Se retirer d'un courtier de données : le guide complet

Le téléphone sonne pour une offre que vous n'avez jamais demandée. Un message vous appelle par votre prénom alors que vous ne connaissez pas l'expéditeur. Une agence vous propose ses services juste après la publication d'une annonce. Beaucoup de lecteurs arrivent ici avec cette question : comment faire pour que cela s'arrête, et comment sortir des fichiers des courtiers en données ?

La réponse honnête tient en peu de mots. Il n'existe pas de démarche unique qui vous retire de tous les fichiers. Les pages de la CNIL sur lesquelles s'appuie ce guide décrivent des droits que vous exercez auprès de chaque organisme qui détient vos données : le droit à l'effacement et le droit d'opposition. Elles expliquent aussi ce que vous pouvez faire si l'organisme ne répond pas.

Ce guide suit cet ordre. Il décrit d'abord qui sont les courtiers en données et comment ils obtiennent des informations. Il détaille ensuite la sanction prononcée contre la société Tagadamedia, puis les démarches, un modèle de courrier et le recours à la CNIL. Chaque fois que les sources ne précisent pas un point, nous le disons.

Que faire en premier

Si vous voulez agir tout de suite, voici l'ordre que suggèrent les pages de la CNIL.

1. Identifiez l'organisme à contacter. Rendez-vous sur la page d'information consacrée à l'exercice de vos droits sur son site. Elle se cache souvent sous un intitulé comme « politique de confidentialité », « politique vie privée » ou « mentions légales ».
2. Choisissez votre demande. Pour ne plus recevoir de prospection commerciale, vous vous opposez, sans avoir à donner de motif. Pour faire supprimer des données précises, vous demandez leur effacement.
3. Écrivez, par voie électronique ou par courrier. Indiquez précisément les données concernées. C'est le point que la CNIL souligne le plus.
4. Gardez une copie de votre démarche. Si vous écrivez par courrier, demandez un accusé de réception : il prouve la date de votre démarche.
5. Laissez passer le délai. Pour l'effacement, l'organisme dispose d'un mois, parfois jusqu'à trois. Sans réponse satisfaisante, vous pouvez saisir la CNIL.

Si vous ne savez pas encore ce qui circule sur vous, une analyse peut servir de point de départ. Nous en parlons plus bas, avec ses limites.

Qui sont les courtiers en données ?

La définition de la CNIL

Dans sa communication sur la sanction de la société Tagadamedia, la CNIL explique s'être intéressée aux pratiques des professionnels de la prospection commerciale, en particulier ceux qui procèdent à la revente de données. Elle évoque « les nombreux intermédiaires de cet écosystème », qu'elle appelle courtiers en données, ou data brokers en anglais.

En termes simples, un courtier en données est donc une entreprise qui participe à la revente de données personnelles dans l'écosystème de la prospection commerciale.

Cette activité a fait l'objet d'un thème prioritaire de contrôle de la CNIL en 2022 : la prospection commerciale. C'est dans ce cadre que la CNIL a ouvert la procédure de contrôle qui a mené à la sanction détaillée plus bas.

Des pratiques voisines décrites par la CNIL

Une autre page de la CNIL, datée de 2020, ne prononce pas le mot « courtier ». Elle décrit toutefois des sociétés dont les pratiques sont très proches. Elle indique que la CNIL reçoit régulièrement des plaintes visant des sociétés qui récupèrent des données personnelles sur des sites web pour faire de la prospection commerciale. Sont cités, par exemple :

• des sociétés qui collectent des coordonnées téléphoniques de personnes figurant sur des annonces diffusées sur un site entre particuliers ;
• des sociétés qui collectent les données figurant sur des annuaires en ligne.

La CNIL précise que ces informations sont ensuite utilisées pour de la prospection, alors même que des personnes avaient indiqué s'opposer au démarchage commercial.

Elle donne deux exemples de sociétés :

• Celles spécialisées dans la « pige immobilière ». Elles constituent des bases de données en consultant les annonces en ligne et en aspirant les coordonnées des personnes qui les ont publiées. Ces piges sont ensuite vendues à des agences immobilières ou à des sociétés de service qui démarchent les personnes.
• Celles qui collectent pour leur propre compte l'ensemble des données personnelles d'un secteur géographique figurant sur les annuaires en ligne, puis réalisent elles-mêmes le démarchage. La CNIL donne l'exemple d'une société d'assurance qui veut vendre des produits d'assurance.

