La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, et Philippe-Pierre CABOURDIN, vice-président, de Mesdames Anne DEBET et Christine MAUGÜE, de Monsieur Alain DRU membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi

no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la délibération no 2020-013 du 7 décembre 2020 prononçant une sanction à l’encontre de la société X ;

Vu les éléments transmis par la société X le 18 février 2021 et le 20 mai 2021 ;

Vu les autres pièces du dossier ;

Après en avoir délibéré, a adopté la décision suivante :

I.Faits et procédure

La délibération no 2020-013 du 7 décembre 2020 a enjoint à la société X de :

mettre en conformité le traitement, dans un délai de trois mois à compter de la notification de la présente décision, avec les dispositions de l’article 82 de la loi Informatique et Libertés , et en particulier :

informer les personnes concernées au préalable et de manière claire et complète, par exemple au moyen d’un bandeau d’information apparaissant lors de la première arrivée de l’internaute sur le site […].fr et cela quelle que soit la première page accédée :

des finalités précises de tous les cookies dont l’inscription est soumise au consentement ;

ainsi que des moyens dont elles disposent pour les refuser

Cette injonction était assortie d’une astreinte de 100 000 euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.

Le 18 février 2021, la société X a adressé à la CNIL un courrier par lequel elle présentait les changements qu’elle avait déployés sur le site web […].fr . Par courrier du 19 avril 2021, une demande de compléments a été adressée par la CNIL à la société X.

Le 20 mai 2021, la société X a adressé à la formation restreinte des éléments en vue de justifier de sa mise en conformité.

II.Motifs de la décision

La formation restreinte relève qu’il ressort des éléments fournis dans le courrier de réponse du 20 mai 2021 que les personnes se rendant sur le site […].fr sont désormais informées, de manière claire et complète, de toutes les finalités des cookies soumis au consentement et des moyens mis à leur disposition pour les refuser, par le biais du bandeau d’information s’affichant à leur arrivée sur le site.

Par conséquent, la formation restreinte considère que la société X a satisfait à l’injonction dans le délai imparti.

Cette décision sera rendue publique comme l’avait été la délibération no 2020-013 du 7 décembre 2020.

PAR CES MOTIFS

La formation restreinte de la CNIL, après en avoir délibéré, décide :

qu’il n’y a pas lieu à liquidation d’astreinte ;

de rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à compter du 11 décembre 2022.

Le président

Alexandre LINDEN