La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mme Laurence FRANCESCHINI et M. Didier KLING, membres,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ;

Vu la décision n° 2023-006C du 25 janvier 2023 de la vice-présidente déléguée de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mise en œuvre par la société AMERICAN EXPRESS CARTE FRANCE ou pour son compte ;

Vu la décision de la vice-présidente déléguée de la Commission nationale de l’informatique et des libertés du 6 mars 2025 portant désignation d’un rapporteur devant la formation restreinte ;

Vu le rapport de M. Fabien TARISSAN, commissaire rapporteur, signifié à la société AMERICAN EXPRESS CARTE FRANCE le 10 avril 2025 ;

Vu les observations écrites versées par le Conseil de la société AMERICAN EXPRESS CARTE FRANCE le 12 mai 2025 ;

Vu la décision n° 2025-095C du 14 mai 2025 de la vice-présidente déléguée de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement accessible à partir du site web  » https://www.americanexpress.com/fr-fr/  » ;

Vu la réponse du rapporteur aux observations de la société, signifiée à la société le 4 juin 2025 ;

Vu les nouvelles observations écrites versées par le Conseil de la société AMERICAN EXPRESS CARTE FRANCE le 7 juillet 2025 ;

Vu la clôture de l’instruction, signifiée à la société le 22 juillet 2025 ;

Vu le courrier du président de la formation restreinte du 23 juillet 2025, informant la société que le dossier était inscrit à l’ordre du jour de la formation restreinte du 18 septembre 2025 ;

Vu les observations orales formulées lors de la séance de la formation restreinte du 18 septembre 2025 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 18 septembre 2025 :

– M. Fabien TARISSAN, commissaire, entendu en son rapport ;

En qualité de représentants de la société AMERICAN EXPRESS CARTE FRANCE :

– […]

La société AMERICAN EXPRESS CARTE FRANCE ayant été informée de son droit de garder le silence sur les faits qui lui étaient reprochés et ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. FAITS ET PROCÉDURE

1. La société AMERICAN EXPRESS CARTE FRANCE (ci-après,  » la société  » ou  » la société AECF  » ou  » AECF « ) est une société anonyme à conseil d’administration dont le siège social est situé 8-10 rue Henri Sainte-Claire Deville à Rueil-Malmaison (92500). Filiale de la société AMERICAN EXPRESS COMPANY, située aux Etats-Unis, le groupe est le troisième émetteur de cartes de paiement au monde.

2. La société AECF émet et commercialise des cartes de paiement à débit différé permettant à ses clients, en contrepartie d’une cotisation annuelle, de régler des achats de biens et services chez les commerçants affiliés au réseau American Express. A la fin de chaque mois, le détenteur de la carte se voit prélever la somme des débits de ladite carte sur un compte bancaire ouvert auprès d’une banque tierce, la société ne proposant pas de service de gestion de comptes bancaires.

3. Plusieurs types de cartes sont proposés, incluant différents services associés parmi lesquels une gamme d’assurances et d’assistance dont les garanties et le montant de prise en charge varient. En outre, la société propose à ses clients de souscrire des assurances complémentaires et agit, dans ce cadre, en qualité d’intermédiaire entre l’assureur et le client.

4. La société commercialise ses produits à travers son site web  » www.americanexpress.com/fr-fr/  » et les distribue par le biais de banques tierces. Seule filiale du groupe AMERICAN EXPRESS établie sur le territoire français en tant qu’établissement de paiement, la société AECF a précisé que ses produits visaient le marché français, d’autres entités du groupe étant chargées de distribuer les produits American Express dans les autres pays de l’Union européenne.

5. Au 31 décembre 2022, la société comptait 836 879 clients établis au sein de l’Union européenne, dont 831 443 résidant en France. La société précise qu’au 31 décembre 2024, elle comptait 848 000 clients et titulaires de comptes en ligne.

6. La société a réalisé, en 2022, un produit net bancaire de plus de 354 millions euros pour un résultat net d’environ 14,2 millions euros, et, en 2023, un produit net bancaire de 379 millions euros pour un résultat net de 12,5 millions d’euros. Elle indique avoir réalisé en 2024 un produit net bancaire de 505 949 462,84 euros, pour un résultat net de 23 465 049,59 euros.

7. La société indique enfin qu’elle employait 716 salariés au 31 décembre 2024.

8. L’attention de la Commission nationale de l’informatique et des libertés (ci-après  » la CNIL  » ou  » la Commission « ) ayant été attirée sur les traitements mis en œuvre par la société AMERICAN EXPRESS CARTE FRANCE, une délégation a procédé, les 26 et 27 janvier 2023, à une mission de contrôle sur place au siège de la société. Celle-ci visait à vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après,  » la loi Informatique et Libertés  » ou  » loi du 6 janvier 1978 modifiée « ) et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après  » le Règlement  » ou le  » RGPD « ).