Premier cas : la société vend ce qu'elle a collecté. Second cas : elle l'utilise pour elle-même.

Ce que les sources ne disent pas

Les pages de la CNIL fournies ne contiennent pas de liste de courtiers en données. Elles ne décrivent pas non plus de procédure de retrait propre à une entreprise donnée. C'est pourquoi ce guide ne cite aucun courtier, à l'exception de la société sanctionnée, et ne décrit aucune démarche spécifique à un acteur. Ce que les pages de la CNIL décrivent, ce sont vos droits, qui s'exercent de la même façon quel que soit l'organisme.

Comment les courtiers obtiennent vos données

Les formulaires de jeux-concours et de tests de produits

Le cas sanctionné en 2023 montre un premier chemin. La société Tagadamedia exploite principalement des sites en ligne de jeux-concours et de tests de produits. Ses formulaires lui permettent de collecter des données de personnes appelées « prospects ». Ces données sont ensuite transmises à des partenaires de la société pour de la prospection commerciale.

Le geste est banal : vous remplissez un formulaire pour tenter de gagner un lot ou tester un produit. Vos coordonnées peuvent ensuite être transmises à des partenaires de la société.

Une page plus ancienne de la CNIL, datée de 2016, décrit le même mécanisme pour le téléphone. La collecte de votre numéro lors d'une inscription en ligne est très souvent suivie d'une vague de sollicitations de la société ou de ses partenaires commerciaux. La CNIL donne trois conseils :

• évitez de cocher la case « souhaite recevoir des informations » ;
• sachez que la collecte de votre numéro n'est souvent que facultative ;
• soyez prudent lorsque vous communiquez votre numéro dans le cadre d'une vente ou d'un concours, et vérifiez si ce numéro peut être transmis à des tiers.

Les données publiquement accessibles sur internet

Le second chemin passe par ce que tout le monde peut voir : annonces, annuaires en ligne, espaces publics du web. La CNIL explique que des sociétés utilisent des outils, des logiciels d'extraction (web scraping en anglais), qui collectent automatiquement les coordonnées d'internautes dans ces espaces.

Point essentiel : ces données, bien que publiquement accessibles, restent des données personnelles. Elles ne sont donc pas librement réutilisables par n'importe quel responsable de traitement. Elles ne peuvent pas être réexploitées à l'insu de la personne concernée.

Autrement dit, le fait qu'un numéro soit visible dans une annonce ne donne pas à tout le monde le droit de l'utiliser pour du démarchage.

La CNIL ajoute une précision : certains logiciels extraient des informations de sites dont les conditions générales d'utilisation interdisent l'aspiration et la réutilisation des données à des fins commerciales. Dans ce cas, la pratique n'est pas autorisée.

Les manquements constatés lors des contrôles de 2019

En 2019, la CNIL a contrôlé plusieurs sociétés qui récupèrent des données d'internautes sur le web. Les contrôles ont révélé plusieurs manquements à la législation sur la protection des données :

• l'absence d'information des personnes démarchées, en particulier sur la source des données ;
• le défaut de consentement des personnes avant d'être démarchées par message électronique ou par automate d'appel ;
• le non-respect du droit d'opposition des personnes.

Ces trois points vous concernent directement. Ils correspondent à des questions que vous pouvez vous poser : d'où vient mon numéro, ai-je donné mon accord, et pourquoi mon refus n'a-t-il pas été respecté ?

Ce que la CNIL attend des sociétés

La CNIL rappelle aux sociétés et à leurs prestataires les règles à suivre. Les principales, utiles à connaître pour savoir ce que vous pouvez attendre en retour, sont les suivantes.

Le consentement. Lorsque vous avez diffusé vos données auprès d'un premier organisme et que vous ne vous attendez pas raisonnablement à être prospecté par une autre société, la réutilisation de vos données à des fins commerciales n'est possible qu'avec votre consentement. L'exemple de la CNIL : un particulier qui dépose une annonce sur un site de ventes entre particuliers ne s'attend pas à être prospecté par un professionnel. Ses données ne peuvent donc pas être traitées sans son consentement.

Pour la prospection par message électronique ou automate d'appel, la société doit impérativement recueillir le consentement avant d'agir. Ce consentement doit être libre, spécifique, éclairé et univoque. La CNIL précise que l'acceptation générale des conditions d'utilisation d'un service ne peut pas être assimilée à un consentement spécifique, même si ces conditions mentionnent la prospection par voie électronique.

