Qui est le responsable du traitement au regard de la législation sur la protection des données lorsque Publicité envoyé par l'intermédiaire d'un fournisseur d'adresses ? L'entreprise publicitaire qui définit le groupe cible, ou le fournisseur d'adresses qui sélectionne les destinataires et traite les données d'adresses ? C'est cette question que le tribunal administratif de Berlin a dû examiner. La décision (réf. : 1 K 74/24) apporte des éclaircissements aux entreprises qui recourent à des prestataires externes de services de publipostage pour leurs campagnes de marketing direct.
L'autorité de surveillance prononce un avertissement
La plaignante, exploitante d'un théâtre de revue à Berlin, souhaitait, fin 2021, faire la promotion d'un spectacle et s'adresser ainsi à des personnes qui n'étaient pas encore clientes.
À cette fin, elle a chargé une société spécialisée dans la gestion de fichiers d'adresses d'envoyer des courriers publicitaires dans le cadre d'un service de traitement postal. La requérante s'est contentée de définir le groupe cible souhaité : les personnes résidant à Berlin et dans le Brandebourg et disposant d'un pouvoir d'achat supérieur à la moyenne.
La sélection concrète des destinataires a été effectuée par la société de vente d'adresses à l'aide de son propre modèle de microcellules. Les données d'adresses utilisées provenaient de la base de données de cette société et n'ont à aucun moment été communiquées à la requérante.
Après qu'une destinataire de la Publicité Plainte après avoir déposé un recours auprès de l'autorité de contrôle de la protection des données, celle-ci a adressé un avertissement à la requérante. Selon l'avis de la autorité de contrôle la requérante et la revendeuse d'adresses étaient conjointement responsables de la Traitement responsable du traitement des données à caractère personnel.
La requérante a alors formé un recours contre la décision de la autorité de contrôle.
Qui est responsable des données d'adresse dans le cadre du processus de traitement du courrier ?
La procédure portait principalement sur la question de savoir si la requérante, conjointement avec la société de vente d'adresses, agissait en tant que Responsable au sens de l'article 4, point 7, et de l'article 26 RGPD pouvait être considéré comme.
Conformément à RGPD Il y a responsabilité conjointe lorsque plusieurs acteurs décident ensemble des finalités et des moyens d'un traitement de données.
L'autorité de contrôle de la protection des données a fait valoir que la plaignante avait influencé le traitement des données en définissant le groupe cible et qu'elle était donc responsable conjointement avec le revendeur d'adresses.
Le tribunal administratif de Berlin n'a toutefois pas suivi cette interprétation.
Le tribunal administratif de Berlin annule l'avertissement
L'utilisation des adresses est soumise au RGPD
Dans un premier temps, le tribunal a précisé que l'utilisation de noms et d'adresses postales pour l'envoi de courriers publicitaires constituait une Traitement constitue un traitement de données à caractère personnel.
La formation et la sélection des microcellules constituent-elles déjà en elles-mêmes une Traitement Le tribunal n'a pas eu à se prononcer sur la question de savoir s'il s'agissait d'un traitement de données à caractère personnel. Ce qui était déterminant, c'était que des coordonnées concrètes avaient été extraites et utilisées pour l'envoi de la Publicité ont été utilisés.
La requérante a déterminé la finalité du traitement
Selon le tribunal, la requérante a bel et bien influencé l'objet de la Traitement.
Cette opération publicitaire visait à attirer de nouveaux clients et servait donc directement ses intérêts économiques. C'est la requérante qui a pris la décision de contacter par écrit de nouveaux clients potentiels.
Cela ne suffit toutefois pas à lui seul pour établir une responsabilité conjointe.
Le traitement des données relevait entièrement de la responsabilité du fournisseur d'adresses
Pour le tribunal, le fait que la plaignante n'ait eu aucune influence sur les modalités concrètes du traitement des données a été déterminant.
La revendeuse d'adresses décidait de son propre chef,
- comment les microcellules se forment,
- quelles caractéristiques statistiques sont utilisées,
- comment les destinataires sont sélectionnés,
- comment les données sont traitées sur le plan technique,
- et comment l'expédition est organisée.
La requérante s'est contentée d'acheter un service. En revanche, la mise en œuvre technique, organisationnelle et en matière de protection des données de l'ensemble de la procédure est restée de la seule responsabilité du fournisseur de listes d'adresses.
Une précision apportée par le tribunal revêt ici une importance particulière : la définition de caractéristiques générales du public cible ne constitue pas, dans le cas d'espèce, une participation aux décisions relatives aux moyens de traitement des données. Elle relève plutôt des objectifs économiques de la campagne publicitaire.
