Certains développements de la délibération, permettant d’identifier la société ou comportant notamment des données à caractère personnel ou des secrets protégés par la loi, sont remplacés par le signe […] ou par les lettres X, Y ou Z.

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, MM. Didier KLING et Bertrand du MARAIS, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ;

Vu la décision n° 2023-001C du 21 décembre 2022 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société X ou pour son compte ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 17 avril 2025 ;

Vu le rapport de Mme Anne DEBET, commissaire rapporteure, du 12 mai 2025, signifié à la société le 13 mai 2025 ;

Vu les observations écrites versées par la société X le 23 juin 2025 ;

Vu la réponse de la rapporteure notifiée à la société X le 16 juillet 2025 ;

Vu les nouvelles observations écrites versées par la société X le 12 septembre 2025 ;

Vu la clôture de l’instruction notifiée à la société X le 24 septembre 2025 ;

Vu les observations orales formulées lors de la séance de la formation restreinte du 16 octobre 2025 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 16 octobre 2025 :

– Mme Anne DEBET, commissaire, entendue en son rapport ;

En qualité de représentants de la société X :

– […]

La société X ayant été informée de son droit de garder le silence sur les faits qui lui étaient reprochés et ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. La société X (ci-après  » la société « ) est […] dont le siège social est situé […].

2. La société employait, en 2021, 363 salariés et l’enseigne  » X  » comptait plus de […] magasins sur le territoire français. En 2022, la société a réalisé un chiffre d’affaires de […] d’euros, pour un résultat net de près de […] d’euros. En 2023, elle a réalisé un chiffre d’affaires de plus de […] d’euros, pour un résultat net de près de […] d’euros. En 2024, le chiffre d’affaires de la société s’est élevé à plus de […] d’euros, pour un résultat net de plus de […] d’euros.

3. Créée […], la société est […], dont l’activité consiste en […] en magasin ainsi qu’en ligne, à partir du site web  » […]  » dont la société X est éditrice. Ce site permet notamment de créer un compte client, de faire des achats et d’adhérer à un programme de fidélité valable en ligne ainsi qu’à la caisse des magasins du réseau X. D’après les informations communiquées par la société le 10 février 2023, le programme de fidélité comptait à cette date près de 10,5 millions de membres en France, plus de 200 000 en Belgique, plus de 15 000 au Luxembourg ainsi que des membres dans plusieurs autres pays de l’Union européenne.

4. Par décision n° 2023-001C du 21 décembre 2022, la présidente de la Commission nationale de l’informatique et des libertés (ci-après,  » la CNIL  » ou  » la Commission « ) a chargé le secrétaire général de procéder ou de faire procéder à une mission de contrôle afin de vérifier la conformité des traitements mis en œuvre par la société au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après  » RGPD « ) et à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après  » loi Informatique et Libertés  » ou  » loi du 6 janvier 1978 modifiée « ).

5. En application de cette décision, une délégation de la CNIL a réalisé un contrôle en ligne à partir du site web  » […] « , le 5 janvier 2023, et un contrôle sur place dans les locaux de la société X, le 26 janvier 2023. Les procès-verbaux n° 2023-001/1 et n° 2023-001/2 dressés à l’issue de ces contrôles ont été notifiés à la société par courriers des 6 et 27 janvier 2023.

6. La société a communiqué à la délégation des éléments complémentaires les 10 et 23 février, 14 mars, 18 et 28 avril, 23 août et 26 septembre 2023.

7. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 17 avril 2025, désigné Mme Anne DEBET en qualité de rapporteure sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.

8. Conformément à l’article 56 du RGPD et au vu des éléments du dossier, la CNIL a, le 27 décembre 2024, informé l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle cheffe de file concernant les traitements transfrontaliers mis en œuvre par la société, résultant de ce que l’établissement principal de la société se trouve en France. Après échanges entre la CNIL et les autorités de protection des données européennes dans le cadre du mécanisme de guichet unique, il apparaît que les autorités belge, luxembourgeoise, néerlandaise, espagnole, allemande, irlandaise, italienne, danoise, suédoise, portugaise, finlandaise, autrichienne, roumaine, polonaise, lituanienne et norvégienne sont concernées par les traitements mis en œuvre.

