La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, MM. KLING et Bertrand du MARAIS, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret n°2019-536 du 29 mai 2019 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2023-193C du 31 juillet 2023 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification ;

Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 30 octobre 2024 ;

Vu le rapport de M. Fabien TARISSAN, commissaire rapporteur, notifié à la société INFINITE STYLES SERVICES CO. LIMITED le 18 février 2025 ;

Vu les observations écrites de la société INFINITE STYLES SERVICES CO. LIMITED reçues le 18 mars 2025 ;

Vu la réponse du rapporteur notifiée à la société INFINITE STYLES SERVICES CO. LIMITED le 18 avril 2025 ;

Vu les observations écrites de la société INFINITE STYLES SERVICES CO. LIMITED reçues le 19 mai 2025 ;

Vu la clôture de l’instruction notifiée à la société INFINITE STYLES SERVICES CO. LIMITED le 10 juin 2025 ;

Vu les observations orales formulées lors de la séance de la formation restreinte du 10 juillet 2025 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 10 juillet 2025 :

– M. Fabien TARISSAN, commissaire, entendu en son rapport ;

En qualité de représentants de la société INFINITE STYLES SERVICES CO. LIMITED :

– […]

Le président ayant vérifié l’identité des représentants du mis en cause, présenté le déroulé de la séance et rappelé que les mis en cause peuvent, s’ils le souhaitent, présenter des observations orales introductives ou en réponse aux questions des membres de la formation restreinte.

La société INFINITE STYLES SERVICES CO. LIMITED ayant été informée, à titre conservatoire et au regard des implications encore incertaines de la jurisprudence du Conseil constitutionnel en cette matière, de son droit de garder le silence sur les faits qui lui étaient reprochés, et celle-ci ayant eu la parole en dernier.

Après en avoir délibéré, a adopté la décision suivante :

I. Faits et procédure

1. L’activité du groupe INFINITE STYLES consiste en la vente, principalement sur son site web  » shein.com « , de vêtements, chaussures et accessoires de sa marque  » SHEIN « , mais également de marques déposées par des tiers.

2. Le groupe INFINITE STYLES, dont la maison mère ROADGET BUSINESS PTE LTD est située à Singapour, est composé de plusieurs établissements au sein de l’Union européenne, dont les établissements irlandais INFINITE STYLES ECOMMERCE LIMITED et INFINITE STYLES SERVICES CO. LIMITED détenus à 100 % par la maison mère, ainsi que l’établissement français INFINITE STYLES ECOMMERCE FRANCE détenu à 100 % par la société irlandaise INFINITE STYLES ECOMMERCE LIMITED.

3. La distribution, dans l’Union européenne, des produits de la marque  » SHEIN  » est assurée par la société INFINITE STYLES ECOMMERCE LIMITED. La société INFINITE STYLES SERVICES CO. LIMITED est en charge, depuis le 1er août 2023, de la gestion des sous-domaines européens du nom de domaine  » shein.com « . La société INFINITE STYLES ECOMMERCE FRANCE, quant à elle, promeut, en France, les produits de la marque  » SHEIN « , notamment en organisant des défilés de mode et des boutiques éphémères.

4. En 2023, le chiffre d’affaires de la société ROADGET BUSINESS PTE LTD était de […] dollars (soit environ […] d’euros) et ses bénéfices de […] dollars (soit environ […] d’euros).

5. Par décision n° 2023-193C du 31 juillet 2023, la Présidente de la Commission nationale de l’informatique et des libertés (ci-après  » la Commission  » ou  » la CNIL « ) a chargé le secrétaire général de procéder ou de faire procéder à une mission de contrôle afin de vérifier la conformité à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après  » la loi Informatique et Libertés  » ou  » LIL « ) et au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après  » le RGPD  » ou  » le Règlement « ), de tout traitement accessible à partir du domaine  » shein.com  » depuis un terminal situé en France.

6. En application de cette décision, le 10 août 2023, une délégation a procédé à un contrôle en ligne sur le site web  » shein.com « , au cours de laquelle elle a reproduit le parcours d’un utilisateur se rendant sur le site web  » shein.com « .

7. Par courrier du 9 août 2023, la société INFINITE STYLES ECOMMERCE FRANCE a ensuite été convoquée à une audition le 29 août 2023. Celle-ci a été reportée à la demande de la société INFINITE STYLES ECOMMERCE FRANCE. Elle a donc été convoquée, par courrier du 24 août 2023, à une audition le 5 octobre 2023.

8. L’ensemble de ces opérations de contrôle a donné lieu à des échanges entre la délégation et les sociétés contrôlées portant particulièrement sur la finalité des cookies dont le dépôt avait été constaté à l’occasion du contrôle en ligne, sur leurs activités et la gouvernance des traitements de données à caractère personnel.

9. Aux fins d’instruction de ces éléments, la Présidente de la Commission a, le 30 octobre 2024, désigné Monsieur Fabien TARISSAN en qualité de rapporteur sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés.

10. Le 18 février 2025, à l’issue de son instruction, le rapporteur a fait notifier à la société un rapport détaillant le manquement à l’article 82 de la loi Informatique et Libertés modifiée qu’il estimait constitué en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société et une injonction assortie d’une astreinte de mettre en conformité le traitement avec les dispositions de l’article 82 de la loi Informatique et Libertés. Il proposait également que cette décision soit rendue publique.