L'opposition. Pour le démarchage par un autre moyen, par exemple le téléphone sans automate d'appel, les logiciels doivent permettre de ne pas collecter les données des personnes inscrites sur des listes anti-prospection auprès d'un opérateur téléphonique ou auprès de BLOCTEL. Une société ne doit de toute façon pas démarcher les personnes qui se sont déjà opposées à recevoir ses sollicitations.

L'information. La société doit fournir les informations prévues à l'article 14 du RGPD, notamment la source des données. Elle doit le faire au plus tard au moment de la première communication avec la personne. L'information doit être concise, compréhensible et aisément accessible.

La limitation de la collecte. La collecte à des fins de démarchage doit être réduite à ce qui est strictement nécessaire. La CNIL demande de la vigilance pour éviter les informations non pertinentes ou excessives, notamment sensibles, comme la santé, la religion ou l'orientation sexuelle.

Les prestataires. Quand une société confie la collecte à un prestataire, elle doit s'assurer que ces règles sont respectées. Si le prestataire est un sous-traitant au sens du RGPD, leur contrat doit respecter l'article 28 : objet et durée du traitement, nature et finalité, type de données, catégories de personnes, obligations et droits du responsable du traitement.

La sanction contre Tagadamedia

Ce qui s'est passé

Le 29 décembre 2023, la CNIL a sanctionné la société Tagadamedia d'une amende de 75 000 euros. Elle lui reprochait notamment d'avoir collecté des données de prospects sans consentement valide, en raison de l'apparence trompeuse de ses formulaires de jeux-concours. La CNIL a présenté cette décision sous le titre « Courtiers en données ».

La formation restreinte, l'organe de la CNIL chargé de prononcer les sanctions, a considéré que la société avait manqué à plusieurs obligations du RGPD. Elle a aussi enjoint à la société de mettre en œuvre un formulaire de collecte conforme au RGPD dans un délai d'un mois, sous peine de 1 000 euros par jour de retard.

La CNIL indique que l'amende représente environ 1,6 % du chiffre d'affaires de la société. Son montant tient compte des manquements retenus, de la coopération de la société et des mesures prises pendant la procédure pour se mettre en conformité sur certains points.

Le manquement central : un consentement qui n'en est pas un

La société affirmait fonder son traitement sur le consentement. La CNIL a jugé que ses formulaires ne permettaient pas de recueillir un consentement conforme aux exigences du RGPD, c'est-à-dire libre, éclairé et univoque. Elle relève deux éléments de présentation :

• le bouton qui permet de consentir est mis en valeur, contrairement au bouton par lequel l'utilisateur refuse ;
• le texte est incomplet et en taille réduite.

Selon la CNIL, ces choix incitent fortement les utilisateurs à accepter la transmission de leurs données aux partenaires. La société a transmis un nouveau formulaire pendant la procédure de sanction. La CNIL a estimé que ce formulaire ne permettait toujours pas un recueil de consentement valide, ce qui privait le traitement de base légale.

Le second manquement retenu concerne le registre des activités de traitement (article 30 du RGPD). Celui de la société était partagé avec une seconde société et ne précisait pas laquelle des deux agissait comme responsable de traitement.

La décision du Conseil d'État

La page de la CNIL signale une évolution. Par une décision du 20 mai 2026, le Conseil d'État a réformé la délibération de la formation restreinte et ramené la sanction à 50 000 euros. Il a considéré que la formation restreinte, en remplaçant dans sa décision le manquement à l'article 5 du RGPD retenu dans le rapport de sanction par un manquement à l'article 6, avait méconnu les droits de la société, qui n'avait pas pu présenter d'observations sur ce point. La CNIL renvoie à la décision n°492836.

Le montant a donc changé, pour une raison de procédure. La page ne dit pas que les constats sur l'apparence des formulaires ont été contestés sur le fond, et nous n'en tirons aucune conclusion.

Ce que cette affaire vous apprend

Elle illustre un mécanisme que la CNIL décrit : un formulaire anodin peut alimenter des fichiers de prospection partagés avec des partenaires. Elle montre aussi que la CNIL contrôle ce secteur et peut sanctionner.

Elle ne vous indique pas, en revanche, comment obtenir le retrait de vos données chez cette société ou chez une autre. La page décrit la sanction, pas une démarche à suivre pour les personnes concernées.