9. Le 12 mai 2025, à l’issue de son instruction, la rapporteure a fait signifier à la société un rapport détaillant les manquements aux articles 6, 13, 32 et 35 du RGPD ainsi qu’à l’article 82 de la loi Informatique et Libertés qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer à l’encontre de la société une amende administrative, ainsi qu’une injonction de mettre en conformité ses traitements avec les dispositions susvisées, assortie d’une astreinte. Elle proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

10. Le 23 juin 2025, la société a produit des observations en réponse au rapport de sanction.

11. La rapporteure a répondu aux observations de la société le 16 juillet 2025.

12. Le 12 septembre 2025, la société a produit de nouvelles observations en réponse.

13. Par courrier notifié le 24 septembre 2025, la rapporteure a, en application du III de l’article 40 du décret n° 2019-536 précité, informé la société que l’instruction était close.

14. Le même jour, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 16 octobre 2025.

15. La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur la procédure de coopération européenne

16. En application de l’article 60, paragraphe 3 du RGPD, le projet de décision adopté par la formation restreinte a été transmis le 1er décembre 2025 aux autorités de contrôle européennes concernées.

17. Au 29 décembre 2025, aucune de ces autorités n’avait formulé d’objection pertinente et motivée à l’égard de ce projet de décision, de sorte que, en application de l’article 60, paragraphe 6 du RGPD, ces dernières sont réputées l’avoir approuvé.

B. Sur les traitements en cause et la qualité de responsable de traitement de la société X

18. L’article 4, point 7, du RGDP définit le responsable de traitement comme  » la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement « .

19. En matière de ciblage publicitaire, le Comité européen de la protection des données (ci-après le  » CEPD « ), dans ses lignes directrices 8/2020 sur le ciblage des utilisateurs de médias sociaux adoptées le 13 avril 2021, indique que le cibleur agit en tant que responsable du traitement dès lors qu’il  » détermine les finalités et les moyens du traitement en collectant, traitant et transmettant activement les données à caractère personnel des personnes concernées au fournisseur de médias sociaux à des fins publicitaires  » (§61).

20. En premier lieu, la formation restreinte relève que les traitements en cause dans la présente procédure sont relatifs :

– d’une part, au fonctionnement du site web  » […] « , dont elle est éditrice et par le biais duquel elle collecte et traite des données techniques des utilisateurs (adresse IP, connexion Internet, type de navigateur, informations concernant le terminal utilisé) et des données recueillies à l’aide de cookies ;

– et, d’autre part, au fonctionnement des comptes clients et du programme de fidélité de l’enseigne X, la société collectant et traitant les données à caractère personnel de ses clients et des adhérents à ce programme, lors de la création d’un compte (civilité, nom, prénom, adresse électronique, mot de passe, date de naissance, numéro de téléphone, adresse postale et magasin le plus proche choisi), d’une carte de fidélité (les mêmes informations étant recueillies) et ultérieurement au travers de l’utilisation de ladite carte.

21. La formation restreinte relève que la société a indiqué à la délégation de contrôle, par courrier du 28 avril 2023, être responsable des traitements de données à caractère personnel mis en œuvre à partir du site web  » […]  » ainsi que dans le cadre de son programme de fidélité. La société est également désignée comme étant responsable des traitements susvisés dans la  » Politique des données personnelles  » et l’article 12 des  » Conditions Générales du Programme de fidélité X  » figurant sur le site web  » […] « .

22. En second lieu, la formation restreinte relève que la présente procédure concerne également les traitements relatifs à la présentation de publicité ciblée sur le réseau social Z, géré par le groupe Y, afin de promouvoir les produits vendus par X. Dans ce cadre, la société X transmet l’adresse électronique et/ou le numéro de téléphone des adhérents à son programme de fidélité (lorsqu’ils ont consenti à recevoir de la prospection commerciale) au groupe Y, afin que celui-ci les fasse correspondre avec les données des utilisateurs de son réseau social. A partir de cette comparaison, Y identifie, parmi les membres du programme de fidélité X, ceux qui sont également membres de son réseau social, ainsi que les utilisateurs du réseau social ayant un profil similaire. Ce traitement permet de leur présenter des publicités dans le cadre des campagnes marketing de la société X. Il ressort de l’instruction que la transmission des données au groupe Y était réalisée depuis fin 2018, de façon hebdomadaire, et qu’elle a cessé en février 2024.

23. La formation restreinte relève que la société a indiqué à la délégation de contrôle qu’elle agissait en tant que responsable de traitement dans le cadre de la transmission des données au groupe Y et pour la mise en correspondance de ces données avec celles des utilisateurs du réseau social Z. S’agissant des traitements réalisés dans le cadre des campagnes lancées postérieurement à cette mise en correspondance, la société X a indiqué qu’elle-même et le groupe Y agissaient en tant que responsables conjoints.