11. Le 18 mars 2025, la société a produit des observations en réponse au rapport de sanction.

12. Le rapporteur a répondu aux observations de la société le 18 avril 2025.

13. Le 19 mai 2025, la société a produit ses deuxièmes observations en réponse.

14. Par courrier du 10 juin 2025, le rapporteur a, en application du III de l’article 40 du décret n° 2019-536 précité, informé la société et le président de la formation restreinte que l’instruction était close.

15. Par courrier du 11 juin 2025, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 10 juillet 2025.

16. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur le traitement en cause et la détermination du responsable de traitement

17. Le traitement objet de la présente procédure est relatif au dépôt de cookies sur le terminal des utilisateurs résidant en France lors de la navigation sur le sous-domaine français du nom de domaine  » shein.com « .

18. Le paragraphe 7 de l’article 4 du RGPD – qui s’applique en raison du renvoi fait par l’article 2 de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2006/24/CE du 15 mars 2006 et par la directive 2009/136/CE du 25 novembre 2009 (ci-après, directive  » ePrivacy « ) à l’ancienne directive 95/46/CE à laquelle s’est substitué le RGPD – prévoit que le responsable de traitement est  » la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement « .

19. En l’espèce, la formation restreinte relève que la délégation a été informée, lors du contrôle sur audition, que  » la société INFINITE STYLES SERVICES LIMITED […] est devenue le gestionnaire des sous-domaines de  » shein.com  » dans l’UE  » et, par un courrier du 21 mars 2024, que  » tous les cookies des sites internet Shein de la région EMEA sont exploités par Infinite Styles Services Co. Limited « .

20. La formation restreinte observe, par ailleurs, que la politique de confidentialité, dans sa version disponible sur le site web  » shein.com  » au jour du contrôle en ligne,  » explique comment Infinite Styles Co., Limited, qui exerce ses activités sous le nom de  » SHEIN « , collecte, utilise, partage et traite vos données à caractère personnel lorsque vous utilisez ou accéder au présent site Web (le  » Site « )  » et précise que  » le Site et l’Application sont fournis par Infinite Services Co. Limited, qui est le responsable du traitement et de la protection de vos données à caractère personnel « .

21. Au vu de ce qui précède, la formation restreinte considère, sans que cela ait d’ailleurs été contesté par la société, que la société INFINITE STYLES SERVICES CO. LIMITED agit en qualité de responsable du traitement relatif au dépôt et à la lecture de cookies sur le terminal des utilisateurs du site web  » shein.com « .

B. Sur la compétence de la CNIL

1. Sur la compétence matérielle de la CNIL et la non-application du mécanisme de  » guichet unique  » prévu par le RGPD

22. Le traitement objet de la présente procédure, relatif au dépôt de cookies sur le terminal des utilisateurs résidant en France lors de la navigation sur le sous-domaine français du nom de domaine  » shein.com « , est effectué dans le cadre de la fourniture de services de communications électroniques accessibles au public par le biais d’un réseau public de communications électroniques proposés au sein de l’Union européenne. À ce titre, il entre dans le champ d’application matériel de la directive  » ePrivacy « .

23. L’article 5, paragraphe 3, de cette directive, relatif au stockage ou à l’accès à des informations déjà stockées dans l’équipement terminal d’un abonné ou d’un utilisateur, a été transposé en droit interne à l’article 82 de la loi Informatique et Libertés, au sein du chapitre IV de la loi relatif aux droits et obligations propres aux traitements dans le secteur des communications électroniques.

24. Aux termes de l’article 16 de la loi Informatique et Libertés,  » la formation restreinte prend les mesures et prononce les sanctions à l’encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant […] de la présente loi « . Selon l’article 20, paragraphe III, de cette même loi,  » lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant […] de la présente loi, le président de la Commission nationale de l’informatique et des libertés […] peut saisir la formation restreinte « .

25. Le rapporteur considère que la CNIL est matériellement compétente pour contrôler et, le cas échéant, sanctionner les opérations d’accès ou d’inscription d’informations mises en œuvre par la société INFINITE STYLES SERVICES CO. LIMITED dans les terminaux des utilisateurs du sous-domaine français du nom de domaine  » shein.com « , ce que conteste cette dernière.

26. En défense, la société considère que, dès lors que les cookies qu’elle dépose sur les terminaux des utilisateurs permettent la collecte et le traitement de données à caractère personnel, le traitement en cause relève du RGPD et non de la loi Informatique et Libertés. Elle considère également que le mécanisme du guichet unique s’applique compte tenu du caractère transfrontalier du traitement en cause. Elle en conclut que l’autorité compétente pour se prononcer sur ce traitement est l’autorité irlandaise et non pas la CNIL.

27. La formation restreinte rappelle, d’abord, que dès lors que les traitements objets du contrôle sont effectués dans le cadre de la fourniture de services de communications électroniques accessibles au public par le biais d’un réseau public de communications électroniques proposé au sein de l’Union européenne, ils entrent dans le champ d’application matériel de la directive  » ePrivacy « . A cet égard, elle souligne qu’il convient de distinguer, d’une part, le dépôt et la lecture de cookies dans le terminal des utilisateurs se rendant sur le domaine  » shein.com « , qui est soumis aux dispositions de l’article 5, paragraphe 3, de la directive  » ePrivacy « , transposées en droit français à l’article 82 de la loi Informatique et Libertés, et d’autre part, le traitement subséquent, opéré à partir des données à caractère personnel collectées par l’intermédiaire de ces cookies, qui est soumis aux dispositions du RGPD.

