RGPD: CNIL 2026 vs EDPB sur l’intra‑groupe — marketing ?

Intra‑groupe: CNIL (2026) vs EDPB — marketing ou admin ?

Le 10 juin 2026, la CNIL a précisé les règles de « transmission de fichiers à des partenaires » pour la prospection B2C: consentement requis pour l’électronique, intérêt légitime seulement pour le postal. L’EDPB, lui, admet l’intérêt légitime pour des échanges intra‑groupe… mais à des fins administratives internes.

L’affaire

Le fait déclencheur est la publication par la CNIL, le 10 juin 2026, d’une page pratique dédiée à la transmission de données à des partenaires pour de la prospection B2C. Elle y distingue deux régimes:

• si la prospection des partenaires est réalisée par voie électronique (email, SMS, automate d’appel), le responsable qui transmet le fichier doit recueillir le consentement préalable spécifique des personnes pour cette transmission et pour la prospection de ces partenaires, avec information sur le périmètre des partenaires; à défaut, la transmission n’est pas licite, et le partenaire ne peut pas démarcher. En revanche, pour la prospection par courrier postal, la transmission peut reposer sur l’intérêt légitime, sous réserve d’information et d’un droit d’opposition effectif. Source: CNIL, « La prospection vers les particuliers (B to C): quelles règles pour transmettre des données à des partenaires ? » (10 juin 2026). Voir cnil.fr. (cnil.fr)
• ce positionnement prolonge des schémas pratiques CNIL plus anciens sur la « transmission des données à des partenaires » qui imposent, pour les canaux électroniques, un consentement actif et spécifique, assorti d’informations adéquates sur l’identité des partenaires. Voir le mémo CNIL « Transmission des données à des partenaires » (PDF). (cnil.fr)

En parallèle, l’EDPB a adopté en octobre 2024 ses Guidelines sur l’intérêt légitime, rappelant expressément que, selon le considérant 48 RGPD, les responsables appartenant à un groupe d’entreprises peuvent avoir un intérêt légitime à transmettre des données « à des fins administratives internes » (clients et employés inclus). L’EDPB insiste toutefois sur la mise en balance (art. 6(1)(f)) et le droit d’opposition (art. 21), notamment en matière de marketing direct. Voir EDPB, « Guidelines 2024/01 on legitimate interest ». (edpb.europa.eu)

Pour le Luxembourg, la CNPD rappelle que des entités d’un même groupe restent, en principe, des responsables distincts; leurs échanges peuvent constituer des transferts, et — s’ils franchissent les frontières de l’EEE — relèvent du chapitre V (art. 44‑49). Voir CNPD, « Notion de transfert de données vers un pays tiers »; et page « Transferts internationaux de données personnelles ». (cnpd.public.lu)

Le raisonnement juridique

• Base légale. L’article 6(1)(f) RGPD autorise un traitement fondé sur l’intérêt légitime, sous réserve d’une mise en balance documentée entre l’intérêt du responsable et les droits et libertés des personnes. L’EDPB précise que le considérant 48 vise l’échange intra‑groupe pour des « finalités administratives internes » (p. ex., mutualisation d’outils RH, consolidation comptable), mais n’ouvre pas un blanc‑seing pour d’autres finalités, en particulier la prospection commerciale par des entités sœurs. Voir EDPB 2024/01 et le renvoi explicite au considérant 48. (edpb.europa.eu)
• Prospection commerciale. L’article 21(2) RGPD consacre un droit d’opposition inconditionnel à la prospection directe. En pratique, pour des envois électroniques B2C, le droit dérivé (ePrivacy) et la pratique des autorités imposent le consentement préalable (« opt‑in ») des personnes, y compris quand la prospection est réalisée par des partenaires ou d’autres sociétés du groupe. La CNIL l’énonce clairement dans sa note du 10 juin 2026 et ses fiches pratiques connexes. (cnil.fr)
• Transmissions intra‑groupe et transferts internationaux. La CNPD souligne que les sociétés d’un même groupe sont souvent des responsables distincts; dès lors, une transmission intra‑groupe est, juridiquement, une « communication à un destinataire » qui doit être portée à l’information des personnes (art. 13/14 RGPD). Si le destinataire est situé hors de l’EEE (ou si l’accès est fourni depuis un pays tiers), il s’agit d’un transfert soumis au chapitre V (décision d’adéquation, BCR, SCC, etc.). Voir CNPD, « Notion de transfert… » et « Chapitre V RGPD », et rappel des BCR (art. 47 RGPD). (cnpd.public.lu)
• Synthèse de la divergence. L’EDPB accepte l’intérêt légitime pour des échanges intra‑groupe à finalité strictement administrative (cons. 48), alors que la CNIL exige, pour la transmission d’un fichier en vue de prospection B2C par des partenaires (y compris du groupe) via email/SMS/appel automatisé, un consentement préalable, spécifique et traçable. La CNPD, sans contredire l’EDPB, attire l’attention sur le fait que l’intra‑groupe n’efface ni les exigences de base légale et d’information, ni — dès qu’il y a un pays tiers en jeu — les exigences du chapitre V. (edpb.europa.eu)