La jurisprudence de la CJUE n'est pas transposable
Le tribunal administratif de Berlin a examiné en détail plusieurs arrêts de la Cour de justice de l'Union européenne, notamment concernant les pages de fans, les plugins des réseaux sociaux et les systèmes publicitaires numériques.
Du point de vue du tribunal, la différence suivante a été déterminante :
Dans les affaires jugées jusqu’à présent par la CJUE (par exemple, l’arrêt du 29 juillet 2019 – C-40/17 – Fashion ID), les acteurs concernés exerçaient généralement une influence non seulement sur la finalité, mais aussi sur les moyens techniques ou organisationnels du traitement des données. Dans certains cas, ils ont même rendu possible la collecte des données ou ont participé activement à la conception des processus de traitement.
Dans le cadre du processus de « lettershop », la situation était différente.
La société de vente d'adresses disposait déjà de sa base de données indépendamment de la commande de la requérante et pouvait l'utiliser de manière autonome. En revanche, la requérante n'a pas donné accès à des données à caractère personnel et n'a pas non plus mis en place d'infrastructure technique pour leur Traitement. Elle s'est contentée d'exploiter un modèle économique déjà existant.
Pour le tribunal, le simple fait d'avoir initié la campagne publicitaire ne suffisait donc pas à établir une responsabilité conjointe.
Ce jugement ne constitue pas un blanc-seing pour le démarchage direct
Il ne faut toutefois pas surestimer l'importance pratique de cette décision.
Le tribunal n'a expressément pas examiné si cette action publicitaire concrète était licite au regard de la législation sur la protection des données. Il n'a pas non plus statué sur la question de savoir si la société de vente d'adresses avait traité les données à caractère personnel de manière licite.
Les questions suivantes, notamment, restent en suspens :
- Est-ce que la Traitement en vertu de l'article 6, paragraphe 1, point f) RGPD être étayées ?
- Si la mise en balance des intérêts penche en faveur de la Publicité de ?
- Si les Obligations d'information conformément à l'article 14 RGPD rempli ?
- La procédure concrète de « lettershop » est-elle, dans l'ensemble, RGPDConforme à […] ?
L'arrêt porte donc exclusivement sur la question de la responsabilité en matière de protection des données.
À la suite de l'arrêt « Lettershop » : ce que les entreprises devraient désormais vérifier
Pour les entreprises qui travaillent avec des fournisseurs d'adresses ou des prestataires de services de publipostage, cette décision constitue une référence importante.
Il convient notamment de consigner par écrit :,
- quel rôle assume le prestataire de services,
- celui qui décide des méthodes et des procédures de sélection,
- si l'entreprise qui fait de la publicité a accès à données à caractère personnel reçoit,
- quelles sont les possibilités d'influencer la Traitement existent bel et bien,
- et qui détermine les processus techniques et organisationnels de traitement.
Plus un donneur d'ordre est impliqué dans l'organisation concrète du traitement des données, plus il est probable qu'il y ait responsabilité conjointe au sens de l'article 26 RGPD peuvent être pris en considération.
Cette décision ne dispense pas les entreprises d'examiner minutieusement leurs processus marketing. En particulier, la base juridique de la Traitement, le respect des Obligations d'information conformément à l'article 14 RGPD ainsi que le statut de chaque prestataire de services au regard de la législation sur la protection des données doivent continuer à faire l'objet d'une évaluation au cas par cas.
Arrêt important concernant l'interprétation de la responsabilité conjointe
Le tribunal administratif de Berlin établit une distinction importante dans l'interprétation de la responsabilité conjointe au titre de l'article 26 RGPD.
La simple indication d'un objectif publicitaire et de critères généraux relatifs au public cible ne suffit pas pour faire d'une entreprise publicitaire, conjointement avec un revendeur d'adresses, le responsable du traitement. Il faut au contraire qu'il y ait une influence effective sur les moyens organisationnels, techniques ou méthodologiques du traitement des données.
Cet arrêt clarifie ainsi la répartition des responsabilités, mais ne répond pas à la question de savoir si ces pratiques publicitaires satisfont, sur le fond, aux exigences de la RGPD suffisent. Cette question reste en suspens.