28. Elle relève ensuite qu’il ressort des dispositions précitées que le législateur français a chargé la CNIL de veiller au respect, par les responsables de traitement, des dispositions de la directive  » ePrivacy  » transposées à l’article 82 de la loi Informatique et Libertés, en lui confiant notamment le pouvoir de sanctionner toute méconnaissance de ces articles.

29. La formation restreinte rappelle enfin que le Conseil d’État a, dans sa décision Société GOOGLE LLC et société GOOGLE IRELAND LIMITED du 28 janvier 2022, confirmé que le contrôle des opérations d’accès ou d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, relève de la compétence de la CNIL et que le système du guichet unique prévu par le RGPD n’est pas applicable :  » il n’a pas été prévu l’application du mécanisme dit du  » guichet unique  » applicable aux traitements transfrontaliers, défini à l’article 56 de ce règlement, pour les mesures de mise en œuvre et de contrôle de la directive 2002/58/CE du 12 juillet 2002, qui relèvent de la compétence des autorités nationales de contrôle en vertu de l’article 15 bis de cette directive. Il s’ensuit que, pour ce qui concerne le contrôle des opérations d’accès et d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, les mesures de contrôle de l’application des dispositions ayant transposé les objectifs de la directive 2002/58/CE relèvent de la compétence conférée à la CNIL par la loi du 6 janvier 1978 […]  » (CE, 28 janvier 2022, 10ème et 9ème chambres réunies, société GOOGLE LLC et société GOOGLE IRELAND LIMITED, n° 449209, au recueil). Le Conseil d’État a réaffirmé cette position dans une décision du 27 juin 2022 (CE, 10ème et 9ème chambres réunies, 27 juin 2022, société AMAZON EUROPE CORE, n° 451423, aux Tables).

30. Dès lors, la formation restreinte considère que la CNIL est compétente pour contrôler et engager une procédure de sanction concernant le traitement relatif au dépôt et à la lecture de cookies dans le terminal des utilisateurs se rendant sur le site web français  » shein.com « , qui relève du champ d’application de la directive  » ePrivacy « , sous réserve que le traitement se rattache à sa compétence territoriale.

2. Sur la compétence territoriale de la CNIL

31. La règle d’application territoriale des exigences figurant à l’article 82 de la loi Informatique et Libertés est fixée à l’article 3, paragraphe I, de la même loi, qui dispose :  » sans préjudice, en ce qui concerne les traitements entrant dans le champ du règlement (UE) 2016/679 du 27 avril 2016, des critères prévus par l’article 3 de ce règlement, l’ensemble des dispositions de la présente loi s’appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d’un établissement d’un responsable du traitement […] sur le territoire français, que le traitement ait lieu ou non en France « .

32. Le rapporteur considère que la CNIL est territorialement compétente en application de ces dispositions dès lors que le traitement consistant en des opérations d’accès ou d’inscription dans le terminal d’utilisateurs situé en France lors de la navigation sur le site web  » shein.com « , est effectué dans le  » cadre des activités  » de la société INFINITE STYLES ECOMMERCE FRANCE, laquelle constitue  » l’établissement  » sur le territoire français de la société irlandaise INFINITE STYLES SERVICES CO. LIMITED.

33. La société conteste cette analyse à deux titres. S’agissant de la notion d’établissement, la société soutient qu’elle fait certes partie du même groupe que la société INFINITE STYLES ECOMMERCE FRANCE, mais souligne que les deux sociétés n’ont pas de lien juridique. Elle considère donc que la société INFINITE STYLES ECOMMERCE FRANCE ne peut pas être regardée comme son établissement au sens de la décision Weltimmo de la Cour de justice de l’Union européenne (ci-après  » la Cour de justice  » ou  » la CJUE « ) (1er octobre 2015, C-230/14). S’agissant de l’existence d’un traitement effectué dans le cadre des activités de l’établissement français, la société soutient que le traitement en cause n’intervient pas dans le cadre des activités de la société INFINITE STYLES ECOMMERCE FRANCE, dès lors que cette dernière ne promeut ou ne commercialise pas d’espace publicitaire sur le site web  » shein.com  » sur lequel les cookies sont déposés et qu’elle n’exploite pas et n’a pas accès aux données collectées par ces cookies.

34. A titre liminaire, la formation restreinte rappelle que pour déterminer si la CNIL dispose d’une compétence pour contrôler le respect par la société INFINITE STYLES SERVICES CO. LIMITED des exigences prévues à l’article 82 de la loi Informatique et Libertés dans le cadre du traitement objet de la procédure, il convient d’examiner si les deux critères d’application territoriale prévus au paragraphe I de l’article 3 de cette loi sont réunis, à savoir, d’une part, si cette société dispose d’un  » établissement sur le territoire français  » et si, d’autre part, le traitement en cause est effectué  » dans le cadre des activités de cet établissement « .

35. En premier lieu, s’agissant de l’existence d’un établissement du responsable de traitement sur le territoire français, la formation restreinte rappelle que, de façon constante, la CJUE a considéré que la notion d’établissement doit être appréciée de façon souple et qu’à cette fin, il convenait d’évaluer tant le degré de stabilité de l’installation que la réalité de l’exercice des activités dans un État membre, en tenant compte de la nature spécifique des activités économiques et des prestations de services en question.

