La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Christine MAUGÜÉ, MM. Alain DRU et Bertrand du MARAIS, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la délibération n° SAN-2022-023 du 19 décembre 2022 adoptée par la formation restreinte à l’encontre de la société […] ;

Vu les éléments transmis par la société […] le 10 mars 2023 ;

Après en avoir délibéré lors de la séance du 11 mai 2023, a adopté la décision suivante :

FAITS ET PROCÉDURE

La décision n o SAN-2022-023 du 19 décembre 2022, notifiée le 20 décembre 2022, a enjoint à la société […] de :

recueillir le consentement des utilisateurs lors de leur arrivée sur le site web […] avant toute opération de lecture et écriture d’informations sur le terminal des utilisateurs résidant en France ayant pour finalité la lutte contre la fraude publicitaire .

Cette injonction était assortie d’une astreinte de soixante mille euros (60 000) euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.

Le 10 mars 2023, la société a adressé un courrier au président de la formation restreinte, répondant à l’injonction.

MOTIFS DE LA DECISION

La formation restreinte relève qu’il ressort des éléments de réponse fournis par la société le 10 mars 2023 qu’elle a apporté des modifications techniques afin de s’assurer que les cookies déposés sur les terminaux des utilisateurs du site web […] en France ne sont pas utilisés pour la finalité de lutte contre la fraude publicitaire en l’absence de consentement. La formation restreinte relève que la société indique avoir mis en place ces modifications depuis le 24 février 2023.

Il résulte de ce qui précède que la société a satisfait à l’injonction dans le délai imparti.

PAR CES MOTIFS

La formation restreinte de la CNIL, après en avoir délibéré, décide :

de dire n’y avoir lieu à liquidation de l’astreinte ;

de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, le point de départ étant la publication de la délibération n° SAN-2022-023 du 19 décembre 2022.

Le président

Alexandre LINDEN