PFPDT contre Add Conti : qui invoque un consentement doit le prouver

Source : Cet article repose sur la communication du Préposé fédéral à la protection des données et à la transparence (PFPDT) du 22 octobre 2026, « Le PFPDT interdit à Add Conti GmbH le traitement de données à des fins publicitaires et ordonne leur suppression totale », et sur la décision du PFPDT du 26 juin 2026 qui y est publiée (PDF, en allemand). Les citations de la décision, rédigée en allemand, sont des traductions libres ; « ch. » renvoie aux chiffres marginaux de la décision. L'analyse est la nôtre et ne remplace pas un conseil juridique. Toutes les sources figurent à la fin de l'article.

Le PFPDT a interdit à Add Conti GmbH de traiter des données personnelles à des fins publicitaires sans consentement valable et de les transmettre à des tiers. L'entreprise doit supprimer les données chez elle et chez tous ses sous-traitants, et confirmer la suppression pièces justificatives à l'appui. La décision est définitive.

Ce qui frappe, c'est moins l'interdiction que sa motivation. Add Conti GmbH disposait pour chaque adresse d'une preuve du consentement : un formulaire de jeu-concours rempli avec deux cases cochées, un extrait avec horodatage et adresse IP, un rapport d'envoi pour le code de confirmation par SMS. Sur le papier, c'est à cela que ressemble un registre des consentements bien tenu. Le PFPDT n'y a pas cru, et ses raisons sont instructives pour toute entreprise qui recueille des consentements.

Que s'est-il passé ?

Selon le registre du commerce, Add Conti GmbH est active notamment dans la génération de leads et le list broking, c'est-à-dire le commerce d'adresses (ch. 2). Des personnes domiciliées en Allemagne recevaient, par téléphone, par courrier ou par e-mail, de la publicité d'entreprises qu'elles ne connaissaient pas. Lorsqu'elles demandaient à ces entreprises d'où provenaient leurs données, la réponse était : de la société Add Conti GmbH, qui les aurait collectées lors d'un jeu-concours. Parfois, la piste passait par une ou deux sociétés de marketing intermédiaires (ch. 6 à 9).

Les personnes qui s'adressaient ensuite directement à Add Conti GmbH pour demander des renseignements, la suppression de leurs données ou l'arrêt de la publicité ne recevaient aucune réponse. Au total, le PFPDT a reçu 27 dénonciations (ch. 5).

Date	Étape de la procédure
Du 9 décembre 2023 au 4 juin 2025	15 dénonciations de personnes concernées, puis 12 autres
4 juin 2025	Le PFPDT ouvre l'enquête
Juin et juillet 2025	Pas de réponse au questionnaire, pas même dans le délai supplémentaire
14 août 2025	Plainte pénale pour violation de l'obligation de collaborer
19 août 2025	Décision incidente : le gérant doit se présenter à Berne
29 août 2025	Première prise de position au nom de l'entreprise
18 septembre 2025	Entretien téléphonique avec le gérant de l'époque
Février 2026	État de fait notifié pour prise de position, réception refusée ou envoi non retiré
20 juin 2026	Ouverture de la faillite à l'encontre de la société Add Conti GmbH
26 juin 2026	Décision du PFPDT
22 octobre 2026	Communication du PFPDT : la décision est définitive

À quoi ressemblait la prétendue preuve du consentement ?

Les personnes concernées qui demandaient des renseignements détaillés aux entreprises annonceuses recevaient trois documents (ch. 10) :

1. une impression de la page du jeu-concours, remplie avec leurs données, les deux cases cochées (prise de connaissance des conditions de participation et consentement à la transmission des données), le captcha résolu ;
2. un extrait intitulé « Données des participants enregistrées et preuve du consentement à la publicité », avec l'adresse du jeu-concours, les données personnelles, l'horodatage de l'inscription, l'adresse IP et l'horodatage de la vérification ;
3. un rapport d'envoi d'un sous-traitant établi à Chypre, selon lequel un code d'activation aurait été envoyé par SMS au numéro indiqué.

Formulaire, registre, confirmation par SMS : c'est en principe exactement la chaîne que l'on met en place pour une preuve du consentement solide. C'est précisément pour cela qu'il vaut la peine de regarder pourquoi elle n'a pas tenu ici.

Pourquoi le PFPDT n'a-t-il pas cru à cette preuve ?

