Se protéger du phishing, du spam et du démarchage : guide complet

Un courriel qui demande de « vérifier votre compte », un SMS d'un numéro inconnu, un téléphone qui sonne plusieurs fois par jour : ces situations ont des origines différentes, mais les réponses se recoupent. Ce guide les prend dans l'ordre : reconnaître, signaler, réagir, puis limiter les sollicitations à la source.

Il s'appuie uniquement sur sept pages publiées par la CNIL. Quand ces pages ne précisent pas un point, nous le disons plutôt que de combler le vide.

Que faire en premier

Si vous venez de recevoir un message qui vous inquiète, voici l'ordre simple que proposent les pages de la CNIL.

1. Ne répondez pas.
2. N'ouvrez ni les pièces jointes, ni les images, ni les liens contenus dans le message.
3. Ne transmettez rien de confidentiel. Aucun organisme n'a le droit de vous demander votre code de carte bancaire, vos codes d'accès ou vos mots de passe.
4. Signalez le message. Signal Spam pour un courriel, le 33700 pour un SMS.
5. Supprimez le message, puis videz la corbeille. Sur une messagerie professionnelle, transférez-le d'abord au service informatique et attendez sa réponse avant de supprimer.
6. Si vous avez déjà communiqué des données bancaires, prévenez immédiatement votre banque et surveillez vos relevés.

Les sections suivantes détaillent chaque point. Si votre situation est plutôt un harcèlement téléphonique ou une usurpation d'identité, passez directement aux sections correspondantes.

Spam, scam, phishing : de quoi parle-t-on ?

La CNIL distingue plusieurs choses derrière les messages que l'on reçoit par messagerie, par SMS ou par téléphone.

Le spam, ou pourriel

Il s'agit de messages publicitaires non sollicités. C'est agaçant, mais ce n'est pas forcément une escroquerie. Le démarchage, lui, désigne les sollicitations commerciales non voulues. Il peut passer par le courriel, le SMS, le courrier ou le téléphone.

Le scam, ou escroquerie

La CNIL décrit des scénarios classiques :

• un inconnu vous propose de servir d'intermédiaire, contre rémunération, pour une transaction financière internationale ;
• on vous annonce un gain à une loterie à récupérer ;
• on vous invite à le contacter pour percevoir un héritage.

Dans tous les cas, on vous invite à communiquer vos coordonnées. On vous demande ensuite de verser une avance ou des frais, sans que vous obteniez rien en retour. La CNIL mentionne aussi la « fraude 419 » comme escroquerie de ce type.

Le phishing, ou hameçonnage

Le fraudeur se fait passer pour un organisme qui vous est familier : une banque, l'administration fiscale, une caisse de sécurité sociale. Il utilise son logo et son nom. Dans son courriel, il vous demande de « mettre à jour » ou de « confirmer suite à un incident technique » des données, notamment bancaires.

La CNIL précise que ces tentatives peuvent aussi viser à récupérer de l'argent ou à vous faire ouvrir un fichier contenant un virus informatique. Elle note que ces techniques évoluent constamment : les conseils qui suivent aident à juger, ils ne remplacent pas votre vigilance.

Reconnaître un message malveillant

La CNIL propose une série de questions à se poser. Aucune ne suffit seule. C'est leur accumulation qui doit alerter.

Le message vous est-il réellement destiné ?

Les messages malveillants sont généralement envoyés à un grand nombre de cibles. Ils sont peu ou pas personnalisés. Un message qui évoque un dossier, une facture ou un thème qui ne vous parle pas est, selon la CNIL, « certainement » un courriel malveillant.

Connaissez-vous l'expéditeur ?

Soyez particulièrement vigilant avec une adresse que vous ne connaissez pas ou qui ne figure pas dans vos contacts.

Un point mérite toutefois d'être bien compris : l'adresse de l'expéditeur n'est pas un critère fiable. Une adresse qui semble venir d'un ami, de votre entreprise ou d'un collaborateur peut facilement être usurpée. Seule une investigation poussée permet de confirmer la source d'un courrier électronique.