9. Ce contrôle a été suivi d’un contrôle en ligne réalisé à partir du site web  » https://www.americanexpress.com/fr-fr/  » le 30 janvier 2023.

10. Les 7, 14 et 21 février, 7 avril, 16 mai, 23 juin et 3 juillet 2023, la société AECF a adressé à la délégation des éléments complémentaires.

11. Conformément à l’article 56 du RGPD et au vu des éléments du dossier, la CNIL a, le 27 novembre 2024, informé l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle cheffe de file concernant les traitements transfrontaliers mis en œuvre par la société, résultant de ce que son établissement principal se trouve en France. Après échanges entre la CNIL et les autorités de protection des données européennes dans le cadre du mécanisme de guichet unique, il apparait que les autorités allemande, autrichienne, belge, bulgare, chypriote, croate, danoise, espagnole, estonienne, finlandaise, grecque, hongroise, irlandaise, italienne, lettonne, lituanienne, luxembourgeoise, maltaise, néerlandaise, norvégienne, polonaise, portugaise, tchèque, roumaine, slovaque, slovène et suédoise sont concernées par les traitements mis en œuvre, des personnes résidant dans ces Etats membres étant porteuses de cartes émises par la société AECF.

12. Aux fins d’instruction de ces éléments, la vice-présidente déléguée de la Commission a, le 6 mars 2025, désigné M. Fabien TARISSAN en qualité de rapporteur sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.

13. Le 10 avril 2025, à l’issue de son instruction, le rapporteur a fait notifier à la société un rapport détaillant les manquements aux articles 5-1-c du RGPD et 82 de la loi Informatique et Libertés qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l’encontre de la société une amende administrative, ainsi qu’une injonction de mettre en conformité ses pratiques avec les dispositions susvisées, assortie d’une astreinte. Il proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

14. Le 12 mai 2025, la société a produit des observations en réponse au rapport de sanction.

15. Le 16 mai 2025, à la demande du rapporteur et sur décision de la vice-présidente de la CNIL du 14 mai 2025 en application de l’article 39 du décret du 29 mai 2019, une délégation de la CNIL a procédé à un nouveau contrôle en ligne à partir du site web  » https://www.americanexpress.com/fr-fr/ « . Le procès-verbal dressé à l’issue a été notifié à la société AMERICAN EXPRESS CARTE FRANCE le 4 juin 2025.

16. Le même jour, le rapporteur a répondu aux observations de la société.

17. Le 7 juillet 2025, la société a produit de nouvelles observations en réponse.

18. Le 22 juillet 2025, le rapporteur a, en application de l’article 40-III du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés (ci-après,  » le décret du 29 mai 2019 « ), informé la société que l’instruction était close.

19. Le 23 juillet 2025, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 18 septembre 2025.

20. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.

II. MOTIFS DE LA DECISION

A. Sur la procédure de coopération européenne

21. En application de l’article 60, paragraphe 3 du RGPD, le projet de décision adopté par la formation restreinte a été transmis le 16 octobre 2025 aux autorités de contrôle européennes concernées.

22. Au 14 novembre 2025, aucune de ces autorités n’avait formulé d’objection pertinente et motivée à l’égard de ce projet de décision, de sorte que, en application de l’article 60, para-graphe 6 du RGPD, ces dernières sont réputées l’avoir approuvé.

B. Sur l’administration de la preuve

23. La société conteste la manière dont la preuve a été administrée par le rapporteur pour caractériser les manquements relevés.

24. D’une part, s’agissant du manquement à l’article 5, paragraphe 1, c) du RGPD et plus particulièrement de l’enregistrement des appels lorsque l’appelant est mis en attente, la société observe que le rapporteur n’a produit, au soutien de son rapport, aucun élément de preuve attestant de ces enregistrements. Elle précise que ce n’est qu’au moment de sa réponse aux premières observations de la société – lesquelles soulignaient cette absence de preuve – que le rapporteur a produit un enregistrement permettant d’étayer son analyse. Elle considère que l’approche consistant à prendre en compte, au stade de sa réponse, de nouveaux éléments de preuve pour démontrer l’existence d’un manquement pourtant identifié dès le stade du rapport est contraire à l’obligation de diligence du rapporteur. Elle demande à la formation restreinte d’écarter les éléments produits.