La date. L'extrait et le rapport SMS portaient chacun la date du jour où la demande d'accès était parvenue à l'entreprise annonceuse. Le PFPDT écrit à ce sujet : « Il existe donc des indices qu'ils n'ont été établis par Add Conti GmbH qu'en vue de la demande d'accès reçue. » (ch. 10)

Les incohérences. Un dénonciateur n'habitait plus à l'adresse indiquée au moment allégué du consentement, et l'adresse IP indiquée n'existait plus depuis un an (ch. 23). Un autre aurait consenti un dimanche matin à 7 h 26, alors que son téléphone portable n'est allumé que les jours ouvrables (ch. 24). Pour un troisième, l'année de naissance indiquée était 1909 (ch. 55).

Les jeux-concours eux-mêmes. Les pages n'étaient accessibles que par saisie directe de leur adresse. Selon le PFPDT, elles « ont l'air construites et se composent avant tout de tentatives de protection juridique ». Depuis des mois, elles mentionnaient les trois mêmes gagnants, et la politique de confidentialité citait toujours le gérant qui avait quitté l'entreprise au début de 2026 (ch. 56).

Le couplage. Quiconque voulait participer devait en même temps consentir à être contacté par des sponsors « par téléphone, par e-mail et par publicité postale en vue de la conclusion de contrats ». Que quelqu'un accepte cela pour gagner un bon d'achat, le PFPDT le juge « pour le moins discutable » (ch. 57).

Le nombre. Avec 27 dénonciations présentant le même schéma, « on peut exclure qu'il s'agisse de malentendus isolés » (ch. 59). Et comme chaque participation aurait été confirmée par un code SMS, l'explication selon laquelle des inconnus auraient saisi les données d'autrui tombait elle aussi.

Le silence. L'entreprise ne s'est pas prononcée sur les faits établis et n'a apporté aucune preuve (ch. 58).

Le PFPDT résume ainsi le résultat : « Add Conti GmbH n'a pas pu prouver qu'elle dispose d'un consentement juridiquement valable pour les données qu'elle a collectées et transmises. » (ch. 60)

Qui supporte le fardeau de la preuve d'un consentement ?

Le responsable du traitement. La loi fédérale sur la protection des données (LPD) n'exige pas un consentement pour chaque traitement. Mais qui s'en prévaut doit le prouver. Le PFPDT retient :

« Selon les règles générales sur le fardeau de la preuve de l'art. 8 CC, le fardeau de la preuve de l'existence d'un motif justificatif incombe à la personne qui se prévaut du motif justificatif, c'est-à-dire à celui qui traite les données » (ch. 53)

Il renvoie à cet égard à un arrêt du Tribunal administratif fédéral du 6 octobre 2025 (A-2941/2024). Pour la publicité en dehors d'une relation commerciale existante, il faut selon le PFPDT « toujours un consentement libre, recueilli au préalable et donné après une information adéquate » (ch. 53).

Pour les personnes dans l'UE, la même règle est expressément inscrite dans la loi. L'article 7, paragraphe 1, du règlement général sur la protection des données (RGPD) dispose : « Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant. »

Qu'est-ce qui rend une preuve du consentement crédible ?

La décision ne contient pas de liste de contrôle. Les raisons pour lesquelles le PFPDT a écarté la preuve permettent toutefois de déduire ce à quoi une preuve doit résister. Notre analyse :

1. Elle naît au moment de la décision. Un registre constitué seulement sur demande n'en est pas un. L'entrée doit être créée automatiquement, avec l'horodatage du serveur, à l'instant où la personne clique.
2. Elle reste inchangée. Les exports et les extraits proviennent du registre courant et portent son horodatage, et non la date de l'export.
3. Elle consigne ce à quoi la personne a consenti. Quelles catégories, quel texte, quels destinataires. Un consentement « pour la publicité » sans lien avec une finalité déterminée ne vaut pas grand-chose.
4. Elle concorde avec le chemin par lequel les données sont arrivées. Qui collecte des adresses au moyen d'un formulaire devrait pouvoir montrer comment les gens ont bien pu arriver sur ce formulaire. Une page que personne ne trouve n'explique pas des milliers d'inscriptions.
5. Elle enregistre le refus et la révocation au même titre que l'acceptation. Sinon, elle ne documente que la moitié de l'histoire.
6. Elle n'est pas conservée plus longtemps que nécessaire. Combien de temps cela représente, nous l'expliquons dans l'article sur la conservation du registre des consentements.