Si le message semble venir d'un ami, par exemple pour l'aider à récupérer l'accès à son compte, contactez-le sur un autre canal pour vérifier que c'est bien lui.

Le langage est-il crédible ?

La CNIL reconnaît que c'est de moins en moins vrai, mais certains courriels malveillants sont mal écrits. Des erreurs de frappe, des fautes d'orthographe ou des expressions inappropriées indiquent qu'il ne s'agit pas de l'œuvre d'un organisme crédible, banque ou administration par exemple.

L'inverse ne prouve rien : la CNIL note elle-même que ce signe est de moins en moins fréquent.

Où mènent les liens ?

Avant de cliquer, laissez la souris sur le lien. Le lien complet apparaît. Vérifiez qu'il est cohérent et pointe vers un site légitime. La CNIL donne des exemples de noms de domaine à ne pas croire :

• impots.gouvv.fr ;
• impots.gouvfr.biz ;
• infocaf.org, à la place de www.caf.fr.

La CNIL ajoute que cette manipulation est parfois difficile, voire impossible, depuis un écran de smartphone.

La demande est-elle étrange ?

Posez-vous la question de la légitimité de ce qu'on vous demande. Rappel utile : aucun organisme n'a le droit de vous demander votre code de carte bancaire, vos codes d'accès et vos mots de passe. Ne transmettez rien de confidentiel, même à la demande d'une personne qui annonce faire partie de votre entourage.

Une grille de lecture rapide

Comment réagir face à un message douteux

Selon la CNIL, si vous avez un doute, il y a de fortes chances que le message ne soit pas légitime. Voici la conduite à tenir, telle que les pages la décrivent.

Les gestes immédiats

• N'ouvrez pas les pièces jointes. Ne répondez pas.
• N'ouvrez pas non plus les images ni les liens du message.
• Si le message est arrivé comme un spam, signalez-le à Signal Spam.
• Supprimez le message, puis videz la corbeille.

Si c'est votre messagerie professionnelle

Transférez le message au service informatique et au responsable de la sécurité des systèmes d'information de votre entreprise, pour vérification. Attendez leur réponse avant de supprimer le courriel.

Pour limiter les risques à l'avenir

La CNIL recommande :

• d'utiliser un logiciel de filtre anti-pourriel, ou d'activer l'option d'avertissement contre les sites dangereux présente sur la plupart des navigateurs ;
• d'installer un antivirus et de le mettre à jour ;
• de désactiver le volet de prévisualisation des messages ;
• de lire vos messages en mode texte brut.

La page sur l'usurpation d'identité ajoute des réflexes de prudence : ne cliquez jamais sur les liens de messages dont vous n'êtes pas certain de la provenance. Lorsque vous saisissez des informations confidentielles, par exemple sur un site bancaire, vérifiez que l'adresse commence par « https » et qu'un cadenas la précède.

Signaler : quelle plateforme pour quel message

Selon la CNIL, les signalements permettent d'identifier et d'agir contre les expéditeurs de spam. Les plateformes ne couvrent pas toutes les mêmes situations.

Signal Spam

L'inscription sur www.signal-spam.fr est gratuite. Vous pouvez ensuite télécharger une extension pour votre logiciel de messagerie (Thunderbird, Outlook ou Mail pour Mac). Si vous consultez votre boîte sur un site internet, une extension pour votre navigateur (Chrome, Safari, Firefox) existe aussi. Le signalement se fait ensuite en un clic. Selon la CNIL, ces modules vous protègent en outre contre le phishing.

Les signalements permettent d'agir contre les spammeurs au niveau national, avec les professionnels de l'internet et les autorités compétentes. Grâce aux alertes reçues, la CNIL déclenche des enquêtes et des contrôles sur place, et peut être amenée à sanctionner les spammeurs.