Voir ce qui est visible sur vous avant d'agir

Pour demander l'effacement, il faut savoir quoi demander. La CNIL insiste : il est très important d'indiquer précisément quelles données vous voulez effacer. Une première étape peut donc être de regarder ce qui est visible.

Remove Me propose une analyse gratuite, sans compte. Vous saisissez vos informations, et le service cherche dans trois types de sources : les résultats publiquement visibles sur le web, les fuites de données publiques connues (via Have I Been Pwned) et un registre de courtiers en données. Il vous présente ensuite un bilan. Le bilan se débloque avec un code à 6 chiffres envoyé par e-mail.

Trois précisions, par honnêteté :

• Remove Me n'envoie pas encore de demandes d'effacement à votre place. Les démarches décrites plus bas, vous les faites vous-même.
• Un bilan vide ne prouve pas qu'aucune donnée n'existe. Il reflète ce que ces sources montrent au moment de l'analyse, pas tout ce qui existe.
• L'analyse montre ce qui est visible. Elle ne supprime rien.

Effacement ou opposition : lequel choisir ?

La CNIL décrit deux droits distincts. Ils ne servent pas exactement à la même chose.

Le droit à l'effacement

Vous pouvez demander à un organisme l'effacement de données personnelles vous concernant si au moins une de ces situations correspond à votre cas :

• vos données sont utilisées à des fins de prospection ;
• elles ne sont pas ou plus nécessaires au regard des objectifs pour lesquels elles ont été collectées ;
• vous retirez votre consentement à leur utilisation ;
• elles font l'objet d'un traitement illicite, par exemple la publication de données piratées ;
• elles ont été collectées quand vous étiez mineur, dans le cadre de la société de l'information (blog, forum, réseau social, site web) ;
• elles doivent être effacées pour respecter une obligation légale ;
• vous vous êtes opposé au traitement et le responsable du fichier n'a pas de motif légitime ou impérieux de refuser.

Plusieurs de ces situations recoupent ce que la CNIL décrit pour les courtiers : la prospection, et le consentement quand il a été mal recueilli. Savoir laquelle s'applique à votre cas vous aide à rédiger le motif de votre demande.

Le droit d'opposition

Vous pouvez vous opposer à tout moment à ce qu'un organisme utilise certaines de vos données. La CNIL donne comme exemple une base de prospection de courriels publicitaires. Pour une opposition en général, vous devez avancer « des raisons tenant à votre situation particulière ». Pour la prospection commerciale, vous pouvez vous opposer sans motif.

La CNIL illustre avec Romain. Il ne veut plus recevoir les promotions d'une boutique en ligne. Il clique sur le lien de désabonnement en bas du courriel et reçoit la confirmation de sa désinscription. Il peut toujours acheter dans la boutique : ses coordonnées restent utilisables pour gérer ses commandes, mais il ne reçoit plus de prospection de cette société.

Autres cas cités par la CNIL pour l'opposition : refuser de figurer dans l'annuaire universel des abonnés au téléphone, ou contester une décision défavorable liée à votre profilage.

Comparaison en un coup d'œil

Dans les deux cas, la CNIL rappelle que chaque organisme, privé ou public, doit vous permettre d'exercer vos droits gratuitement.

Demander l'effacement pas à pas

Étape 1 : identifier l'organisme

La CNIL conseille de commencer par identifier l'organisme, puis de chercher sur son site la page d'information sur l'exercice des droits. Si vous peinez à trouver les coordonnées du délégué à la protection des données ou du responsable, la CNIL renvoie à une fiche pratique.

Les pages de la CNIL fournies ne disent pas comment remonter à l'organisme qui détient vos données lorsque vous l'ignorez. Elles précisent seulement que, pour la prospection, la société doit indiquer la source des données au plus tard lors de la première communication avec vous.

Étape 2 : formuler la demande

Vous pouvez agir par voie électronique (formulaire, adresse e-mail, bouton prévu sur le site) ou par courrier. La CNIL insiste sur la précision : indiquez clairement quelles données vous voulez effacer.

La raison est que ce droit n'est pas un effacement simple et définitif de tout ce que l'organisme détient sur vous. La CNIL donne deux exemples :

• une demande d'effacement de votre photo sur un site n'entraîne pas la suppression de votre compte ;
• une demande de suppression de votre compte n'entraîne pas la suppression des factures et autres documents comptables liés à vos achats, que la loi oblige à conserver.