25. D’autre part, s’agissant du manquement à l’article 82 de la loi Informatique et Libertés, la société considère que les éléments issus du contrôle en ligne du 16 mai 2025, diligenté à la demande du rapporteur, devraient être déclarés irrecevables. Elle estime en effet que le rapporteur aurait dû démontrer le manquement allégué dans son rapport initial – et donc procéder aux vérifications nécessaires en amont, et que des contrôles complémentaires réalisés a posteriori ne peuvent servir à justifier rétroactivement la constitution d’une infraction. Elle fait valoir qu’un tel procédé serait contraire à l’obligation de diligence du rapporteur mais également à son droit de ne pas s’auto-incriminer, dans la mesure où en apportant la preuve du manquement au stade de sa réponse, après avoir pris connaissance de la ligne de défense de la société, le rapporteur a contraint celle-ci à fournir des informations susceptibles d’être par la suite utilisées contre elle, sans qu’elle ait pleinement connaissance des éléments retenus à son encontre. Elle indique enfin que le principe d’égalité des armes n’aurait pas été respecté puisque, selon elle, l’absence de démonstration du manquement dans le rapport initial l’a désavantagée par rapport au rapporteur, en l’empêchant notamment de prendre les mesures de remédiation et de fournir les explications nécessaires dès la notification du rapport.

26. La formation restreinte rappelle qu’en application de l’article 39 du décret n° 2019-536 du 29 mai 2019,  » lorsqu’une sanction est susceptible d’être prononcée, le président de la commission désigne un rapporteur n’appartenant pas à la formation restreinte et en informe le responsable de traitement ou le sous-traitant mis en cause. Le rapporteur procède à toutes diligences utiles avec le concours des services de la commission « . Il est ainsi loisible au rapporteur, comme à l’organisme mis en cause, de produire, au cours de l’instruction et jusqu’à sa clôture, toute pièce utile à l’établissement des faits en cause.

27. En l’espèce et premièrement, s’agissant de l’enregistrement produit par le rapporteur dans le cadre de sa réponse aux premières observations de la société, la formation restreinte relève, d’une part, que cette pièce a été transmise à la délégation par la société elle-même et que cette dernière en avait donc parfaitement connaissance, avant même la notification du rapport. D’autre part, la formation restreinte note que, dans son rapport initial, le rapporteur avait déjà clairement énoncé le manquement reproché et qu’il était donc loisible à la société, en toute connaissance de la qualification retenue et sans attendre la production d’un enregistrement illustratif, de fournir des explications sur les faits en cause et de prendre le cas échéant des mesures de remédiation, ce qu’elle a d’ailleurs fait et dont elle justifie dans ses observations du 12 mai 2025, antérieures à la réponse du rapporteur. Enfin, la formation restreinte relève que la société a pu se défendre sur cette pièce à l’occasion de ses secondes observations en réponse du 7 juillet 2025 et que le principe du contradictoire a dès lors été respecté.

28. Deuxièmement, s’agissant du contrôle en ligne du 16 mai 2025, la formation restreinte relève que ce contrôle a été décidé et réalisé conformément aux règles applicables, dans le cadre normal de l’instruction des manquements initialement relevés et que le premier rapport ne figeait pas. La société a par ailleurs pu, dans ses dernières écritures du 7 juillet 2025, répondre aux éléments issus de ces constatations. Il en résulte qu’aucune violation des principes fondamentaux invoqués par la société n’est caractérisée.

29. En outre, la formation restreinte relève que le manquement relatif à l’ineffectivité du retrait du consentement aux cookies non essentiels figure dans le rapport initial de sanction du 10 avril 2025, lequel rappelle le fonctionnement d’un navigateur web et précise que  » lors de la navigation d’un utilisateur sur un site web, les cookies présents sur son terminal sont systématiquement envoyés à travers des requêtes vers les domaines auxquels ils sont associés, autrement dit sont systématiquement lus. Par exemple, s’agissant du site web de la société AMERICAN EXPRESS CARTE FRANCE, le cookie  » dtCookie « , dont le domaine est  » .americanexpress.com « , sera contenu dans toutes les requêtes destinées au domaine  » americanexpress.com  » et à tous ses sous-domaines « . Ainsi, la seule présence de cookies sur le navigateur de l’internaute, mise en évidence par le premier contrôle, permettait de retenir ce manquement, comme indiqué par le rapporteur dans son rapport. La formation restreinte relève que c’est pour répondre aux premières observations en défense de la société, qui faisait état de l’insuffisance des éléments de preuve pour caractériser le manquement allégué (en particulier concernant l’existence d’opérations de lecture) que le rapporteur a diligenté ce second contrôle destiné à fournir à la société, par la production d’un fichier HAR, l’illustration des opérations de lecture, d’ores et déjà établies.