PHAROS

La plateforme PHAROS est accessible sur internet-signalement.gouv.fr. Elle permet notamment de signaler les sites dont le contenu est illicite. Le signalement est traité par un service de police judiciaire spécialisé, l'Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication (OCLCTIC).

Après vérification, les signalements sont orientés vers un service d'enquête. Une enquête pénale peut être ouverte, sous l'autorité du procureur de la République. Si le contenu est conçu à l'étranger, il est transmis à Interpol, qui l'oriente vers les autorités judiciaires du pays concerné.

La CNIL précise que ces plateformes, Signal Spam et PHAROS, ne concernent que les courriels et les sites web.

Le 33700 pour les SMS et MMS

Pour un SMS ou un MMS non sollicité, vous pouvez transférer le message abusif au 33700. Ce dispositif d'alerte par SMS a été créé par les opérateurs télécoms, les éditeurs de services et les hébergeurs.

Après le transfert, vous recevez un message qui vous demande d'envoyer au 33700 le numéro depuis lequel vous avez reçu le SMS. Ces informations sont transmises aux opérateurs, y compris le vôtre, qui peuvent agir rapidement auprès des organismes à l'origine de ces envois.

L'envoi est gratuit pour les clients de Bouygues Telecom, d'Orange et de SFR. Pour les autres opérateurs, il peut être facturé au prix d'un SMS normal. Plus d'informations sont disponibles sur www.33700.fr.

Selon la CNIL, plus un opérateur reçoit de signalements, plus il peut agir : couper le numéro émetteur du spam, couper le numéro de téléphone payant ou le numéro de SMS payant. Dans les cas les plus graves, il peut constituer et transmettre une plainte aux services de police.

Info Escroqueries et Cybermalveillance

Si vous êtes victime d'une escroquerie en ligne, la CNIL oriente vers PHAROS et vers Info Escroqueries au 0 805 805 817. Ce numéro vert, gratuit depuis la France, répond du lundi au vendredi de 9 h à 18 h 30. Il sert à s'informer sur les escroqueries, ou à signaler un site internet ou un courriel d'escroquerie, un vol de coordonnées bancaires ou une tentative d'hameçonnage.

La plateforme cybermalveillance.gouv.fr s'adresse aux particuliers, aux entreprises et aux administrations. On y trouve des conseils, des vidéos pour sensibiliser son entourage, et des services de proximité en cas de dommages causés par une attaque informatique.

Réagir face à une usurpation d'identité

Le phishing sert parfois à autre chose qu'à vider un compte. Il peut alimenter une usurpation d'identité. La page de la CNIL sur ce sujet date de 2011 : certains exemples sont anciens, mais la démarche reste détaillée.

Ce que recouvre l'usurpation

L'usurpation d'identité consiste à utiliser, sans votre accord, des informations permettant de vous identifier : nom et prénom, adresse électronique, photographies. Ces informations peuvent servir à souscrire un crédit ou un abonnement sous votre identité, à commettre des actes répréhensibles ou à nuire à votre réputation.

La CNIL distingue deux cas en ligne :

• Nuire à la réputation. L'usurpateur crée un faux profil ou un blog, ou rédige des commentaires sous l'identité de sa victime.
• Récupérer des informations. Il envoie un message en se faisant passer pour un organisme connu, puis récupère des informations via un faux site ou un faux courriel. Elles servent à accéder à des comptes sécurisés et à y agir sous votre identité.

Ces informations peuvent aussi servir à pirater des comptes de messagerie ou des comptes Facebook, utilisés ensuite pour propager des arnaques. L'usurpateur peut enfin se faire passer pour un particulier, par exemple un propriétaire lors d'une location immobilière. Il peut alors récupérer une copie de carte d'identité ou des données bancaires.

