Consentement au ciblage publicitaire et dépôt de cookies : les manquements sanctionnés par la CNIL

La formation restreinte retient que la société était responsable des traitements liés à la publicité ciblée, dès lors qu’elle déterminait les finalités et les moyens en transmettant les coordonnées de ses adhérents au gestionnaire d’un réseau social. Le traitement ne reposait pas sur un consentement valide au sens de l’article 6, paragraphe 1, du RGPD : l’adhésion à la prospection par SMS ou courrier électronique ne permettait pas de consentir spécifiquement à une publicité ciblée sur un autre canal. Les informations dispersées dans plusieurs documents ne rendaient pas la finalité suffisamment claire et aucun acte positif distinct ne matérialisait ce consentement.

La Commission relève également un manquement à l’article 82 de la loi Informatique et Libertés, les cookies de personnalisation, d’analyse et de tchat ayant été déposés et lus avant tout choix de l’utilisateur, puis maintenus malgré le refus des cookies non essentiels. La mise en conformité ultérieure ne supprime pas la responsabilité pour les faits passés.

La formation restreinte sanctionne aussi les manquements aux articles 13, 32 et 35 du RGPD, notamment au regard de l’information fournie, de la sécurité des mots de passe et de l’absence d’analyse d’impact. L’amende est appréciée selon les critères de l’article 83 du RGPD, en tenant compte notamment de la gravité, de la durée, du nombre de personnes concernées, de la négligence et de la capacité économique de l’entreprise. L’article 20-IV de la loi du 6 janvier 1978 permet en outre le prononcé d’une injonction et d’une amende administrative.

⬇️Télécharger la décision version officielle

Une société exploitant un réseau de magasins et un programme de fidélité transmettait des coordonnées à un réseau social pour réaliser des publicités ciblées. La CNIL a constaté l’absence de consentement spécifique et éclairé ainsi que le dépôt, avant tout consentement, de plusieurs cookies non essentiels, maintenus après leur refus. Malgré l’arrêt des transmissions et la modification de la gestion des cookies, plusieurs manquements au RGPD et à la loi Informatique et Libertés ont été retenus.

Une société exploitant un site marchand, un réseau de magasins et un programme de fidélité comptant plusieurs millions de membres collectait les données de ses clients et adhérents. Elle transmettait régulièrement leurs adresses électroniques ou numéros de téléphone à un groupe exploitant un réseau social afin de réaliser une mise en correspondance et d’afficher des publicités ciblées.

La CNIL a contrôlé le site internet et les traitements mis en œuvre, puis engagé une procédure de sanction. Elle a relevé que les formulaires d’adhésion et les documents contractuels ne permettaient pas de recueillir un consentement spécifique et éclairé pour cette publicité ciblée. Elle a également constaté le dépôt, avant tout consentement, de cookies de tchat, de personnalisation et d’analyse, maintenus après refus des cookies non essentiels.

La société a cessé la transmission publicitaire et modifié la gestion des cookies après les contrôles. La formation restreinte a néanmoins retenu plusieurs manquements au RGPD et à la loi Informatique et Libertés.

• Déterminer les finalités et moyens du traitement
• Recueillir un consentement libre, spécifique, éclairé et univoque
• Informer clairement de la transmission à un tiers
• Prévoir un acte positif distinct pour chaque finalité
• Obtenir le consentement avant le dépôt des cookies non essentiels
• Supprimer ou ne plus lire les cookies après refus
• Tenir compte de la gravité, durée et ampleur des violations

• Procès-verbaux des contrôles en ligne et sur place
• Formulaire d’adhésion au programme de fidélité
• Politique des données personnelles et conditions contractuelles
• Constat du dépôt de onze cookies avant le choix utilisateur
• Constat du maintien des cookies après refus
• Captures d’écran établissant la mise en conformité ultérieure

La société demeure responsable des traitements publicitaires et des cookies irrégulièrement déposés, même après leur arrêt ou leur correction. Les adhérents doivent bénéficier d’une information distincte et d’un choix positif pour chaque finalité, tandis que le gestionnaire du site doit bloquer les traceurs non essentiels avant consentement.

• Exclusion du consentement général à la prospection
• Information distincte sur la publicité ciblée et ses destinataires
• Blocage préalable des cookies non essentiels
• Suppression ou arrêt de lecture après refus
• Conservation des preuves de conformité technique
• Prise en compte du passé dans la procédure de sanction

À faire

• Décrire séparément chaque finalité de traitement
• Prévoir une case de consentement dédiée à la publicité ciblée
• Informer clairement des destinataires et canaux utilisés
• Bloquer les cookies non essentiels avant tout choix
• Documenter les contrôles et corrections techniques

À éviter

• Assimiler courriels, SMS et publicité sur réseau social
• Déduire le consentement d’une adhésion générale
• Disperser l’information dans plusieurs liens éloignés
• Déposer des cookies avant l’expression du choix
• Compter sur la mise en conformité pour effacer les manquements passés

Le statut de responsable du traitement publicitaire ciblé

La société est responsable du traitement dès lors qu’elle collecte et transmet les données des adhérents au gestionnaire du réseau social afin de promouvoir ses produits. Elle détermine ainsi les finalités et les moyens du traitement au sens de l’article 4, point 7, du RGPD, sans qu’il soit nécessaire de trancher la responsabilité du groupe destinataire.

Le consentement spécifique à la publicité ciblée

L’article 6, paragraphe 1, du RGPD exige une base légale, et l’article 4, point 11, un consentement libre, spécifique, éclairé et univoque. Le consentement à recevoir des SMS ou courriels ne couvre pas une publicité affichée sur un réseau social. Les mentions dispersées et l’expression générale de mise en correspondance ne suffisent pas, faute d’information claire et d’acte positif distinct.

Le consentement préalable aux cookies non essentiels

L’article 82 de la loi Informatique et Libertés impose le consentement préalable lorsque les cookies ne sont ni exclusivement nécessaires à la communication électronique ni strictement nécessaires au service demandé. Leur dépôt avant le choix de l’utilisateur et leur maintien après refus caractérisent le manquement. La mise en conformité postérieure n’efface pas la responsabilité passée.

Article 4, points 7 et 11, du RGPD, Article 6, paragraphe 1, du RGPD, Article 13 du RGPD, Article 20-IV de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 32 du RGPD, Article 35 du RGPD, Article 40, III, du décret n° 2019-536 du 29 mai 2019, Article 56 du RGPD, Article 60, paragraphes 3 et 6, du RGPD, Article 82 de la loi n° 78-17 du 6 janvier 1978, Article 83 du RGPD