Ce que ça change concrètement

• Cas 1 — « Administratif interne » (Luxembourg + UE). Mutualiser des données RH ou clients au sein d’un ERP groupe pour de la comptabilité consolidée ou de l’administration interne peut reposer sur l’intérêt légitime (art. 6(1)(f)), si la mise en balance démontre la nécessité et la proportionnalité, et si l’information (art. 13/14) et les mesures de sécurité (art. 32) sont au rendez‑vous. Référence EDPB + considérant 48 via CNPD. (edpb.europa.eu)
• Cas 2 — « Marketing B2C par la filiale/sœur ». Pour transmettre un fichier clients/prospects afin qu’une autre société du groupe envoie des emails ou SMS marketing, la CNIL exige le consentement préalable spécifique couvrant la transmission et la prospection des partenaires nommément identifiés (ou via une liste accessible), et déconseille toute « transmission de consentement » de partenaire en partenaire. En l’absence d’un tel consentement, la transmission n’est pas licite pour des canaux électroniques; le simple intérêt légitime ne suffit pas. (cnil.fr)
• Cas 3 — « Transfert hors EEE ». Si la filiale réceptrice est située aux États‑Unis ou si l’accès au CRM luxembourgeois est réalisé depuis un pays tiers, vérifiez le mécanisme du chapitre V (décision d’adéquation, BCR approuvées, SCC + TIA et mesures additionnelles). La CNPD rappelle que l’intra‑groupe reste un transfert s’il franchit l’EEE. (cnpd.public.lu)
• Cas 4 — « Prospection postale ». La CNIL admet l’intérêt légitime pour la transmission de fichiers en vue d’envois postaux, sous réserve d’information claire et d’un mécanisme d’opposition simple et gratuit, y compris lorsque le destinataire est un partenaire. Attention toutefois aux règles nationales (p. ex., interdiction du démarchage téléphonique B2C en France depuis le 11 août 2026, hors consentement). (cnil.fr)

Pièges fréquents

1. « Recital 48 = passe‑partout ». Non: l’EDPB borne l’intérêt légitime aux « finalités administratives internes ». Le marketing par une autre entité du groupe ne relève pas, par nature, de cette catégorie. Documentez une LIA (legitimate interest assessment) et, pour le marketing électronique des partenaires, basculez vers le consentement tel que balisé par la CNIL. (edpb.europa.eu)
2. Oublier l’information art. 14 en cas de réutilisation par un partenaire/une filiale. Le partenaire qui contacte pour la première fois doit informer sur la source, la base légale et les droits (dont opposition). (cnil-d10.cnil.fr)
3. Confondre « intra‑groupe UE » et « extra‑UE ». Un accès depuis un pays tiers à un CRM hébergé au Luxembourg est un transfert: sans mécanisme du chapitre V, non‑conformité. (cnpd.public.lu)
4. « Transmettre le consentement » en cascade. Le consentement obtenu pour A et B ne vaut pas automatiquement pour C et D; la CNIL refuse la transmission de consentement de partenaire en partenaire. (cnil.fr)
5. Mélanger RH/administratif et marketing dans la même finalité. Séparez les bases légales, les notices d’information, les durées de conservation et les contrôles d’accès; tenez un registre art. 30 distinct pour chaque traitement et destinataire intra‑groupe.

Sources officielles

• CNIL — La prospection vers les particuliers (B to C): quelles règles pour transmettre des données à des partenaires ? (10/06/2026): cnil.fr. (cnil.fr)
• CNIL — Transmission des données à des partenaires (mémo PDF): cnil.fr. (cnil.fr)
• EDPB — Guidelines 2024/01 on legitimate interest (réf. au considérant 48 et droit d’opposition art. 21): edpb.europa.eu. (edpb.europa.eu)
• CNPD — Notion de transfert de données vers un pays tiers (intra‑groupe = potentiellement un transfert; interaction art. 3/chapitre V): cnpd.public.lu. (cnpd.public.lu)
• CNPD — Transferts internationaux de données personnelles (rappels de principe et bases de licéité): cnpd.public.lu.
• CNPD — Considérants RGPD (cons. 48 — intérêt légitime intra‑groupe; marketing et opposition): cnpd.public.lu.

En pratique pour des dirigeants luxembourgeois en 2026: sécurisez vos échanges intra‑groupe « administratifs » sous intérêt légitime avec une LIA robuste et une information claire; pour toute transmission destinée au marketing B2C par des entités sœurs, cap sur le consentement « granulaire » tel qu’opérationnalisé par la CNIL — et, dès qu’un pays tiers intervient, enclenchez le chapitre V (SCC/BCR + TIA). Pour cadrer ces chantiers, vous pouvez vous appuyer sur un mandat DPO et sur nos ressources dédiées au cadre RGPD.

Article d'expertise Luxgap. Pour un cadrage personnalisé sur ce sujet, contactez-nous ou configurez votre devis en ligne.