Les précautions autour de vos identifiants

La CNIL recommande :

• des mots de passe complexes, mêlant chiffres, lettres et caractères spéciaux, sans date de naissance ni surnom ;
• de ne partager vos mots de passe avec personne et de ne pas les noter sur un post-it ou sur votre téléphone ;
• de ne jamais enregistrer les mots de passe dans le navigateur si vous partagez votre ordinateur ;
• d'effacer régulièrement vos cookies et votre historique de navigation ;
• de ne pas utiliser le même mot de passe pour plusieurs applications ;
• de vérifier scrupuleusement vos relevés bancaires pour repérer tout prélèvement anormal.

Étape 1 : vérifier qu'il ne s'agit pas d'un homonyme

Assurez-vous que le compte ou l'information n'appartient pas à un homonyme. Si c'est le cas, la CNIL est claire : il ne s'agit en aucun cas d'une usurpation d'identité.

Vos photos ont peut-être aussi été réutilisées. Un moteur de recherche inversé, comme TinEye ou Google Images, permet de charger l'image ou d'indiquer son URL. Il identifie alors les sites qui la réutilisent publiquement. La CNIL ajoute : si besoin, conservez une capture de cette démarche.

Étape 2 : constituer un dossier

Si l'usurpation vous semble avérée, la CNIL conseille de réunir les éléments qui montrent qu'il s'agit bien de vos informations et non de celles d'un homonyme :

• les adresses URL des pages ou profils concernés ;
• des captures d'écran du faux profil et de ses publications ;
• les justificatifs qui vous semblent pertinents.

Étape 3 : demander au site d'intervenir

En tant que victime, vous pouvez demander l'arrêt de la diffusion de vos informations en vous adressant au responsable du site, pour exiger leur suppression. La CNIL renvoie vers les pages de signalement de Facebook, de Twitter, de Snapchat et du compte Google.

Vous devrez fournir la preuve que votre identité a été usurpée, et ces services peuvent demander des documents complémentaires. Les documents transmis ne peuvent être utilisés que pour cette finalité précise.

Étape 4 : envisager une plainte pénale

L'usurpation d'identité est une infraction pénale. Les victimes qui veulent connaître l'identité de l'usurpateur, et éventuellement le voir sanctionner, doivent déposer une plainte pénale. Elle se dépose auprès du commissariat ou de la brigade de gendarmerie de leur domicile, ou auprès du procureur de la République.

Une pré-plainte en ligne est possible. Pour qu'elle soit enregistrée comme une plainte, il faut signer la déclaration auprès d'une unité de gendarmerie ou d'un service de police de votre choix.

L'article 226-4-1 du Code pénal réprime ce délit d'un an de prison et de 15 000 euros d'amende. Il vise le fait d'usurper l'identité d'un tiers, ou de faire usage de données permettant de l'identifier, en vue de troubler sa tranquillité ou celle d'autrui, ou de porter atteinte à son honneur ou à sa considération.

Si vos données bancaires sont concernées

La CNIL demande de :

• informer immédiatement votre banque et les administrations concernées ;
• rester vigilant sur les paiements et prélèvements effectués sur vos comptes, ainsi que sur les messages d'organismes avec lesquels vous n'êtes pas habituellement en relation ;
• demander une consultation du FICOBA.

La page ne détaille pas ce qu'est le FICOBA ni comment en demander la consultation. Nous ne pouvons pas aller plus loin sur ce point.

Limiter le démarchage par téléphone et par SMS

Le démarchage est souvent la conséquence d'une inscription ou d'un achat. Selon la CNIL, la collecte de votre numéro de téléphone lors d'une inscription en ligne est très souvent suivie d'une vague de sollicitations de la société ou de ses partenaires commerciaux.

À la source : ne pas donner son numéro sans raison

Souvent, la collecte de votre numéro n'est que facultative. Évitez de cocher la case « souhaite recevoir des informations ». Soyez prudent lorsque vous communiquez votre numéro dans le cadre d'une vente ou d'un concours, et vérifiez si votre numéro peut être transmis à des tiers.