Pour les consentements aux cookies, chez Aiara, c'est la bannière qui s'en charge : chaque acceptation, chaque refus et chaque révocation est journalisé au moment du choix, avec l'horodatage, l'action et les catégories choisies. Nous n'enregistrons l'adresse IP que sous forme de valeur de hachage, jamais en clair. Pour chaque mois écoulé, une archive des consentements est disponible sous forme de fichier CSV. Pour les consentements liés aux newsletters, aux jeux-concours ou aux leads, le même principe s'applique, mais c'est alors au système de formulaire ou d'envoi de l'assurer. À quoi ressemble un double opt-in correct, nous l'expliquons dans l'article sur l'envoi de newsletters en Suisse.

Qu'en est-il des demandes d'accès, de suppression et d'opposition ?

Ici, le cas était clair. Douze personnes concernées avaient écrit à Add Conti GmbH aux adresses e-mail publiées, sept par lettre recommandée. Pas une seule réponse (ch. 46). Au moins 13 s'étaient opposées au traitement ou avaient demandé la suppression, là encore sans réaction (ch. 51).

Des renseignements dans les 30 jours. Quiconque demande des renseignements en vertu de l'article 25 LPD doit en principe les obtenir gratuitement et dans les 30 jours. Le PFPDT souligne que le responsable du traitement doit pour cela « établir des processus internes » (ch. 44).

Suppression : aucun délai légal, mais rapidement. La loi ne fixe aucun délai pour les demandes de suppression. Le PFPDT retient néanmoins que le responsable du traitement doit les examiner « rapidement », faute de quoi il traite des données contre la volonté exprimée de la personne, ce qui constitue une atteinte illicite à la personnalité au sens de l'article 30, alinéa 2, lettre b, LPD (ch. 49).

Les excuses ne comptent pas. L'entreprise a expliqué que son gérant voyageait régulièrement entre l'Asie et l'Europe, qu'il fallait d'abord trouver un suppléant et que les fournisseurs de messagerie allemands filtraient de nombreux messages comme spam (ch. 14 et 15). Depuis octobre 2025, le PFPDT a reçu cinq autres dénonciations de même teneur.

Externaliser ne décharge pas. Les demandes auraient été traitées par un prestataire à Hambourg et un conseiller à la protection des données à Krefeld. Selon le gérant, il n'existait même pas de contrat écrit avec le prestataire (ch. 42). Le PFPDT à ce sujet :

« Elle peut certes confier contractuellement des tâches concrètes à des tiers, mais reste juridiquement responsable de fournir les renseignements visés à l'art. 25 LPD dans les 30 jours, de veiller à ce que les oppositions soient mises en œuvre et à ce que les données ne soient traitées que de manière licite. » (ch. 43)

En pratique, cela signifie que chaque adresse de contact figurant dans la politique de confidentialité doit être lue par quelqu'un, même pendant les vacances. Les lettres, les e-mails et les appels doivent aboutir à un seul endroit, avec la date de réception et l'échéance du délai. C'est précisément à cela que sert, dans Aiara Pro, la gestion des demandes des personnes concernées : un formulaire en quatre langues, les lettres et e-mails saisis à la main dans la même liste, le délai de 30 jours à compter de la réception et des rappels à votre équipe sept jours et un jour avant l'échéance. La réponse à la personne, c'est vous qui la rédigez.

La LPD s'applique-t-elle aussi lorsque seules des personnes à l'étranger sont concernées ?

Oui. Tous les dénonciateurs résidaient en Allemagne, et les entreprises annonceuses y avaient leur siège. Selon le PFPDT, cela n'est pas déterminant pour l'applicabilité de la LPD : ce qui compte, c'est que l'entreprise responsable ait son siège en Suisse et qu'une part pertinente du traitement s'y déroule (ch. 37). Le PFPDT écrit à ce propos que la Suisse ne doit « pas devenir un havre sûr pour des traitements de données qui ne déploient aucun effet sur le territoire national, parce que, par exemple, seules des informations sur des personnes domiciliées à l'étranger sont traitées depuis la Suisse ».

Pour les entreprises suisses ayant une clientèle à l'étranger, c'est le revers de la médaille : qui traite des données depuis la Suisse est soumis à la surveillance suisse et, selon l'offre, également au RGPD. Nous expliquons la différence entre les deux réglementations dans l'article LPD et RGPD comparés.