24. La formation restreinte considère en effet que la société X, en collectant et en transmettant les données à caractère personnel des adhérents de son programme de fidélité au groupe Y, en vue de leur afficher sur le réseau social Z des publicités visant à promouvoir ses produits, détermine les finalités et les moyens du traitement.

25. Par conséquent, et sans qu’il soit nécessaire dans le cadre de la présente procédure de se prononcer également sur la part de responsabilité incombant au groupe Y, la société X doit être regardée comme responsable du traitement de publicité ciblée affichée sur le réseau social Z, pour les besoins duquel elle transmettait au groupe Y des données à caractère personnel jusqu’en février 2024.

C. Sur le manquement à l’obligation de traiter les données de façon licite

26. En droit, l’article 6, paragraphe 1, du RGPD dispose que  » le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques; b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci; c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis; d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique; e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement; f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant « .

27. L’article 4, point 11 du RGPD dispose que le consentement, tel que visé à l’article 6, paragraphe 1, a) du RGPD, doit s’entendre comme une manifestation de volonté libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement.

28. En outre, le considérant 32 du RGPD prévoit que cet  » acte positif clair  » peut par exemple se matérialiser par une case à cocher lors de la consultation d’un site internet, et qu’en tout état de cause  » il ne saurait […] y avoir de consentement en cas de silence, de cases cochées par défaut ou d’inactivité. Le consentement donné devrait valoir pour toutes les activités de traitement ayant la ou les mêmes finalités. Lorsque le traitement a plusieurs finalités, le consentement devrait être donné pour l’ensemble d’entre elles […] « .

29. S’agissant des modalités de recueil du consentement, la Cour de justice de l’Union européenne (CJUE) a précisé, dans sa décision Planet49 GmbH de 2019, que  » la manifestation de volonté visée à l’article 2, sous h), de la directive 95/46 doit, notamment, être  » spécifique « , en ce sens qu’elle doit porter précisément sur le traitement de données concerné et ne saurait être déduite d’une manifestation de volonté ayant un objet distinct  » (CJUE, grande chambre, 1er octobre 2019, Planet49 GmbH, C-673/17, ECLI:EU:C:2019:801, point 58).

30. Par ailleurs, à titre d’illustration, les lignes directrices 5/2020 sur le consentement au sens du règlement (UE) 2016/679 précisent  » qu’un responsable du traitement qui sollicite le consentement pour diverses finalités spécifiques devrait prévoir un consentement distinct pour chaque finalité afin que les utilisateurs puissent donner un consentement spécifique à des finalités spécifiques […] Le responsable des données devrait accompagner chacune des demandes de consentement distinctes d’informations spécifiques concernant les données traitées pour chaque finalité afin que les personnes concernées soient conscientes de l’incidence de leur choix […] (§§60 et 61) « .

31. La CJUE a rappelé à cet égard que le responsable de traitement doit fournir à la personne concernée  » une information au regard de toutes les circonstances entourant le traitement des données, sous une forme compréhensible et aisément accessible ainsi que formulée en des termes clairs et simples, cette personne devant notamment connaître le type de données à traiter, l’identité du responsable du traitement, la durée et les modalités de ce traitement ainsi que les finalités que celui-ci poursuit. Une telle information doit permettre à ladite personne de déterminer facilement les conséquences du consentement qu’elle pourrait donner et garantir que ce consentement soit donné en pleine connaissance de cause (voir, par analogie, arrêt du 1er octobre 2019, Planet49, C 673/17, EU:C:2019:801, point 74).  » (CJUE, 11 novembre 2020, Orange România SA, C 61/19, point 40).

32. La rapporteure affirme que le traitement de publicité ciblée affichée sur le réseau social Z, pour les besoins duquel la société X transmet des données à caractère personnel des membres de son programme fidélité au groupe Y, est dépourvu de base légale, en l’absence de recueil d’un consentement valide des personnes concernées. Elle considère en effet que les modalités de recueil du consentement, ainsi que les informations fournies par la société X aux membres de son programme de fidélité, ne permettent pas de recueillir un consentement spécifique et éclairé de ces membres au traitement susvisé.