36. A cet égard, la Cour de justice a relevé que  » le considérant 19 de la directive 95/46 précise que l’établissement sur le territoire d’un État membre suppose l’exercice effectif et réel d’une activité au moyen d’une installation stable  » et que  » la forme juridique retenue pour un tel établissement, qu’il s’agisse d’une simple succursale ou d’une filiale ayant la personnalité juridique, n’est pas déterminante  » (CJUE, 13 mai 2014, Google Spain, C-131/12, point 48). La Cour a précisé que  » la notion d’  » établissement « , au sens de la directive 95/46, s’étend à toute activité réelle et effective, même minime, exercée au moyen d’une installation stable « , le critère de stabilité de l’installation étant examiné au regard de la présence de  » moyens humains et techniques nécessaires à la fourniture de services concrets en question  » (CJUE, 1er octobre 2015, Weltimmo, C 230/14, points 30 et 31).

37. L’appréciation de l’existence d’un  » établissement sur le territoire français  » au sens du I de l’article 3 de la loi Informatique et Libertés procède donc d’une appréciation in concreto et casuistique.

38. Cette même logique a également été appliquée par la CJUE en matière de droit de la concurrence, pour apprécier la notion  » d’entreprise  » et  » d’unité économique  » (voir par exemple CJUE C-41/90 du 23 avril 1991, paragraphe 21 ; CJUE, troisième chambre, 14 décembre 2006, C-217/05, paragraphe 41 ; CJUE, troisième chambre, 10 septembre 2009, C 97/08 P, paragraphes 54 et 55 ; CJUE, grande chambre, 6 octobre 2021, affaire C 882/19, paragraphe 41).

39. En l’occurrence, la formation restreinte relève qu’il ressort des éléments du dossier que la société INFINITE STYLES ECOMMERCE FRANCE, créée le 6 mai 2022, est établie au 13-15 rue Taitbout, à Paris (75009). Cette société constitue donc une installation stable en France, qui compte 23 salariés.

40. Il ressort de son extrait  » Kbis  » qu’elle a pour objet  » [l’]import, [l’]export d’habillement et accessoire, [la] vente en ligne, [la] vente en détail, [l’]opération marketing, [le] marketing digital « . La formation restreinte relève que, malgré la demande de la délégation de contrôle, la société INFINITE STYLES ECOMMERCE FRANCE n’a pas communiqué les contrats encadrant sa relation avec la société INFINITE STYLES SERVICES CO. LIMITED.

41. Lors de son audition à la CNIL le 5 octobre 2023, la société INFINITE STYLES ECOMMERCE FRANCE a précisé que  » la principale mission de l’établissement français est de promouvoir la marque  » SHEIN  » [… ] l’établissement français promeut la marque  » SHEIN  » par le biais d’activités de marketing hors ligne ou  » in person « . Ainsi, il peut : organiser des défilés de mode ; implémenter des boutiques éphémères ; réaliser de la publicité, par exemple par le biais de panneaux publicitaires ; etc. L’établissement français peut aussi lancer des opérations photos et produire du contenu pour le site web  » shein.com  » « . La formation restreinte considère, dès lors, que la société INFINITE STYLES ECOMMERCE FRANCE exerce une activité économique effective sur le territoire français, laquelle contribue au rayonnement du sous-domaine français du nom de domaine  » shein.com  » géré par la société INFINITE STYLES SERVICES CO LIMITED. Les sociétés INFINITE STYLES ECOMMERCE FRANCE et INFINITE STYLES SERVICES CO. LIMITED sont ainsi  » liées économiquement  » (CJUE, 4ème chambre, 17 mai 2018, C-531/16). Elles entretiennent, en effet, des liens étroits d’une nature telle qu’ils rapprochent les deux sociétés au point de les unir dans une entité économique.

42. En outre, et comme cela a été indiqué au paragraphe 2, les sociétés INFINITE STYLES ECOMMERCE FRANCE et INFINITE STYLES SERVICES CO LIMITED font partie du même groupe et sont toutes deux détenues à des degrés différents par leur maison mère, la société ROADGET BUSINESS PTE LTD. En effet, la société INFINITE STYLES ECOMMERCE FRANCE est intégralement et directement détenue par la société INFINITE STYLES ECOMMERCE CO. LTD, elle-même intégralement et directement détenue par la société ROADGET BUSINESS PTE LTD, qui détient intégralement et directement, par ailleurs, la société INFINITE STYLES SERVICES CO LIMITED.

43. Ainsi, la formation restreinte estime, pour les raisons exposées ci-dessus, que la société INFINITE STYLES ECOMMERCE FRANCE constitue un  » établissement « , au sens de l’article 3 de la loi Informatique et Libertés, de la société INFINITE STYLES SERVICES CO LIMITED. Elle considère que cette analyse est pleinement conforme à la jurisprudence précitée de la CJUE, qui consacre une approche in concreto et casuistique de la notion  » d’établissement « , et invite à considérer les relations entre les différentes entités d’un groupe non pas uniquement au regard de leurs liens capitalistiques mais, plus largement, en tenant compte de leur relation économique. Dans ce contexte, la circonstance que la société INFINITE STYLES ECOMMERCE FRANCE n’est pas une filiale de la société INFINITE STYLES SERVICES CO LIMITED est sans incidence sur sa qualité d’établissement de cette société dès lors qu’elles appartiennent au même groupe, qu’elles sont toutes deux des filiales de leur maison mère, et qu’elles poursuivent des intérêts économiques communs.

44. En second lieu, s’agissant de l’existence d’un traitement effectué dans le cadre des activités de l’établissement français, la formation restreinte rappelle tout d’abord qu’il n’est pas nécessaire que le traitement en cause soit réalisé  » par cet établissement  » (arrêt précité Google Spain, pt. 57), et qu’il suffit que l’un des établissements facilite ou favorise suffisamment le déploiement dans le territoire français du traitement de données à caractère personnel mis en œuvre par le responsable de traitement établi dans un autre État membre pour qu’il y ait obligation de respecter la loi territorialement applicable en France et pour fonder la compétence de l’autorité de contrôle nationale.