Source : Tribunal administratif de Berlin, arrêt du 14 octobre 2025 (réf. : 1 K 74/24)
Accompagnement pour la mise en place de processus marketing conformes à la réglementation en matière de protection des données
La décision du tribunal administratif de Berlin montre que la répartition des rôles, au regard de la protection des données, entre l'entreprise qui fait de la publicité, le revendeur d'adresses et les autres prestataires de services doit être examinée avec soin. Dans le même temps, des questions essentielles subsistent quant à la base juridique de la Traitement, vers les Obligations d'information ainsi que sur la mise en place de mesures de marketing direct respectueuses de la protection des données.
2B Advice aide les entreprises à mettre en place, dans le respect de la législation, Marketing- et des processus commerciaux : depuis la classification des parties prenantes au regard de la protection des données jusqu'à la vérification de Bases juridiques jusqu’à la mise en œuvre des obligations en matière d’information et de documentation conformément à RGPD.
Vous souhaitez faire vérifier la conformité de vos processus de marketing direct avec la législation sur la protection des données ? Notre service de protection des données et Conformité-Nos experts se feront un plaisir de vous conseiller
Foire aux questions
Quelles sont les implications de l'arrêt rendu par le tribunal administratif de Berlin pour les procédures de « lettershop » au regard du RGPD ?
L'arrêt rendu par le tribunal administratif de Berlin montre qu'une entreprise publicitaire n'est pas automatiquement responsable conjointement avec un revendeur d'adresses au seul motif qu'elle définit un groupe cible pour une campagne de marketing direct. Ce qui est déterminant, c'est de savoir qui contrôle effectivement les moyens organisationnels, techniques et méthodologiques du traitement des données. Dans le cas d'espèce, cette décision relevait entièrement du fournisseur de listes d'adresses.
Dans quels cas peut-on parler de responsabilité conjointe au sens de l'article 26 du RGPD dans le cadre d'un processus de « lettershop » ?
Une responsabilité conjointe au sens de l'article 26 RGPD peut être envisagé lorsque plusieurs parties prenantes décident conjointement des objectifs et des moyens d'une Traitement décider. Dans le cadre d'une procédure de « lettershop », la décision économique relative à une campagne publicitaire ne suffit pas à elle seule. Ce qui importe, c'est de savoir si le donneur d'ordre a une influence sur les méthodes de sélection, les sources de données, les aspects techniques Traitement, l'organisation de l'expédition ou la sélection concrète des destinataires.
Le simple fait de définir un groupe cible suffit-il pour être considéré comme coresponsable ?
Non, selon la décision du tribunal administratif de Berlin, la simple définition de caractéristiques générales d'un groupe cible ne suffit pas dans ce cas précis. Si une entreprise se contente de définir un groupe cible en fonction de critères tels que la région, le pouvoir d'achat ou le segment de clientèle, mais n'a pas accès aux données d'adresses et que la sélection concrète ainsi que Traitement Si les données sont entièrement détenues par le fournisseur d'adresses, cela va à l'encontre d'une responsabilité conjointe.
Le marketing direct via des fournisseurs d'adresses est-il automatiquement conforme au RGPD à la suite de cet arrêt ?
Non. L'arrêt ne fait que clarifier la question de la responsabilité en matière de protection des données entre l'entreprise qui fait de la publicité et le revendeur d'adresses. Il ne répond pas de manière définitive à la question de savoir si l'action publicitaire concrète elle-même RGPDétait conforme à [...]. Les entreprises doivent continuer à respecter la base juridique, la mise en balance des intérêts, Obligations d'information conformément à l'article 14 RGPD et examiner le déroulement concret de la procédure.
Quels éléments les entreprises doivent-elles consigner avant de faire appel à un prestataire de services de publipostage ?
Les entreprises devraient consigner par écrit le rôle assumé par le prestataire de services de publipostage, qui décide des méthodes de sélection, si l'entreprise a accès à données à caractère personnel qui lui confère une certaine influence sur la Traitement existent et qui gère les processus techniques et organisationnels. Ces Documentation contribue à la répartition des rôles selon RGPD évaluer de manière compréhensible.
Qui aide les entreprises à vérifier la conformité au RGPD de leurs activités de marketing direct, de leurs fournisseurs d'adresses et de leurs processus de traitement du courrier ?
2B Advice accompagne les entreprises dans l'évaluation de la conformité de leurs processus de marketing direct et de vente au regard de la réglementation sur la protection des données. Cela comprend la détermination du statut des parties prenantes, l'évaluation de la responsabilité ou de la responsabilité conjointe, ainsi que la vérification de Bases juridiques, Obligations d'information et les obligations en matière de documentation, ainsi que la mise en place de processus marketing conformes à la législation, conformément à RGPD.
German 
English 
Italian 
French