33. En défense, la société soutient que le consentement des personnes dont les données étaient transmises, était recueilli :

– d’une part, à l’occasion de leur adhésion au programme de fidélité X, dans la mesure où ces personnes avaient consenti à recevoir de la prospection commerciale par différents canaux (par courrier électronique et/ou par SMS) ainsi qu’à la mise en correspondance de ces données avec celles de Z, un tel traitement étant selon elle mentionné dans sa  » politique des données personnelles  » ;

– d’autre part, à l’occasion de l’inscription de ces personnes sur Z, celles-ci ayant accepté les  » conditions générales d’utilisation  » et la  » politique de confidentialité  » du réseau social, via lesquelles elles autorisent l’affichage de publicités ciblées de la part d’annonceurs.

34. La société fait ainsi valoir que les membres du programme de fidélité qui avaient accepté de recevoir de la prospection commerciale de la part d’X et qui disposaient d’un compte Z pouvaient raisonnablement s’attendre à voir apparaître des publicités pour les produits X sur le réseau social, et qu’ils pouvaient par ailleurs retirer ou modifier leur consentement à tout moment.

35. La société relève, en outre, que les seules données transmises étaient l’adresse de courrier électronique et/ou le numéro de téléphone des personnes concernées, que ces données étaient chiffrées, d’abord par la société X avant toute transmission, au moyen de la fonction de hachage SHA256, puis par le groupe Y,  » au moyen d’un pixel Javascript « , garantissant selon elle que les données transmises ne puissent être exploitées par Y en l’absence de correspondance avec un utilisateur Z. La société précise également que ces données chiffrées étaient supprimées par le groupe Y à l’issue de leur mise en correspondance positive ou non.

36. Par ailleurs, elle soutient que le nombre de personnes concernées doit être relativisé dès lors que, si les données de 10,5 millions de personnes ont bien été transmises au groupe Y, seules 1,6 million d’entre elles ont effectivement vu s’afficher une publicité entre juin 2022 et février 2024 – le taux de correspondance étant de l’ordre de 15 %. En outre, la société indique n’avoir tiré aucun avantage financier significatif de ces traitements. Elle précise, enfin, avoir cessé spontanément toute campagne de publicité ciblée avec le groupe Y en février 2024.

37. En l’espèce, la formation restreinte relève que la société a réalisé, de fin 2018 à février 2024, des opérations de publicité ciblée sur le réseau social Z. Elle a, pour ce faire, transmis au groupe Y, gestionnaire de ce réseau social, les adresses électroniques et/ou les numéros de téléphone des membres de son programme de fidélité qui avaient consenti à recevoir des messages de prospection commerciale par SMS et/ou par courrier électronique, afin que Y procède à la mise en correspondance de ces données avec celles des utilisateurs de Z et affiche de la publicité pour les produits X, d’une part, aux utilisateurs du réseau social qui sont également membres du programme de fidélité X et, d’autre part, aux utilisateurs ayant un profil similaire à ces personnes.

38. La société a indiqué, tant lors du contrôle que dans le cadre de ses observations en défense, fonder les traitements susvisés sur le consentement des personnes concernées.

39. En premier lieu, s’agissant du consentement que la société prétend recueillir via le formulaire d’adhésion au programme de fidélité X, la formation restreinte relève qu’il ressort des constatations réalisées par la délégation lors du contrôle en ligne du 5 janvier 2023 que, lorsqu’il créé un compte sur le site web  » […] », l’utilisateur se voit présenter un formulaire sur lequel il doit notamment renseigner sa civilité, ses nom, prénom, numéro de téléphone, date de naissance et adresse de courrier électronique. Ce formulaire comprend également un encart permettant à la personne concernée d’adhérer au programme de fidélité X, via un bouton poussoir (oui/non) associé à la mention  » je rejoins le programme de fidélité La Team X et cagnotte immédiatement 5 € « .

40. Si l’utilisateur manifeste son souhait de rejoindre le programme de fidélité en activant le bouton poussoir, il est invité à consentir à être contacté par SMS pour  » recevoir [s]es avantages fidélité  » et/ou par courrier électronique pour recevoir  » les meilleures offres d’X « , via des cases à cocher (oui/non). Un lien hypertexte  » Détails des conditions ICI  » est situé au bas du formulaire, permettant à l’utilisateur d’être redirigé vers les  » Conditions Générales du Programme de fidélité X « . Un second lien hypertexte,  » En savoir plus sur vos droits et sur la façon dont nous traitons vos données personnelles « , situé lui aussi au bas du formulaire, renvoie quant à lui vers la  » politique des données personnelles  » de la société (également accessible depuis le pied de page de chacune des pages du site), qui précise au sein de son article 3 (dans sa version en vigueur au moment du contrôle) que la société traite les données à caractère personnel des personnes notamment dans le cadre de  » l’adhésion au programme de fidélité et la gestion du Programme de fidélité, notamment la mise en correspondance des données des adhérents avec celles de la société Z « . La  » société Z  » est également mentionnée dans les destinataires des données (article 8), puisqu’il est précisé que  » Les Données Personnelles collectées par X pourront être transmises : […] à la société Z, qui s’engage, en tant que sous-traitant, à ne pas céder, à quelque titre que ce soit, les données traitées par elle, une fois le processus de mise en correspondance terminé, à des partenaires y compris commerciaux « , ainsi qu’au stade de l’information relative à la durée de conservation des données, l’article 7 précisant que  » s’agissant du programme de fidélité, la société Z s’engage à supprimer automatiquement les données transférées par X une fois le processus de mise en correspondance terminé, et à ne conserver ni copie ni sauvegarde des données personnelles concernées « .

