Prospection commerciale : la Cnil clôt l’injonction visant SOLOCAL

Dans une délibération du 17 septembre 2026, la Commission nationale de l’informatique et des libertés (ci-après la « Cnil ») a clôturé l’injonction prononcée contre Solocal Marketing Services en 2025, après avoir examiné les mesures correctrices mises en place par la société.  Pour la Cnil, les entreprises doivent avant tout s’assurer que les personnes concernées ont valablement consenti à l’utilisation de leurs données. Cette décision rappelle les exigences applicables au consentement et les responsabilités des entreprises qui font appel à des partenaires pour collecter des données personnelles.

I / Solocal sanctionnée pour des manquements au consentement

Le 15 mai 2025, la Cnil a prononcé une amende de 900 000 euros à l’encontre de Solocal Marketing Services. La société achetait des données de prospects auprès de partenaires, notamment des courtiers en données, afin de réaliser des campagnes de prospection par SMS et courrier électronique.

Les contrôles de la Cnil ont révélé que certains formulaires de collecte étaient conçus de manière à orienter le choix des internautes. Les modalités permettant d’accepter la prospection étaient mises en avant, tandis que les possibilités de refus étaient moins visibles. Dans ces conditions, le consentement recueilli ne pouvait pas être considéré comme libre et univoque. La société ne disposait pas non plus de preuves suffisantes pour justifier certains consentements.

Au-delà de l’amende, la Cnil a donc exigé à Solocal Marketing Services de cesser toute prospection commerciale par voie électronique en l’absence de consentement valable. Cette obligation était assortie d’une astreinte de 10 000 euros par jour de retard.

II / Le consentement au cœur du cadre juridique

La décision repose notamment sur l’article L.34-5 du Code des postes et des communications électroniques (CPCE), qui encadre la prospection commerciale par courrier électronique et impose, en principe, le consentement préalable du destinataire. Cette exigence vise à garantir que les personnes ne reçoivent pas de sollicitations commerciales sans avoir accepté d’être démarchées.

Le RGPD complète ce cadre à travers son article 4, paragraphe 11, qui définit le consentement comme une manifestation de volonté libre, spécifique, éclairée et univoque. L’article 7, quant à lui, précise les conditions applicables à ce consentement, notamment l’obligation pour le responsable du traitement de pouvoir en démontrer l’existence.

Concrètement, la présence d’une case à cocher ne suffit donc pas à rendre un consentement valable. La personne doit pouvoir faire un véritable choix, sans être incitée artificiellement à accepter. L’entreprise doit également conserver les éléments permettant de prouver cet accord. Ces exigences expliquent les manquements relevés par la Cnil dans le cadre de la procédure visant Solocal Marketing Services.

III / Des contrôles renforcés pour garantir la conformité des formulaires 

Comment garantir la validité d’un consentement lorsque sa collecte est réalisée par un tiers ? Pour se conformer à l’injonction, Solocal Marketing Services a mis en place un dispositif de contrôle des formulaires utilisés par ses partenaires. Celui-ci repose sur une analyse automatisée, complétée par une vérification humaine lorsque cela est nécessaire. L’objectif est de détecter les formulaires susceptibles d’altérer le choix des internautes et de vérifier les conditions de recueil du consentement.

Ces vérifications sont essentielles, car la conformité d’un formulaire ne dépend pas uniquement de son contenu, mais également de la manière dont les informations et les choix sont présentés à l’utilisateur. Une formulation ambiguë, une information insuffisamment visible ou une mise en page susceptible d’orienter le choix de l’internaute peuvent remettre en cause la validité de son consentement. Les contrôles doivent donc permettre de détecter ces situations et d’éviter que les données recueillies dans ces conditions soient utilisées pour des campagnes de prospection.

Après examen, la Cnil a considéré que les mesures mises en place étaient suffisantes pour satisfaire à l’injonction, à condition qu’elles soient appliquées avec rigueur. Elle a ainsi clôturé celle-ci, par une décision du 17 septembre 2026, sans liquider l’astreinte. Cette décision souligne l’importance de mettre en place des contrôles concrets, documentés et effectifs : ils permettent non seulement de prévenir les atteintes aux droits des personnes, mais aussi de démontrer que les exigences relatives au consentement sont respectées tout au long de la chaîne de collecte des données.

Cette clôture ne remet toutefois pas en cause l’amende de 900 000 euros prononcée en 2025. Elle concerne uniquement l’exécution de l’injonction : la sanction initiale demeure, tandis que les mesures correctrices ont permis à la société de satisfaire aux exigences qui lui avaient été imposées.

IV / Une décision qui rappelle la responsabilité des entreprises 

La portée de cette affaire dépasse ainsi la seule situation de Solocal Marketing Services. Elle rappelle qu’une entreprise qui exploite des données personnelles collectées par des partenaires doit exercer un contrôle réel sur les conditions de cette collecte. Externaliser la collecte des données ne revient pas à externaliser sa responsabilité en matière de conformité. L’entreprise doit également s’assurer que les pratiques employées répondent aux exigences légales.

La décision met également en évidence l’importance de pouvoir démontrer sa conformité. Les procédures de contrôle, la vérification des formulaires et la conservation des justificatifs participent à cette démarche. Elles permettent de prévenir les risques liés à l’utilisation de données dont les conditions de collecte seraient contestables, mais aussi de répondre aux demandes de l’autorité de contrôle.

Enfin, cette affaire illustre la distinction entre la sanction d’un manquement et la vérification de sa correction. La mise en conformité peut permettre de clôturer une injonction sans entraîner de sanction supplémentaire au titre de l’astreinte, mais elle n’efface pas la sanction déjà prononcée. Pour les entreprises, le message est donc double : le respect des règles relatives au consentement doit être assuré dès la collecte, et les mesures correctrices doivent pouvoir être démontrées et appliquées dans la durée.

LOCK-T,

avec la participation de Asseline Nessiri, stagiaire