Les listes d'opposition

Les listes d'opposition recensent les personnes qui ont fait connaître leur opposition à être prospectées dans le cadre d'opérations de marketing. Pour limiter la prospection par téléphone, il est possible de s'inscrire à différentes listes auprès de votre opérateur téléphonique.

La CNIL présente aussi BLOCTEL. À partir du 1er juin 2016, cette liste d'opposition permet d'enregistrer les numéros de téléphone, portable ou fixe, des personnes qui ne souhaitent pas être sollicitées. Avant de prospecter, les professionnels du démarchage doivent s'assurer que vous ne figurez pas dans ses fichiers. Sinon, ils s'exposent à une amende administrative de 75 000 euros.

La page ne précise pas comment s'inscrire sur BLOCTEL, ni les règles en vigueur aujourd'hui. Parmi les contenus liés, la CNIL cite un webinaire sur le « nouveau régime de la prospection téléphonique », dont nous ne connaissons pas le contenu. Pour les règles à jour, reportez-vous aux pages de la CNIL.

Bloquer les appels sur son téléphone

La CNIL décrit deux méthodes pas à pas.

Sur Android :

1. Ouvrez l'application Téléphone pour accéder à la liste des appels reçus.
2. Cliquez sur l'icône d'information à droite du numéro à bloquer.
3. Sur la page de contact, cliquez en bas de l'écran sur « Ajouter à la liste de blocage », ou sur « En savoir plus » puis « Ajouter à la liste de blocage ».

Sur iPhone :

1. Ouvrez l'application Téléphone pour accéder à la liste des appels reçus.
2. Cliquez sur « Récents », puis sur l'icône d'information à côté du numéro à bloquer.
3. Sur la page de contact, cliquez en bas de l'écran sur « Bloquer le correspondant ».

Pour les autres systèmes d'exploitation et les téléphones fixes, la page de la CNIL ne détaille pas de procédure dans le texte. Elle évoque des applications de blocage, avec un conseil : vérifiez leur réputation sur le magasin d'applications avant de les utiliser. Certains opérateurs proposent de bloquer les appels de numéros masqués, et des appareils vendus dans le commerce permettent de refuser des numéros non souhaités. Renseignez-vous auprès de votre opérateur.

Bloquer les SMS indésirables

Depuis votre smartphone, vous pouvez envoyer un SMS « STOP » et bloquer les SMS provenant d'un numéro déjà identifié. Pour bloquer :

1. Ouvrez l'application de messagerie (SMS).
2. Ouvrez le SMS indésirable.
3. En haut à droite, cliquez sur l'icône des paramètres, puis sur « Ajouter à la liste de blocage » ou « Bloquer le correspondant ».

Si cette démarche n'apporte aucun résultat, transférez le SMS au 33700, comme décrit plus haut.

Les numéros masqués

Les appels en numéro masqué d'opérateurs sont interdits par la loi du 17 mars 2014. Un professionnel qui contrevient peut être sanctionné d'une amende de 3 000 euros s'il s'agit d'une personne physique, et de 15 000 euros s'il s'agit d'une personne morale.

La CNIL conseille de ne pas répondre aux numéros masqués et d'attendre un message sur votre boîte vocale avant de rappeler si besoin. Certains opérateurs filtrent les appels masqués, en obligeant l'émetteur à s'identifier avant d'atteindre le destinataire.

Identifier qui vous appelle

Pour savoir à qui appartiennent les numéros surtaxés, on peut utiliser l'annuaire inversé des Numéros Services à Valeur Ajoutée. Si vous ne trouvez pas le numéro, consultez l'annuaire de l'ARCEP. Vous y identifiez l'opérateur titulaire du numéro, puis vous le contactez pour qu'il intervienne auprès de la société qui utilise ce numéro.