41. De plus, les  » Conditions générales de vente « , accessibles depuis le pied de page de chacune des pages du site web, prévoient en leur article 10 que  » les données collectées sont réservées à l’usage de la Direction Marketing Client, Direction Stratégie Digitale & Innovation de la société X et de la société Z, agissant en qualité de sous-traitant. À ce titre, les données collectées sont susceptibles d’être transférées vers les Etats-Unis. […] Les informations nominatives collectées sont nécessaires au traitement de la commande, à son acheminement, à l’établissement de la facture, et à la mise en correspondance des données clients avec celles de la société Z « . L’article 11 prévoit quant à lui que  » conformément à la règlementation en vigueur, l’adhérent est informé que l’ensemble des informations données par lui dans le questionnaire figurant sur la Demande d’adhésion sont nécessaires au traitement et à la délivrance de la Carte X, ainsi qu’au processus de mise en correspondance des données clients avec celles de la société Z « .

42. La formation restreinte relève tout d’abord que le formulaire décrit aux paragraphes 39 et 40 ne contient pas d’information sur la transmission des données au groupe Y à des fins de publicité ciblée. Les informations contenues sur ce formulaire portent sur l’adhésion au programme de fidélité et la réception de messages de prospection commerciale par SMS et/ou courrier électronique.

43. Ainsi, sur la base des seules mentions figurant sur le formulaire, il ne saurait être considéré que l’information fournie aux adhérents est suffisante pour assurer le caractère éclairé de leur consentement à la transmission de leurs données au réseau social Z à des fins de publicité ciblée. Si ces mentions font bien référence à des traitements de prospection électronique (par SMS et/ou courrier électronique), qui visent à promouvoir des produits commercialisés par la société X tout comme la publicité ciblée effectuée sur le réseau social Z, les messages publicitaires sont adressés selon des canaux distincts et dans des environnements différents. En effet, la transmission des données au groupe Y à des fins de publicité ciblée sur le réseau social Z, c’est-à-dire une publicité par encarts affichés sur le site web, est d’une nature différente de la publicité par courriel ou SMS, qui n’implique pas nécessairement la transmission des données à un tiers. Or, cette finalité de publicité ciblée sur le réseau social Z – pour les besoins de laquelle les données sont transmises au groupe Y – n’est pas clairement mentionnée sur le formulaire. Dans ces conditions, la formation restreinte estime qu’il ne peut être considéré que, en prenant connaissance du contenu de ce formulaire, les personnes ont fourni un consentement spécifique et éclairé au traitement de leurs données à caractère personnel pour cette finalité.

44. Ensuite, en ce qui concerne les documents figurant sur le site web  » […] « , à savoir les  » Conditions Générales du programme de fidélité « , la  » politique des données personnelles  » et les  » Conditions générales de vente « , la formation restreinte relève, d’une part, que les personnes doivent prendre l’initiative de les consulter en cliquant sur plusieurs liens si elles souhaitent accéder aux informations qu’ils contiennent et, d’autre part, qu’ils comportent des informations partielles, qui ne sont pas suffisamment explicites pour permettre aux personnes concernées d’avoir une vision claire du traitement en cause et, partant, de donner un consentement éclairé et spécifique.

45. S’agissant tout d’abord des  » Conditions Générales du programme de fidélité X « , qui ont pour objet d’expliquer aux membres les conséquences de leur adhésion, elles ne mentionnent pas la transmission des données au groupe Y lorsqu’ils acceptent d’être contactés par X par SMS ou courrier électronique. Quant à l’information fournie dans la  » politique des données personnelles  » et les  » Conditions générales de vente « , selon laquelle les données des personnes sont  » mise[s] en correspondance  » avec  » celles de la société Z « , elle n’apparait pas non plus suffisante pour recueillir un consentement éclairé des personnes concernées dans la mesure où cette simple mention ne permet pas de comprendre clairement la finalité de cette transmission, à laquelle il n’est d’ailleurs pas demandé aux personnes de consentir par un acte positif.