Étape 3 : la question de l'identité

L'organisme ne peut vous demander un document prouvant votre identité que s'il a des doutes raisonnables à ce sujet. La CNIL cite l'exemple de la prévention des usurpations d'identité. Il ne peut pas exiger des pièces abusives, non pertinentes ou disproportionnées par rapport à votre demande.

Étape 4 : garder une copie

La CNIL qualifie cette étape de primordiale si vous souhaitez ensuite saisir la CNIL. Conservez une copie de votre courriel ou de votre demande faite par voie électronique. Pour un courrier, demandez un accusé de réception, qui prouvera la date de votre démarche.

Étape 5 : attendre la réponse

Le responsable du fichier doit procéder à l'effacement dans les meilleurs délais et au plus tard dans un délai d'un mois. Ce délai peut être porté à trois mois compte tenu de la complexité de la demande. Dans ce cas, l'organisme doit vous informer des raisons de cette prolongation.

Cas voisins

La CNIL mentionne deux situations proches où l'interlocuteur n'est pas le même :

• un contenu gênant visible sur un réseau social : vous pouvez demander sa suppression directement auprès du site ;
• un lien vers un contenu gênant référencé à votre nom et prénom : vous contactez directement le moteur de recherche.

S'opposer à la prospection commerciale

Une démarche sans justification

Pour la prospection, la CNIL est claire : vous pouvez vous opposer sans motif, et sans apporter de justificatifs. Vous choisissez le moyen : voie électronique (formulaire, adresse e-mail, compte en ligne) ou courrier. Les étapes sont les mêmes que pour l'effacement : identifier l'organisme, exposer votre demande, garder une copie, demander un accusé de réception pour un courrier.

Si votre opposition concerne autre chose que la prospection, la CNIL indique qu'il faut expliquer quelles données vous souhaitez voir supprimer et pour quelles raisons tenant à votre situation particulière.

Ce qui doit se passer ensuite

Si vous vous opposez pour ne plus recevoir de prospection commerciale, l'organisme doit effacer votre adresse e-mail de sa base de prospection dans les meilleurs délais. Si vous demandez la suppression d'une information personnelle dans une base de données, l'organisme dispose d'un mois pour vous répondre.

En cas de refus, l'organisme doit prouver que des motifs légitimes et impérieux l'obligent à continuer de traiter vos données malgré votre demande. Il peut aussi justifier que ces données sont nécessaires à la constatation, à l'exercice ou à la défense de droits en justice.

Les listes d'opposition

La CNIL définit les listes d'opposition comme des listes qui recensent les personnes ayant fait connaître leur opposition à être prospectées dans le cadre d'opérations de marketing. Pour le téléphone, il est possible de s'inscrire à différentes listes auprès de votre opérateur, et la liste BLOCTEL permet d'enregistrer les numéros de téléphone, portable ou fixe, des personnes qui ne souhaitent pas être sollicitées.

Selon la page de 2016, les professionnels doivent vérifier avant de prospecter que vous ne figurez pas dans les fichiers de BLOCTEL, faute de quoi ils s'exposent à une amende administrative de 75 000 euros. Cette page date de 2016 : nous la rapportons telle qu'elle est écrite.

Le modèle de courrier de la CNIL

Le texte du modèle

La CNIL met à disposition un modèle de courrier intitulé « Supprimer des données personnelles ». En voici le contenu, avec ses deux champs à remplir :

En application de l'article 17.1 du Règlement général sur la protection des données (RGPD), je vous prie d'effacer de vos fichiers les données personnelles suivantes me concernant : [infos_a_supprimer]

Je demande que ces informations soient supprimées car : [motif_de_la_suppression]

Vous voudrez bien également notifier cette demande d'effacement de mes données aux organismes auxquels vous les auriez communiquées (article 19 du RGPD).

Enfin, je vous prie de m'informer de ces éléments dans les meilleurs délais et au plus tard dans un délai d'un mois à compter de la réception de ce courrier (article 12.3 du RGPD).

À défaut de réponse de votre part dans les délais impartis ou en cas de réponse incomplète, je saisirai la Commission nationale de l'informatique et des libertés (CNIL) d'une réclamation.

Je vous prie d'agréer, Madame, Monsieur, l'expression de mes salutations distinguées.