Le droit d'opposition : refuser l'utilisation de vos données

Les listes d'opposition agissent en bloc. Le droit d'opposition, lui, s'exerce auprès d'un organisme précis. Il est prévu par l'article 21 du RGPD, le règlement européen sur la protection des données.

Ce que c'est, avec un exemple

Vous pouvez vous opposer à tout moment à ce qu'un organisme utilise certaines de vos données. La CNIL cite l'exemple de Romain. Il ne veut plus recevoir les promotions d'une boutique en ligne. Il ouvre un courriel, descend en bas de page et clique sur le lien de désabonnement. Il reçoit la confirmation de sa désinscription.

Ses coordonnées pourront toujours servir à gérer ses commandes. Il ne recevra simplement plus de prospection de cette société.

La CNIL précise que chaque organisme, privé ou public, doit vous permettre d'exercer vos droits gratuitement.

Avec ou sans motif

En règle générale, vous devez mettre en avant « des raisons tenant à votre situation particulière ». Il y a une exception : la prospection commerciale. Vous pouvez vous y opposer sans motif.

La CNIL cite trois situations typiques :

• vous recevez des courriels publicitaires sur votre adresse personnelle et ne voulez plus figurer dans la base de prospection ;
• vous êtes désavantagé par une décision liée à votre profilage ;
• vous refusez de figurer dans l'annuaire universel des abonnés au téléphone.

Comment faire, pas à pas

1. Identifiez l'organisme à contacter. Cherchez la page consacrée à l'exercice des droits sur son site : « politique de confidentialité », « politique vie privée », « mentions légales ». Si vous peinez à trouver les coordonnées du délégué à la protection des données ou du responsable, la CNIL renvoie vers une fiche pratique que nous n'avons pas détaillée ici.
2. Exercez votre droit. Expliquez quelles données vous voulez voir supprimer et pourquoi, hors prospection. Vous pouvez le faire par voie électronique (formulaire, adresse e-mail, compte en ligne) ou par courrier, sans apporter de justificatifs.
3. Conservez une copie de vos démarches. La CNIL juge cette étape primordiale si vous devez la saisir ensuite. Faites une capture d'écran de votre demande ou de la réponse. Si vous écrivez par courrier, demandez un accusé de réception, qui prouvera la date de votre démarche.

La CNIL met à disposition des modèles à personnaliser, notamment pour l'opposition à la prospection commerciale par téléphone, SMS, courriel ou courrier, et pour l'opposition à la réception de publicités.

Délais et réponse attendue

Pour ne plus recevoir de prospection commerciale, l'organisme doit procéder à l'effacement de votre adresse e-mail de sa base de prospection « dans les meilleurs délais ». Pour faire supprimer une information personnelle d'une base de données, l'organisme dispose d'un mois pour répondre.

En cas de refus ou d'absence de réponse, l'organisme doit prouver que des motifs légitimes et impérieux l'obligent à continuer de traiter vos données. Il peut aussi justifier que ces données sont nécessaires pour constater, exercer ou défendre des droits en justice.

Les limites du droit

Le droit d'opposition n'est pas un droit à la suppression simple et définitive de toutes vos données ou de votre compte. Par exemple, seule une rupture de contrat permet de supprimer un compte chez un opérateur mobile ou sur un site de commerce en ligne.

Si votre demande ne concerne pas la prospection, l'organisme peut refuser pour l'un de ces motifs :

• des motifs légitimes et impérieux, ou la nécessité de défendre des droits en justice ;
• votre consentement : il faut alors le retirer plutôt que vous opposer ;
• un contrat qui vous lie à l'organisme ;
• une obligation légale de traiter vos données ;
• la sauvegarde des intérêts vitaux d'une personne.

Pourquoi des sociétés récupèrent des coordonnées publiques

Vous n'avez jamais donné votre numéro à une société, et pourtant elle vous appelle. La CNIL a examiné ce cas dans une page de 2020, après des contrôles menés en 2019.