46. La formation restreinte observe en outre que ces informations figurent dans deux documents distincts, eux-mêmes accessibles via plusieurs liens présents au bas du formulaire de création de compte ainsi que depuis le pied de page de chacune des pages du site web, les personnes étant tenues de cliquer sur plusieurs liens situés à distance des cases à cocher et du bouton poussoir permettant le recueil du consentement en matière de prospection commerciale par SMS et/ou courrier électronique (ces cases et ce bouton portant par ailleurs, comme rappelé au paragraphe 43, sur des finalités distinctes).

47. Au vu de l’ensemble de ce qui précède, ce parcours ne permet pas vraiment aux personnes concernées de fournir un consentement explicite et éclairé par un acte positif pour le traitement en cause, comme aurait pu le permettre, par exemple, la présence d’une case à cocher sur le formulaire d’adhésion au programme de fidélité mentionnant clairement la finalité de ce traitement et offrant la possibilité aux personnes d’accepter ou non sa mise en œuvre.

[… passage central omis : décision trop longue pour une cellule …]

116. La rapporteure relève que les constatations réalisées par la délégation lors du contrôle en ligne du 5 janvier 2023 ont permis de mettre en évidence le dépôt, sur le terminal de l’utilisateur et avant que le consentement de ce dernier soit recueilli, de plusieurs cookies. Parmi ces cookies, figure le cookie  » IADVIZE « , outil de tchat en ligne ( » chatbox « ) avec un conseiller expert qui permet une reconnaissance unique de l’utilisateur et un enregistrement de l’historique de conversation. Elle relève également que sept autres cookies permettent la personnalisation de contenus à partir de l’historique de navigation de l’utilisateur et l’analyse de sa navigation. Elle considère par conséquent que ces cookies sont soumis à l’exigence de recueil du consentement. Elle relève également que ces cookies n’étaient pas supprimés du navigateur après que l’utilisateur a refusé les cookies  » non essentiels « , et qu’ils continuaient ainsi à être lus malgré ce refus. Elle considère que ces faits constituent un manquement à l’article 82 de la loi Informatique et Libertés.

117. En défense, la société admet que les cookies en cause étaient bien déposés avant tout recueil du consentement de l’utilisateur. Elle précise que, pour certains d’entre eux, elle avait considéré qu’ils pouvaient relever de son intérêt légitime et insiste sur le fait que les cookies concernés n’ont pas pour finalité de collecter ou de transmettre des données à des tiers à des fins de profilage ou de prospection commerciale, mais ont pour seule finalité d’optimiser l’expérience utilisateur sur le site. Elle ajoute avoir, depuis les contrôles, pris des mesures permettant de garantir que ces cookies ne sont plus déposés en l’absence de consentement de l’utilisateur.

118. La formation restreinte relève qu’il ressort des constatations réalisées lors du contrôle en ligne du 5 janvier 2023 que, lors de son arrivée sur le site web  » […] « , l’utilisateur voit s’afficher une fenêtre surgissante relative aux cookies, au bas de laquelle figurent deux boutons intitulés respectivement  » En savoir plus  » et  » Accepter et fermer « , ainsi qu’un lien en haut à gauche de la fenêtre intitulé  » continuer sans accepter « .

119. La délégation a constaté qu’avant même que l’utilisateur ait exprimé un choix quant au dépôt et à la lecture de cookies sur son terminal, et alors que la fenêtre surgissante était toujours affichée, onze cookies étaient déposés sur son terminal.

120. La formation restreinte relève en outre qu’il ressort de ces constats qu’après avoir cliqué sur le lien  » continuer sans accepter  » (et après avoir donc refusé le dépôt et la lecture de cookies non essentiels), les onze cookies précités n’étaient pas supprimés du navigateur et continuaient ainsi à être lus.

121. La formation restreinte note que, parmi ces onze cookies, était déposé le cookie  » iadvize-5593-vuid « . La société a précisé que  » IADVIZE  » est  » un outil de tchat en ligne ( » chatbox « ) avec un conseiller expert afin d’aider l’utilisateur dans ses achats. Le cookie [en question] permet d’identifier de manière unique l’utilisateur et de personnaliser l’aff