Comment le remplir

Dans le premier champ, listez précisément les données concernées, puisque la CNIL insiste sur ce point. Dans le second, indiquez le motif, en vous appuyant sur les situations prévues pour l'effacement : prospection, consentement retiré, traitement illicite, par exemple.

Le modèle comporte une phrase qui peut compter face à un courtier en données : il demande à l'organisme de notifier votre demande aux organismes auxquels il aurait communiqué vos données, au titre de l'article 19 du RGPD. Les pages fournies ne disent pas comment ces destinataires y répondent concrètement.

Le formulaire de la CNIL est facultatif : ses informations servent à faciliter l'exercice de vos droits, et la CNIL précise qu'elle ne conserve aucune des informations personnelles saisies. Vous pouvez aussi rédiger votre propre lettre.

Les modèles pour l'opposition

La CNIL propose d'autres modèles : exercer son droit d'opposition, s'opposer à la prospection commerciale par téléphone, SMS, e-mail ou courrier, et s'opposer à la réception de publicités. Elle propose aussi un modèle pour clôturer un compte en ligne. Les pages fournies n'en reproduisent pas le texte : nous ne le citons donc pas.

Les limites à connaître

La CNIL est franche : l'effacement et l'opposition ne sont pas des boutons magiques. Voici les limites qu'elle indique.

Limites du droit à l'effacement

Il est écarté dans un nombre de cas limité. Il ne doit pas aller à l'encontre :

• de l'exercice du droit à la liberté d'expression et d'information ;
• du respect d'une obligation légale (exemple de la CNIL : le délai de conservation d'une facture, dix ans) ;
• de l'utilisation de données qui concernent un intérêt public dans le domaine de la santé ;
• d'une utilisation à des fins d'archives dans l'intérêt public, de recherche scientifique ou historique, ou de statistiques ;
• de la constatation, de l'exercice ou de la défense de droits en justice.

Limites du droit d'opposition

La CNIL écrit que le droit d'opposition n'est pas un droit à la suppression simple et définitive de toutes vos données ou du compte qui vous est rattaché. Seule une rupture de contrat permet, par exemple, la suppression d'un compte chez un opérateur mobile ou un site de commerce en ligne.

Si votre opposition ne concerne pas la prospection, l'organisme peut justifier son refus par l'un de ces motifs :

• il existe des motifs légitimes et impérieux de traiter les données, ou elles sont nécessaires à la défense de droits en justice ;
• vous avez consenti, et vous devez alors retirer ce consentement plutôt que vous opposer ;
• un contrat vous lie à l'organisme ;
• une obligation légale lui impose de traiter vos données ;
• le traitement est nécessaire à la sauvegarde des intérêts vitaux d'une personne.

Ce que cela veut dire en pratique

Vous ne pouvez pas attendre d'une demande qu'elle fasse disparaître tout ce qui vous concerne. Elle vise des données précises, pour des raisons précises. Ce point explique pourquoi la précision de votre courrier compte autant.

Sans réponse ou réponse insatisfaisante : saisir la CNIL

Quand saisir la CNIL

La règle posée par la CNIL tient en deux temps. D'abord, vous devez exercer votre droit auprès de l'organisme qui détient vos données : société, association ou administration. Ensuite, en cas de réponse insatisfaisante ou d'absence de réponse sous un mois, vous pouvez saisir la CNIL.

C'est pourquoi la CNIL insiste tant sur la conservation d'une copie de vos démarches : elle est utile pour saisir la CNIL en cas de réponse insatisfaisante ou d'absence de réponse. L'exemple de Romain le montre. Il sauvegarde sa demande et ses captures d'écran de formulaires, ce qui lui permettrait d'adresser une plainte si les courriels de prospection reprenaient.

Comment déposer la plainte

La CNIL propose un service de plaintes en ligne. La page d'accueil montre un parcours en trois étapes : choix de rubrique, précision de la demande, puis vos démarches. Les thèmes proposés sont : autres cas, banque et crédit, commerce, internet, téléphonie et travail. Les pages fournies ne détaillent pas le contenu de ces étapes ni le délai de traitement par la CNIL.

Le cas particulier du harcèlement téléphonique

La CNIL précise que si des appels s'apparentent à du harcèlement, vous pouvez porter plainte auprès du commissariat de police ou de la gendarmerie la plus proche, ou auprès du procureur de la République. Elle indique que, dans ce cas, la CNIL n'est pas compétente.