Ce que la CNIL a constaté

Elle reçoit régulièrement des plaintes sur des sociétés qui récupèrent des données personnelles sur des sites web pour faire de la prospection commerciale. Sont visées, par exemple :

• des sociétés qui collectent les numéros de personnes figurant sur des annonces d'un site de ventes entre particuliers ;
• des sociétés qui collectent des coordonnées dans des annuaires en ligne.

La CNIL cite deux profils de sociétés :

• celles spécialisées dans la « pige immobilière ». Elles consultent les annonces en ligne et aspirent les coordonnées des personnes qui les ont diffusées. Ces piges sont ensuite vendues à des agences immobilières ou à des sociétés de service, qui démarchent ces personnes ;
• celles qui collectent, pour leur propre compte, toutes les données personnelles d'un secteur géographique dans les annuaires en ligne, puis démarchent elles-mêmes. La CNIL donne l'exemple d'une société d'assurance.

Ces entreprises utilisent des logiciels d'extraction, ce qu'on appelle le web scraping, pour collecter automatiquement des coordonnées dans les espaces publics de l'Internet. Dans certains cas, les personnes avaient pourtant indiqué s'opposer au démarchage commercial.

Public ne veut pas dire libre de réutilisation

Point central : ces données, bien que publiquement accessibles, restent des données personnelles. Elles ne sont donc pas librement réutilisables par tout responsable de traitement. Elles ne peuvent pas être réexploitées à l'insu de la personne concernée.

Les contrôles de 2019 ont révélé plusieurs manquements :

• l'absence d'information des personnes démarchées, en particulier sur la source des données ;
• le défaut de consentement avant un démarchage par message électronique ou par automate d'appel ;
• le non-respect du droit d'opposition.

Ce que la CNIL attend de ces sociétés

La page s'adresse d'abord aux professionnels. Elle en dit pourtant long sur vos droits.

• Consentement. Si vous avez publié vos données auprès d'un premier organisme et ne vous attendez pas raisonnablement à être prospecté par une autre société, la réutilisation commerciale n'est possible qu'avec votre consentement. Exemple de la CNIL : un particulier qui dépose une annonce sur un site de ventes entre particuliers ne s'attend pas à être prospecté par un professionnel.
• Messages électroniques et automates d'appel. La société doit recueillir le consentement avant ces actions. Il doit être libre, spécifique, éclairé et univoque. Accepter de façon générale les conditions d'utilisation d'un service ne vaut pas consentement spécifique.
• Autres modes de démarchage, comme le téléphone sans automate d'appel. Les logiciels doivent permettre de ne pas collecter les données des personnes inscrites sur des listes anti-prospection auprès d'un opérateur ou sur BLOCTEL. La société ne doit pas démarcher les personnes qui se sont déjà opposées à ses sollicitations.
• Origine des données. Certains sites interdisent dans leurs conditions d'utilisation l'aspiration et la réutilisation commerciale des données. Dans ce cas, la pratique n'est pas autorisée.
• Minimisation. La collecte doit rester limitée au strictement nécessaire. La société doit éviter les informations non pertinentes ou excessives, notamment sensibles : santé, religion, orientation sexuelle.
• Information. Au plus tard lors de la première communication, la société doit fournir les informations prévues à l'article 14 du RGPD, notamment la source des données. L'information doit être concise, compréhensible et aisément accessible.
• Sous-traitants. Les contrats doivent respecter l'article 28 du RGPD. Ils définissent notamment l'objet et la durée du traitement, sa nature et sa finalité, le type de données et les catégories de personnes concernées.

Pour vous, cela donne un repère concret. Si une société vous démarche sans vous avoir informé de l'origine de vos coordonnées, la CNIL a identifié ce défaut comme un manquement constaté. Le droit d'opposition décrit plus haut reste à votre disposition.

Que faire en cas de plainte

Selon la nature du problème, la plainte ne passe pas par le même guichet. Voici les trois voies décrites dans les pages de la CNIL.