45. Elle souligne que dans le cadre de sa jurisprudence, la Cour de justice a eu l’occasion de préciser à plusieurs reprises que l’expression  » dans le cadre des activités d’un établissement  » ne devait pas recevoir une interprétation restrictive (voir, arrêts précités Google Spain, pt 53 et Weltimmo, pt 25).

46. Elle relève ensuite que le Conseil d’État, dans sa décision AMAZON EUROPE CORE, a rappelé qu’ » il résulte de la jurisprudence de la Cour de justice de l’Union européenne, notamment de son arrêt du 5 juin 2018, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein contre Wirtschaftsakademie Schleswig-Holstein GmbH (C-210/16), qu’au vu de l’objectif poursuivi par cette directive [la directive  » ePrivacy « ], consistant à assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la protection de la vie privée et à la protection des données à caractère personnel, un traitement de données à caractère personnel peut être regardé comme effectué  » dans le cadre des activités  » d’un établissement national non seulement si cet établissement intervient lui-même dans la mise en œuvre de ce traitement, mais aussi dans le cas où ce dernier se borne à assurer, sur le territoire d’un État membre, la promotion et la vente d’espaces publicitaires permettant de rentabiliser les services offerts par le responsable d’un traitement consistant à collecter des données à caractère personnel par le biais de traceurs de connexion installés sur les terminaux des visiteurs d’un site  » (CE, 10ème et 9ème chambres réunies, 27 juin 2022, société AMAZON EUROPE CORE, n° 451423, aux Tables).

47. Le Conseil d’Etat a considéré, dans cette décision, que  » la société Amazon Online France, dont il n’est pas contesté qu’elle constitue un établissement de la société Amazon Europe Core en France, exerçait une activité de promotion et de commercialisation d’outils publicitaires contrôlés et exploités par la société Amazon Europe Core, fonctionnant notamment grâce aux données collectées par le biais des traceurs de connexion déposés sur les terminaux des utilisateurs du site  » amazon.fr  » en France. Il résulte […] qu’en déduisant de ces éléments que le traitement de données mis en œuvre par la société Amazon Europe Core était effectué dans le cadre des activités de son établissement Amazon Online France situé en France, au sens de l’article 3 de la loi du 6 janvier 1978, la formation restreinte de la CNIL, qui n’avait pas à justifier sa propre compétence dans les motifs de sa délibération et n’a donc pas, contrairement à ce qui est soutenu, insuffisamment motivé sa décision sur ce point, a fait une exacte application des dispositions de cet article 3.  » (point 15 de la décision précitée).

48. La formation restreinte rappelle tout d’abord que dans la décision susvisée, le Conseil d’Etat a apprécié la compétence territoriale de la CNIL au regard des éléments de l’espèce et qu’il n’a pas entendu considérer que c’est par le seul biais de la promotion et de la commercialisation d’outils publicitaires qu’il peut être considéré qu’un traitement de données est effectué  » dans le cadre des activités  » d’un établissement.

49. La formation restreinte relève que, lors de l’audition du 5 octobre 2023, la société INFINITE STYLES ECOMMERCE FRANCE a déclaré à la délégation que  » la principale mission de l’établissement français est de promouvoir la marque  » SHEIN « . Comme indiqué au paragraphe 40, son activité consiste notamment à réaliser de la promotion  » hors ligne  » de la marque  » SHEIN « . A titre d’exemple, la société INFINITE STYLES ECOMMERCE FRANCE signale des évènements locaux, tels que la fête des mères, aux autres entités du groupe SHEIN, lesquelles vont ensuite réaliser des campagnes de publicité en ligne invitant les destinataires à se rendre sur le site web  » shein.com  » pour effectuer leurs cadeaux. La société INFINITE STYLES ECOMMERCE FRANCE organise également des évènements avec des journalistes et des influenceurs, permettant ainsi d’accroitre la visibilité de la marque  » SHEIN  » auprès de potentiels clients résidant sur le territoire français, qui se rendront, pour ceux qui veulent réaliser un achat, sur le site web  » shein.com « .

[… passage central omis : décision trop longue pour une cellule …]

109. La formation restreinte considère qu’en ne fournissant pas des informations précises sur les finalités poursuivies par les cookies publicitaires et de plafonnement publicitaire sur le bandeau cookies, la société ne recueillait pas, au jour du contrôle, le consentement éclairé de l’utilisateur lorsque celui-ci acceptait le dépôt de cookies sur son terminal, en méconnaissance des dispositions applicables. Elle relève cependant que la société a modifié la mention d’information présente sur son bandeau cookies en précisant les finalités poursuivies par les cookies déposés sur le terminal de l’utilisateur lorsque celui-ci accepte l’écriture et/ou la lecture de cookies.

110. En troisième lieu, s’agissant de la fenêtre surgissante, la formation restreinte, relève que la mention d’information présente sur cette fenêtre indique  » Nous avons recours aux cookies afin de vous fournir une meilleure expérience d’achat. En continuant à utiliser nos services ou en créant un compte sur notre site, vous acceptez notre Politique de Confidentialité et notre Politique d’utilisation des cookies « .