Téléphone et SMS : agir en attendant les réponses

Les demandes d'effacement ou d'opposition prennent du temps. En attendant, la CNIL décrit quelques gestes pour limiter les sollicitations les plus intrusives. Ils datent de 2016, et nous les rapportons tels quels.

Bloquer les appels

Sur un smartphone, la CNIL décrit le même principe pour Android et iPhone : ouvrir la liste des appels reçus, ouvrir la fiche du numéro concerné, puis l'ajouter à la liste de blocage. Elle mentionne aussi que certaines applications proposent de bloquer les appels indésirables, avec cette précaution : vérifier leur réputation sur le magasin d'applications avant de les utiliser. Certains opérateurs proposent de bloquer les appels provenant de numéros masqués, et des appareils pour téléphone fixe permettent de refuser des numéros. La CNIL invite à se renseigner auprès de son opérateur.

Les numéros masqués

Les appels en numéro masqué d'opérateurs sont interdits par la loi du 17 mars 2014. Un professionnel qui contrevient peut être sanctionné par une amende de 3 000 euros s'il s'agit d'une personne physique, ou de 15 000 euros s'il s'agit d'une personne morale. La CNIL conseille de ne pas répondre aux numéros masqués et d'attendre le dépôt d'un message sur la messagerie vocale avant de rappeler si besoin.

Identifier un numéro

Pour retrouver le titulaire d'un numéro surtaxé, la CNIL cite l'annuaire inversé des numéros à valeur ajoutée. Si le numéro n'y figure pas, elle conseille de consulter l'annuaire de l'ARCEP, d'identifier l'opérateur titulaire du numéro et de le contacter pour qu'il intervienne auprès de la société qui l'utilise.

Les SMS indésirables

Vous pouvez envoyer « STOP » par SMS et bloquer le numéro émetteur. Si cela ne donne aucun résultat, la CNIL conseille de transférer le SMS à la plateforme de lutte contre les spams vocaux et SMS, le 33700. Le signalement est transmis à votre opérateur mobile. Plus il y a de signalements, plus l'opérateur peut agir : couper le numéro émetteur, couper le numéro payant, et dans les cas les plus graves transmettre une plainte aux services de police concernés.

Ce que les sources ne précisent pas

Ce guide s'en tient aux pages de la CNIL fournies. Elles laissent plusieurs questions sans réponse, et il vaut mieux le dire.

• Pas de liste de courtiers. Les pages ne recensent aucun courtier en données, hormis la société sanctionnée, et n'expliquent pas comment savoir lesquels détiennent vos données.
• Pas de procédure par courtier. Elles décrivent des droits généraux, pas des démarches propres à une entreprise.
• Pas de résultat promis. Elles ne disent pas qu'une demande aboutit toujours. Elles détaillent au contraire les cas où l'organisme peut refuser.
• Pas de suite après effacement. Elles ne précisent pas si des données effacées peuvent être collectées de nouveau plus tard.
• Pas de délai pour la CNIL. Elles indiquent quand saisir la CNIL, pas combien de temps elle met à traiter une plainte.
• Des dates variées. Les pages citées portent des dates allant de 2015 à 2026. Nous les rapportons telles qu'elles figurent sur le site de la CNIL.

Par ailleurs, Remove Me n'envoie pas encore de demandes d'effacement à votre place. L'analyse gratuite vous montre ce qui est visible ; les démarches décrites dans ce guide restent à faire par vous-même.

En résumé

Se retirer d'un courtier en données, c'est surtout exercer ses droits, organisme par organisme. Les données de ces intermédiaires proviennent de formulaires de jeux-concours ou de tests de produits, et de données publiquement accessibles collectées par des outils automatiques. La CNIL rappelle que des données visibles restent des données personnelles, et qu'elles ne peuvent pas être réutilisées à l'insu des personnes.

Pour agir, vous identifiez l'organisme, vous choisissez entre effacement et opposition, vous précisez les données concernées et vous conservez une copie de votre démarche. Pour un courrier, vous demandez un accusé de réception. L'organisme doit répondre dans le délai prévu. Si la réponse manque ou ne vous satisfait pas, la CNIL peut être saisie.

Si vous voulez d'abord voir ce que le web montre de vous, vous pouvez lancer l'analyse gratuite de Remove Me, sans compte. Elle ne supprime rien, et un bilan vide ne prouve pas qu'aucune donnée n'existe. Elle vous donne seulement un point de départ.

the Remove Me team