Que signifie ce cas pour les entreprises qui achètent des adresses ?

La décision ne s'adresse qu'à Add Conti GmbH. Les faits révèlent toutefois une chaîne : les entreprises annonceuses en Allemagne citaient Add Conti GmbH comme source, parfois par l'intermédiaire d'autres revendeurs. Qui achète des adresses ou des leads reprend ainsi à son compte la question de savoir si elles ont été collectées de manière licite. Si une personne concernée le demande, il doit notamment communiquer les informations disponibles sur l'origine des données (article 25, alinéa 2, lettre e, LPD).

Notre analyse : qui s'appuie sur un consentement recueilli par un autre devrait se faire montrer, avant l'achat, comment ce consentement est obtenu, et pouvoir obtenir pour chaque enregistrement une preuve qui ne soit pas générée seulement le jour de la demande. Une preuve qui s'effondre au premier examen attentif ne protège pas plus l'acheteur que le vendeur.

Quelles ont été les conséquences de la procédure ?

• Interdiction et suppression. Le traitement et la communication à des fins publicitaires doivent cesser ; les données doivent être supprimées auprès de l'entreprise et de tous ses sous-traitants dans un délai de 30 jours à compter du jour où la décision est devenue définitive, et la suppression doit être confirmée au PFPDT pièces justificatives à l'appui. Le PFPDT renonce à ordonner la communication a posteriori des renseignements, étant donné que les données doivent de toute façon être supprimées.
• Menace de sanction pénale. La décision est rendue avec un renvoi à l'article 63 LPD. Quiconque ne s'y conforme pas intentionnellement est puni d'une amende de 250 000 francs au plus. Selon l'article 29 du Code pénal, est punissable la personne physique qui aurait dû veiller à l'exécution au sein de l'entreprise (ch. 65). Le fonctionnement des amendes prévues par la LPD est expliqué dans l'article sur les amendes en matière de protection des données en Suisse.
• Émolument. Le PFPDT facture son travail : 26,75 heures plus les débours, soit 6456 francs au total (ch. 68).
• Plainte pénale. Pour violation de l'obligation de collaborer, le PFPDT avait déjà déposé en août 2025 une plainte pénale auprès du ministère public du canton de Saint-Gall contre les organes responsables. On ne sait rien de son issue. Les prévenus bénéficient de la présomption d'innocence.
• Faillite. Selon le PFPDT, une procédure de faillite a été ouverte à l'encontre de la société Add Conti GmbH avec effet au 20 juin 2026.

Ce que les entreprises devraient vérifier maintenant

1. D'où viennent nos adresses publicitaires ? Pour chaque source, clarifier sur quelle base repose le traitement et, pour les adresses achetées, documenter leur origine.
2. Pouvons-nous prouver chaque consentement ? Un registre qui naît au moment de la décision et ne peut pas être modifié après coup.
3. Le consentement est-il libre et spécifique ? Pas de cases obligatoires qui couplent participation et publicité, et des finalités et destinataires clairement nommés.
4. Les adresses de contact sont-elles lues ? Chaque adresse figurant dans la politique de confidentialité aboutit chez une personne qui s'en occupe, avec un suppléant.
5. Respectons-nous les 30 jours ? Consigner la date de réception, rendre l'échéance visible, prévoir un rappel avant l'expiration du délai.
6. Mettons-nous en œuvre rapidement les oppositions et les suppressions ? Y compris chez les sous-traitants, avec un contrat écrit et une preuve de la suppression.

---

Aiara est un fournisseur suisse de bannières de cookies, de preuves de consentement et de textes juridiques. Cet article restitue la communication et la décision du PFPDT et les analyse. Il ne remplace pas un conseil juridique dans un cas particulier.

Sources

• PFPDT, communication du 22 octobre 2026 : « Le PFPDT interdit à Add Conti GmbH le traitement de données à des fins publicitaires et ordonne leur suppression totale », consulté le 28 octobre 2026
• PFPDT, Verfügung vom 26. Juni 2026, Add Conti GmbH, Adressdatenbank für Werbezwecke und Betroffenenrechte (PDF, en allemand), définitive
• PFPDT, communication du 21 août 2025 : « Le PFPDT a déposé plainte contre Add Conti GmbH pour violation de l'obligation de collaborer dans le cadre d'une enquête »
• Loi fédérale sur la protection des données (LPD), RS 235.1