111. La formation restreinte considère que cette mention d’information ne comportait pas, au jour du contrôle, l’ensemble des informations obligatoires pour recueillir un consentement éclairé dès lors qu’elle ne fournissait pas aux utilisateurs des informations relatives aux finalités des cookies déposés sur leurs terminaux. Elle relève que cette mention est particulièrement vague et qu’elle ne permet ainsi pas à l’utilisateur de comprendre si l’amélioration de son expérience d’achat se traduira, par exemple, par le recours à des cookies permettant de garder en mémoire le contenu d’un panier d’achat ou la langue choisie sur le site, et/ou s’il s’agit de cookies permettant de lui afficher des publicités personnalisées. La mention en cause ne présentant pas de manière suffisamment précise les finalités poursuivies par les cookies, le consentement sollicité ne saurait dès lors être considéré comme éclairé.

112. La formation restreinte considère que le consentement recueilli par la société via cette fenêtre n’est pas libre pour deux raisons. D’une part, l’acceptation inconditionnelle de l’ensemble des cookies est en effet présentée par la société comme étant la seule option des utilisateurs s’ils souhaitent poursuivre la navigation sur le site  » shein.com « . D’autre part, la fenêtre ne fait pas état des moyens dont disposent les utilisateurs pour refuser le dépôt de cookies. La formation restreinte relève notamment la présence d’un bouton permettant d’accepter immédiatement les cookies mais l’absence d’un moyen analogue pour pouvoir les refuser aussi facilement et en un seul clic. La formation restreinte rappelle avoir déjà sanctionné un organisme qui ne fournissait pas aux utilisateurs un moyen, auquel la FR attache une grande importance, pour s’opposer au dépôt de cookies soumis à consentement (délibération SAN-2020-013 du 7 décembre 2020, paragraphe 95).

113. Au vu de ce qui précède, la formation restreinte considère, qu’au jour du contrôle, la fenêtre surgissante ne permettait pas un recueil valable du consentement des utilisateurs avant de déposer des cookies sur leur terminal. Elle note en revanche que la société a pris des mesures au cours de la procédure pour se mettre en conformité sur ce point, la fenêtre surgissante ne permettant plus à la société de collecter le consentement de l’utilisateur au dépôt de cookies sur son terminal et la mention d’information ayant été supprimée.

114. En dernier lieu, la formation restreinte considère que la coexistence de plusieurs modes de recueil du consentement lors de l’accès au site web  » shein.com  » constitue une surcharge informationnelle pour l’utilisateur, de nature à influencer son choix en matière de cookies, sans que celui-ci en maîtrise la portée. En effet, la formation restreinte rappelle qu’il n’existe aucun bouton permettant à l’utilisateur de refuser les cookies et que lorsque l’utilisateur clique sur le seul bouton disponible  » J’accepte « , puis interagit avec le bandeau cookie, il aura tendance à répéter son choix en cliquant sur le bouton  » Accepter « .

115. Au vu de ce qui précède, la formation restreinte considère qu’au jour du contrôle, les conditions de recueil du consentement mis en œuvre par la société sur le site  » shein.com  » n’étaient pas conformes aux dispositions de l’article 82 de la loi Informatique et Libertés, telles qu’éclairées par l’article 4 paragraphe 11 du RGPD et les considérants 32 et 42 sur le caractère libre et éclairé du consentement.

2.2 Sur le deuxième niveau d’information fournie aux utilisateurs du site web  » shein.com  » : la plateforme de gestion du consentement

116. En droit, le considérant 42 du RGPD précise notamment que  » pour que le consentement soit éclairé, la personne concernée devrait connaître au moins l’identité du responsable du traitement et les finalités du traitement auquel sont destinées les données à caractère personnel « .

117. La Commission a formulé des recommandations dans sa délibération n° 2020-092 du 17 septembre 2020. Il y est notamment indiqué aux paragraphes 18 à 21 que  » les utilisateurs doivent pouvoir prendre connaissance de l’identité de l’ensemble des responsables du ou des traitements, y compris les responsables de traitement conjoints, avant de donner leur consentement ou de refuser. Ainsi, comme explicité dans les lignes directrices du 17 septembre 2020, la liste exhaustive et régulièrement mise à jour des responsables du ou des traitements doit être mise à la disposition des utilisateurs au moment du recueil de leur consentement. En pratique, afin de concilier les exigences de clarté et de concision des informations avec la nécessité d’identifier l’ensemble des responsables du ou des traitements, les informations spécifiques sur ces entités (identité, lien vers leur politique de traitement des données à caractère personnel), régulièrement mises à jour, peuvent par exemple être fournies à un second niveau d’information. Elles peuvent ainsi être mises à disposition depuis le premier niveau via, par exemple, un lien hypertexte ou un bouton accessible depuis ce niveau. La Commission recommande en outre d’utiliser une dénomination descriptive et utilisant des termes clairs, telle que  » liste des sociétés utilisant des traceurs sur notre site / application « . Enfin, la Commission recommande qu’une telle liste soit également mise à la disposition des utilisateurs de manière permanente, à un endroit aisément accessible à tout moment sur le site web ou l’application mobile. […] Afin d’accroître la lecture de l’information par les utilisateurs, le nombre de responsables du ou des traitements impliqués pourrait être indiqué au premier niveau d’information. De même, le rôle des responsables du ou des traitements pourrait être mis en évidence en les regroupant par catégories, lesquelles seraient définies en fonction de leur activité et de la finalité des traceurs utilisés « .