30. Dès lors, la formation restreinte considère que l’administration de la preuve dans ce dossier n’a méconnu aucun principe fondamental ni aucune des règles régissant les procédures de sanction menées devant la CNIL.

C. Sur le manquement à l’obligation de veiller à l’adéquation, à la pertinence et au ca-ractère non excessif des données en application de l’article 5, paragraphe 1, c) du RGPD

31. En droit, l’article 5-1-c du RGPD dispose que  » les données à caractère personnel doivent être […] adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) « .

32. La formation restreinte a régulièrement rappelé que l’appréciation du respect du principe de minimisation des données repose sur la stricte adéquation entre les données collectées et les raisons présidant à leur collecte (CNIL, FR, Sanction, 18 septembre 2023, n° SAN-2023-013, publié).

33. En matière d’enregistrement des appels téléphoniques, le principe de minimisation des données implique notamment de n’enregistrer que les segments nécessaires à la poursuite des finalités définies pour ce traitement, et peut, selon la finalité poursuivie, s’opposer à leur enregistrement intégral et systématique, si cette finalité peut être atteinte par un moyen moins intrusif. Ainsi, dès lors que le contrôle de la qualité du service peut être réalisé par l’enregistrement d’un échantillon de conversations téléphoniques, la CNIL considère que l’instauration d’un dispositif d’enregistrement systématique des appels téléphoniques ayant lieu entre les salariés d’une société et ses clients est excessive au regard de la finalité poursuivie (CNIL, FR, 8 juin 2023, Sanction, SAN-2023-008, publié ; CNIL, FR, 26 septembre 2024, Sanction, SAN-2024-014, publié).

34. Le rapporteur rappelle que cette position n’est pas nouvelle, dans la mesure où, dans sa délibération n° SAN-2020-003 du 28 juillet 2020, à l’égard d’une société qui procédait à l’enregistrement des appels reçus par les salariés du service clients d’une société à des fins de formation, la formation restreinte de la CNIL avait déjà considéré que  » la société ne justifie pas de la nécessité d’enregistrer l’intégralité des conversations téléphoniques passées par le service client, au regard de la finalité du traitement, à savoir la formation des salariés. (…) Si le nombre d’enregistrements peut varier en fonction de chaque salarié et des circonstances, en particulier des besoins de formation de celui-ci, (…) la société ne démontre pas avoir mis en place, pour le passé et l’avenir, un enregistrement des conversations téléphoniques des salariés limité à ce qui est nécessaire au regard de la finalité poursuivie. Or, un responsable de traitement ne peut mettre en place un traitement de données à caractère personnel sans s’assurer que celui-ci est nécessaire à ses besoins, a fortiori lorsqu’il repose sur un dispositif particulièrement intrusif pour les salariés. La formation restreinte considère donc, au vu de ces éléments, qu’un manquement à l’article 5-1-c) du RGPD est constitué « .

35. Le principe de minimisation des données impose également au responsable de traitement de s’interroger, au-delà de la question de la proportion des appels enregistrés, sur la nécessité de l’objet de ces enregistrements au regard des finalités poursuivies.

36. En l’espèce, dans son rapport du 10 avril 2025 et sa réponse du 4 juin 2025 aux observations de la société, le rapporteur relève que, lorsque des personnes contactent par téléphone le service client d’AECF, l’enregistrement de la conversation, d’une part, débute dès la fin des mentions d’information délivrées par le serveur vocal, avant même la mise en relation avec un téléconseiller, et, d’autre part, n’est pas interrompu lorsque l’appelant est mis en attente par un téléconseiller au cours de l’appel.

37. Il estime que des paroles à caractère privé prononcées par l’appelant et potentiellement par des tiers se trouvant à proximité du téléphone sont dès lors susceptibles d’être enregistrées, à la fois dès la fin des mentions délivrées par le serveur vocal, avant la mise en relation avec le téléconseiller, et en cas de mise en attente. Le rapporteur considère que les mesures mises en œuvre par la société (le paramétrage de l’outil […] fourni par la société […]) permettant l’enregistrement des paroles des personnes contactant le service client d’AECF, en dehors de celles échangées avec les salariés de la société, constitue un manquement au principe de minimisation des données prévu à l’article 5, paragraphe 1, c) du RGPD, ces parties de ces enregistrements n’apparaissant ni adéquates, ni pertinentes, ni limitées à ce qui est nécessaire à la poursuite des finalités déclarées. Il estime indifférent que les conversations privées enregistrées ne fassent l’objet d’aucune exploitation et que la majorité des personnes contactant la société n’entretiennent pas de telles conversations pendant l’appel dès lors que celles-ci, lorsqu’elles interviennent, ne devraient pas faire l’objet d’un enregistrement.

