La Cnil l’avait affirmé, la Cour de cassation vient de le confirmer : l’aspiration sur internet d’adresses électroniques de personnes physiques, à leur insu, est contraire à la législation sur la protection des données personnelles. Dans un arrêt du 14 mars 2006, la cour suprême a estimé que la cour d’appel de Paris avait justifié sa décision en considérant que la société ABS avait collecté des données nominatives par un moyen déloyal. Le 18 mai 2005, la cour de Paris avait condamné le responsable de l’entreprise à 3 000 euros d’amende.

Dans son arrêt, la Cour de cassation commence par établir qu’une adresse électronique constitue une donnée nominative car elle permet l’identification de la personne physique à laquelle elle s’applique. Par ailleurs, la Cour confirme que les données sont considérées comme collectées même sans stockage. Pour elle, « constitue une collecte de données nominatives le fait d’identifier des adresses électroniques et de les utiliser, même sans les enregistrer dans un fichier, pour adresser à leurs titulaires des messages électroniques ». Si la collecte d’informations personnelles n’est pas en soi condamnable, elle doit cependant être effectuée de manière loyale et licite. Or, pour la Cour, est « déloyal le fait de recueillir, à leur insu, des adresses électroniques personnelles de personnes physiques sur l’espace d’internet, ce procédé faisant obstacle à leur droit d’opposition ». Dans cette affaire, les individus concernés n’ont pas pu donner leur consentement alors que le droit d’opposition dont il disposait, en vertu de la loi du 6 janvier 1978, supposait qu’ils en soient avisés.

En 2002, la Cnil avait dénoncé au parquet cinq sociétés qui avaient envoyé des courriers de prospection commerciale non sollicités. La Commission les avaient identifiées à la suite de son opération « boîte à spam » dans laquelle elle demandait aux internautes de lui transmettre les spams qu’ils avaient reçus. Seule la dénonciation d’ABS avait donné lieu à des poursuites pénales. Son responsable avait été relaxé en première instance, mais le procureur de la République avait fait appel ce qui a donné lieu à l’arrêt du 18 mai 2005.
Bien que cet arrêt se prononce au regard de la loi « informatique et libertés » du 6 janvier 1978, cette décision conserve d’autant plus son intérêt que la loi réformée du 6 août 2004 impose explicitement le consentement préalable des personnes concernées au traitement de leurs données. Quant au spam proprement dit, il est désormais strictement encadré par la loi sur la confiance dans l’économie numérique du 21 juin 2004.