les anciens articles L. 121-36-1 à L. 121-41 et renversé le principe. Seul subsiste l’article L. 121-20, qui n’interdit la loterie publicitaire que si elle est déloyale.
• Le risque s’est déplacé sur le RGPD, et il porte sur le formulaire. La CNIL a sanctionné TAGADAMEDIA (SAN-2023-025, 75 000 €, soit environ 1,6 % du chiffre d’affaires) pour la mise en valeur du bouton d’acceptation par rapport au refus et pour un texte incomplet en taille réduite.
• La décision du Conseil d’État du 20 mai 2026 (n° 492836) n’est pas un assouplissement. L’amende est ramenée à 50 000 € pour un motif de procédure limité à une branche du grief — requalification sous l’article 6 d’un manquement retenu sous l’article 5 dans le rapport, sans débat contradictoire. Sur le fond, le juge a confirmé l’analyse de la CNIL sur les formulaires et validé l’injonction.
• La symétrie graphique ne suffit pas : le troisième formulaire de TAGADAMEDIA avait deux boutons identiques et a quand même été jugé non conforme, à cause de leurs libellés (« J’ACCEPTE » / « ÉTAPE SUIVANTE »). C’est l’effet combiné du design et du libellé qui est apprécié.
• La participation ne peut jamais être conditionnée à l’acceptation de la prospection (Art. 7(4) RGPD) : à défaut, le consentement n’est pas libre et le traitement est privé de base légale.
• Le consentement à la transmission n’est valable que pour les partenaires nommés : aucune propagation le long d’une chaîne de courtiers, et information par chaque partenaire au plus tard dans le mois (Art. 14(3)).
• À compter du 11 août 2026, un numéro de téléphone sans consentement téléphonique explicite sera inexploitable en B2C (loi n° 2025-594 du 30 juin 2025, art. L. 223-1 C. conso), avec un consentement valable un an au plus et une preuve à conserver trois ans (décret n° 2026-662 du 23 juillet 2026).

FAQ

Le règlement d’un jeu-concours doit-il être déposé chez un huissier ?

Non, ce n’est plus une obligation légale : les dispositions qui l’imposaient (anciens articles L. 121-36-1 et suivants du Code de la consommation) ont été abrogées par la loi n° 2014-1545 du 20 décembre 2014. Le dépôt auprès d’un commissaire de justice conserve un intérêt probatoire en cas de contestation d’un participant sur la mécanique ou l’attribution d’un lot, mais il ne conditionne pas la licéité de l’opération.

Peut-on obliger un participant à accepter de recevoir des offres commerciales pour jouer ?

Non. L’article 7(4) du RGPD impose de tenir le plus grand compte, pour apprécier le caractère libre du consentement, du point de savoir si l’exécution d’un contrat — y compris la fourniture d’un service — est subordonnée au consentement à un traitement qui n’est pas nécessaire à l’exécution de ce contrat. La prospection n’est jamais nécessaire à l’organisation d’un jeu. Un formulaire qui bloque la participation tant que la case « offres partenaires » n’est pas cochée recueille un consentement invalide, ce qui prive le traitement de base légale.

Faut-il nommer chaque partenaire destinataire des données ?

Oui, dès lors que le consentement est requis, c’est-à-dire pour la prospection par email, SMS, automate d’appel ou téléphone. La CNIL exige qu’une liste exhaustive et à jour des partenaires soit accessible au moment du recueil, directement sur le formulaire ou par lien hypertexte, avec un renvoi vers la politique de confidentialité de chacun. Pour la seule prospection postale, une information sur les catégories de destinataires suffit, la liste nominative n’étant alors qu’une bonne pratique recommandée.

Un bouton « Accepter » plus visible que le bouton « Refuser » est-il vraiment sanctionnable ?

Oui, et c’est le principal enseignement de l’affaire TAGADAMEDIA, confirmé sur ce point par le Conseil d’État le 20 mai 2026. La formation restreinte a retenu que la mise en valeur du bouton d’acceptation, combinée à un texte incomplet et de taille réduite, incitait fortement l’utilisateur à accepter — ce qui prive le consentement de son caractère libre, éclairé et univoque. Attention toutefois : rétablir la symétrie graphique ne suffit pas. Un troisième formulaire, dont les deux boutons étaient de taille, de police et de couleur identiques, a lui aussi été jugé non conforme parce que ses libellés (« J’ACCEPTE » / « ÉTAPE SUIVANTE ») laissaient croire à deux étapes successives.

Que devient une base de prospects collectée avant le 11 août 2026 ?

Les adresses email restent exploitables si le consentement recueilli visait bien la prospection électronique et, le cas échéant, les partenaires nommés. Les numéros de téléphone, en revanche, ne pourront plus servir à du démarchage B2C sans un consentement préalable explicite portant sur ce canal. Une formulation générique du type « j’accepte de recevoir des offres » ne suffit pas à couvrir l’appel téléphonique sous le nouveau régime de l’article L. 223-1 du Code de la consommation, et le décret n° 2026-662 du 23 juillet 2026 limite en outre à un an la période couverte par ce consentement.

---

Recevez nos analyses conformité chaque semaine. RGPD, prospection, AI Act, droit de la consommation : une lecture par semaine pour suivre la réglementation sans y passer vos soirées. Inscrivez-vous à la newsletter.

---