118. Le rapporteur considère, qu’au jour du contrôle en ligne, le consentement de l’utilisateur n’était pas recueilli de manière éclairée dès lors que le second niveau d’information qui lui était fourni ne mentionnait pas l’identité des responsables de traitement déposant des cookies  » tiers  » sur le terminal des utilisateurs. Le rapporteur relève que la société s’est toutefois mise en conformité en cours de procédure.

119. En défense, la société ne conteste pas le caractère incomplet, au jour du contrôle, de la mention d’information fournie au deuxième niveau et rappelle s’être mise en conformité en cours de procédure.

120. La formation restreinte relève qu’après avoir cliqué sur le bouton  » Paramètres des cookies  » présent sur le bandeau cookies, la plateforme de gestion du consentement présente ensuite les différents types de cookies qui peuvent notamment être déposés par des tiers, tels que les cookies de performance ou les cookies de publicité ciblée. Or, aucune information n’est délivrée quant à l’identité de ces tiers, ce qui ne permet pas d’éclairer suffisamment l’utilisateur avant qu’il décide de consentir ou non, sur la portée du consentement donné.

121. Il résulte de ce qui précède qu’en ne mentionnant pas l’identité des responsables du traitement déposant des cookies publicitaires tiers sur le terminal de l’utilisateur au moment où son consentement est sollicité, celui-ci n’est pas mis en mesure de consentir de manière éclairée, ce qui constitue un manquement à l’article 82 de la loi Informatique et Libertés modifiée, éclairé par l’article 4 paragraphe 11 du RGPD et son considérant 42.

122. La formation restreinte relève que la société a cependant pris des mesures de mise en conformité sur ce point au cours de la procédure.

3. Sur l’obligation d’assurer l’effectivité du refus de l’utilisateur au dépôt et à la lecture de cookies sur son terminal

123. Le rapporteur relève que, lors du contrôle en ligne, la délégation a constaté que la société procède à des opérations de lecture et d’écriture d’informations dans le terminal de l’utilisateur après que celui-ci a cliqué sur le bouton  » Tout refuser  » présent sur le bandeau cookies et continué sa navigation sur le site. Il note que la société s’est mise en conformité en cours de procédure.

124. En défense, la société soutient que le refus de l’utilisateur avait uniquement pour conséquence, au jour du contrôle, d’entrainer le dépôt de cookies de plafonnement publicitaire et du cookie de mesure d’audience  » cookieId « , qui ne sont pas soumis au consentement. Elle considère donc que cette branche du manquement n’est pas caractérisée.

125. La formation restreinte relève que dans le scénario suivi par la délégation de contrôle dédié au refus des cookies, cette dernière s’est rendue sur le site web  » shein.com « , a ensuite cliqué sur le bouton  » Tout refuser « , a constaté la présence de 32 cookies sur son terminal, puis a fermé les fenêtres surgissantes intitulées  » Vous avez reçu les réductions suivantes  » et  » Se connecter avec Google  » et a constaté, malgré le refus préalablement exprimé, l’inscription des cookies de plafonnement publicitaire  » hideCouponId_time « ,  » hideCouponWithRequest « ,  » hideCoupon « . La formation restreinte rappelle que ces cookies ne sont pas exemptés du recueil du consentement pour les raisons exprimées aux paragraphes 82 à 86. La formation restreinte relève que la délégation a également constaté, à la suite de l’expression de son refus à l’écriture et la lecture de cookies sur son terminal, que certains cookies de plafonnement publicitaire, préalablement déposés sur son terminal, continuaient d’être lus.

126. Or, dans la mesure où l’utilisateur a exprimé sans la moindre ambiguïté sa volonté de ne pas voir des cookies inscrits et/ou lus sur le terminal, le fait que des cookies soumis au consentement continuent d’être lus et que des cookies supplémentaires soient malgré tout déposés après qu’il a fermé les fenêtres surgissantes a pour effet de priver d’effectivité le choix exprimé par l’utilisateur. Ainsi, le mécanisme mis en place par la société était défaillant au jour du contrôle dès lors que la société a procédé à des opérations d’écriture et/ou lecture de cookies sur le terminal de l’utilisateur malgré son refus. Ces faits constituent, selon la formation restreinte, un manquement à l’article 82 de la loi Informatique et Libertés modifiée.

127. Au demeurant, la formation restreinte rappelle qu’elle a déjà sanctionné des organismes qui ne rendaient pas effectif le choix exprimé par les utilisateurs en matière de cookies (délibération n°SAN-2021-013 du 27 juillet 2021 et délibération n°SAN-2023-024 du 29 décembre 2023).

128. La formation restreinte relève que la société a pris des mesures au cours de la procédure permettant de mettre fin au manquement constaté. Elle considère, dès lors, qu’il n’y a pas lieu de prononcer une injonction de mise en conformité, comme initialement proposé par le rapporteur.

4. Sur l’obligation d’assurer l’effectivité du retrait du consentement de l’utilisateur au dépôt et à la lecture de cookies sur son terminal

129. En droit, la loi Informatique et Libertés prévoit expressément que, dès lors qu’elles n’entrent pas dans le champ des exceptions mentionnées aux deux derniers alinéas de l’article 82, les opérations d’accès ou d’inscription d’informations dans le terminal d’un utilisateur ne peuvent avoir lieu qu’après que ce dernier a exprimé son consentement.

130. Ces dispositions, telles qu’interprétées de manière constante par la Commission depuis sa recommandation relative aux cookies et autres traceurs du 5 décembre 2013 (délibération no 2013-378) et, en tout dernier lieu, dans sa recommandation du 17 septembre 2020 (délibération n°2020-092 du 17 septembre 2020), impliquent non seulement que les personnes concernées donnent leur consentement à l’accès ou à l’inscription d’informations dans leur terminal, mais également que celles ayant donné leur consentement soient en mesure de le retirer de manière simple et à tout moment.