Plainte auprès de la CNIL

Cette voie concerne l'utilisation de vos données par un organisme. La règle est constante : avant de saisir la CNIL, vous devez exercer votre droit auprès de l'organisme qui détient vos données.

Vous pouvez la saisir si la réponse est insatisfaisante, ou s'il n'y a pas de réponse sous un mois pour une demande de suppression d'information. Les copies de vos démarches, captures d'écran ou accusé de réception d'un courrier, servent alors à montrer ce que vous avez fait et à quelle date.

La page ne détaille pas la procédure de dépôt d'une plainte à la CNIL. Elle ne précise pas non plus les délais de traitement.

Plainte pénale

Elle s'applique à l'usurpation d'identité, infraction pénale. Elle se dépose auprès du commissariat ou de la gendarmerie de votre domicile, ou auprès du procureur de la République. Une pré-plainte en ligne existe, à signer ensuite auprès d'un service de police ou de gendarmerie.

Harcèlement téléphonique

Si les appels s'apparentent à du harcèlement, vous pouvez porter plainte auprès du commissariat ou de la gendarmerie le plus proche, ou auprès du procureur de la République. La CNIL précise qu'elle n'est pas compétente dans ce cas.

Signalement

Un signalement à Signal Spam, à PHAROS ou au 33700 n'est pas une plainte. Il alimente des actions contre les expéditeurs. Pour connaître l'identité d'un usurpateur et éventuellement le voir sanctionner, la CNIL renvoie, elle, vers la plainte pénale.

Voir ce qui circule sur vous avec Remove Me

Ces réflexes protègent au moment où un message arrive. Une autre question se pose en amont : quelles informations vous concernant sont visibles en ligne ?

Remove Me propose une analyse gratuite, sans compte. Vous saisissez vos informations. Le service cherche dans les résultats publiquement visibles du web, dans les fuites de données publiques connues (via Have I Been Pwned) et dans un registre de courtiers en données. Il affiche ensuite un bilan, que l'on débloque avec un code à 6 chiffres envoyé par e-mail.

Deux précisions d'honnêteté :

• un bilan sans résultat ne prouve pas que rien n'existe ailleurs ;
• Remove Me n'envoie pas encore de demandes d'effacement à votre place. L'analyse montre, elle ne supprime rien.

Si vous voulez voir ce que le web sait de vous, gratuitement et sans créer de compte, vous pouvez lancer votre analyse.

Ce que les sources ne précisent pas

Pour rester fidèle aux pages de la CNIL, voici les points sur lesquels elles ne disent rien, ou pas assez.

• L'actualité des règles. Les pages datent de 2011 à 2020, et la CNIL mentionne un nouveau régime de la prospection téléphonique sans le détailler ici. Les montants d'amende et les dates cités sont ceux des pages, à la date où elles ont été écrites.
• L'inscription à BLOCTEL. La page explique l'effet de la liste, pas la démarche d'inscription.
• Le blocage sur fixe ou autres systèmes. La page n'indique pas de procédure précise dans le texte pour les téléphones fixes et les systèmes autres qu'Android et iPhone.
• Le FICOBA. La page demande d'en faire consulter, sans expliquer de quoi il s'agit.
• Le suivi des signalements. Les pages décrivent ce que les plateformes font en général. Elles n'annoncent ni retour individuel, ni délai, ni résultat.
• Les conséquences d'un clic ou d'une saisie déjà faits. Hors données bancaires et usurpation, les pages ne détaillent pas de marche à suivre propre à chaque situation.
• La suppression de vos données chez des sociétés de collecte. Les pages décrivent leurs obligations et votre droit d'opposition, pas un circuit particulier pour obtenir la suppression chez chacune d'elles.

Aucune de ces pages n'affirme qu'un message, un appel ou un démarchage cessera après une démarche. Elles décrivent des droits, des outils et des canaux. À vous de choisir, selon votre situation, ceux qui conviennent.