131. Dans une décision du 29 décembre 2023, la formation restreinte a ainsi expressément rappelé que,  » si l’article 82 de la loi Informatique et Libertés conditionne le dépôt de cookies au consentement de l’abonné ou de l’utilisateur, il offre nécessairement, de manière corrélative, le droit à l’intéressé de retirer son consentement et de revenir ainsi sur son choix d’accepter que des cookies soient déposés sur son terminal  » (CNIL, FR, 29 décembre 2023, Sanction, SAN-2023-024, publié).

132. Le rapporteur relève qu’il ressort des constatations réalisées par la délégation sur le site web  » shein.com  » que, malgré le retrait du consentement, les cookies déposés ont continué d’être lus et que des cookies supplémentaires soumis au consentement ont été déposés. À titre d’exemple, il indique à la société que pour rendre effectif le retrait du consentement des utilisateurs, celle-ci peut notamment modifier la durée de vie du cookie pour l’indiquer comme expiré. Dans le cadre de la procédure contradictoire écrite, le rapporteur observe ensuite que la société s’est mise en conformité en cours de procédure sur ce point.

133. En défense, la société soutient que l’absence de recueil du consentement et l’absence d’effectivité du retrait du consentement constituent un manquement unique qui ne peut pas être sanctionné deux fois par la formation restreinte.

134. La société considère en outre que, au jour du contrôle, aucun cookie soumis au consentement ne continuait d’être lu après le retrait du consentement, à l’exception des cookies publicitaires à l’égard desquels elle a déjà reconnu une erreur. S’agissant des cookies de plafonnement publicitaire et du cookie de mesure d’audience non exempté, la société rappelle considérer qu’ils ne sont pas soumis au consentement, de sorte que la lecture de ces cookies malgré le retrait du consentement ne constitue pas un manquement au titre de l’article 82 de la loi Informatique et Libertés modifiée. Elle soutient enfin que les mesures visées par le rapporteur pour rendre effectif le retrait du consentement ne permettent pas de se conformer à l’article susvisé puisqu’elles impliquent nécessairement que le cookie soit lu afin de modifier ses caractéristiques.

135. A titre liminaire, la formation restreinte distingue, d’une part, l’absence de recueil préalable du consentement de l’utilisateur avant de déposer des cookies soumis à consentement sur son terminal et, d’autre part, l’absence d’effectivité du retrait du consentement. La formation restreinte considère qu’il s’agit de deux obligations distinctes trouvant certes toutes deux leur origine dans l’article 82 de la loi Informatique et Libertés mais s’appliquant à des phases différentes du parcours utilisateur. En outre, contrairement à ce que soutient la société, un non-respect de la première obligation – recueillir le consentement avant le dépôt de cookies – n’entraine pas nécessairement la défaillance de la seconde, s’assurer que les cookies ne sont plus lus lorsque le consentement est retiré. En effet, un mécanisme de retrait du consentement pourrait être tout à fait effectif quand bien même, à l’origine, les cookies auraient été déposés illégalement.

136. La formation restreinte rappelle que les opérations d’accès ou d’inscription d’informations sur le terminal de l’utilisateur sont, en tant que telles (et sauf exceptions), expressément prohibées par l’article 82 de la loi Informatique et Libertés, en l’absence de consentement de la personne concernée. Cet article vise en effet  » toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans [un] équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement « . Il prévoit que  » ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement « .

137. Elle relève que cette interprétation des dispositions de l’article 82 de la loi Informatique et Libertés concernant le droit et les modalités de retrait du consentement de l’utilisateur converge avec les dispositions du 3 de l’article 7 du RGPD, qui constituent une source d’inspiration concernant l’application des dispositions de l’article 82 de la loi Informatique et Libertés, tout comme les lignes directrices n° 5/2020 sur le consentement au sens du RGPD adoptées le 4 mai 2020 par le Comité européen de la protection des données (ci-après :  » CEPD « ).

138. Elle rappelle sur ce point que le 3 de l’article 7 du RGPD dispose que :  » La personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement  » et que, dans les lignes directrices du RGPD précitées, le CEPD indique que :  » La personne concernée devrait également être en mesure de retirer son consentement sans subir de préjudice. Cela signifie, entre autres, qu’un responsable du traitement doit proposer la possibilité de retirer son consentement gratuitement ou sans entraîner la diminution du niveau de service  » (point 114).

139. En l’espèce, la formation restreinte relève que, lors du contrôle en ligne du 10 août 2023, la délégation a effectué des constatations en plusieurs étapes afin de vérifier le respect par la société de son obligation d’assurer l’effectivité du retrait du consentement. Elle a d’abord accepté les cookies via le bandeau relatif aux cookies et constaté le dépôt sur son terminal de 75 cookies, puis procédé au retrait de son consentement via la plateforme de gestion du consentement et constaté la présence de 85 cookies sur son terminal, en enregistrant l’ensemble des requêtes http dans des fichiers  » HAR « . La délégation a ensuite vérifié la présence dans un fichier  » HAR  » d’opérations de lecture des cookies après le retrait du consentement.

140. S’agissant des opérations de lecture après le retrait du consentement, la formation restreinte relève qu’il ressort d’un fichier  » HAR  » compilé par la délégation que les cookies publicitaires, les cookies