38. Le rapporteur précise que l’enregistrement de conversations téléphoniques, qui implique une collecte de la voix couplée à d’autres éléments tels que le numéro de téléphone de la personne concernée, constitue un traitement de données à caractère personnel, et ce indépendamment du contenu des paroles prononcées.

39. Le rapporteur indique que si des conversations privées ne sont pas nécessairement captées lors de l’ensemble des enregistrements, l’ensemble de ces appels sont toutefois susceptibles d’être concernés par le manquement, le paramétrage de l’outil permettant la captation de conversations privées ne présentant aucun lien avec les finalités poursuivies. Il estime que cela est démontré par l’extrait figurant en pièce n° 25 du rapport, les paroles de l’appelant et de son interlocuteur étant selon lui parfaitement audibles. Il estime que l’absence de parole prononcée entre la fin du message délivré par le serveur vocal et la prise de l’appel par le téléconseiller dans les dix autres enregistrements transmis à la délégation ne résulte que des aléas de l’échantillonnage réalisé et n’est pas de nature à remettre en cause la caractérisation du manquement.

40. Il estime que l’enregistrement des appels en cas de mise en attente est démontré par l’enregistrement du 26 janvier 2023 à 15h41 en pièce n° 1 de son rapport, le disque d’attente diffusé étant parfaitement audible, même si la personne concernée ne prononce aucune parole.

41. Il considère que le manquement reste constitué pour le passé en dépit des modifications apportées par la société à son système d’enregistrement des appels.

42. En défense, la société AECF, dans ses observations écrites des 12 mai et 7 juillet 2025, conteste le manquement reproché.

43. AECF précise en premier lieu que le manquement au principe de minimisation reproché ne saurait concerner les enregistrements réalisés à des fins de preuve de la conclusion d’un contrat d’assurance (appels avec le département assurance) – ceux-ci faisant d’ailleurs l’objet d’une mise en demeure de la présidente de la CNIL dans le cadre d’une procédure distincte. Ce manquement doit dès lors, selon AECF, n’être envisagé que pour les appels entrants reçus par le service clientèle, enregistrés à des fins de formation des salariés et de vérification de la conformité.

44. Au titre des autres finalités poursuivies, AECF fait valoir que les griefs formulés par le rapporteur concernent un nombre extrêmement limité d’enregistrements et, au sein de ces enregistrements, une partie minime de l’appel, et que ces enregistrements n’ont pas d’impact sur les personnes concernées. Elle invoque sa bonne foi, estime avoir de longue date mis en place les mesures suffisantes pour respecter le principe de minimisation des données et que, pour fonder les griefs qu’il formule, le rapporteur procède à une interprétation très extensive de ce principe.

45. En particulier elle estime qu’aucun élément ne permet de démontrer que l’ensemble des enregistrements est concerné et soutient que le rapporteur ne démontre pas suffisamment les faits susceptibles de caractériser le manquement allégué.

46. S’agissant de l’enregistrement entre la fin du message d’accueil et d’informations du serveur vocal et la mise en relation avec l’agent du service client, AECF expose que le rapporteur n’invoque qu’un seul enregistrement d’appel sur les 32 transmis, dont la partie litigieuse se limite à 14 secondes et est inintelligible (impossibilité d’identifier une personne), de sorte qu’il ne peut être établi qu’elle comporterait des données à caractère personnel. AECF conteste la possibilité de déduire de cet enregistrement inintelligible l’existence d’une violation potentielle du principe de minimisation des données. Elle considère qu’un tel enregistrement est dépourvu d’impact sur les personnes concernées, celui-ci n’ayant pas vocation à collecter des données à caractère personnel et n’étant pas exploité. Elle précise que le client est informé par un message que la conversation sera enregistrée sauf opposition de sa part et qu’il peut donc s’attendre à être enregistré. Elle ajoute qu’il peut couper le micro de son téléphone pendant le temps d’attente.

47. Dans ses premières observations en défense, AECF conteste par ailleurs tout enregistrement lorsque l’appelant est mis en attente et estime que le rapporteur n’en rapporte pas la preuve. Dans ses secondes observations, elle précise que la pièce invoquée par le rapporteur dans sa réponse n’établit aucun manquement dès lors qu’aucune conversation privée n’est enregistrée et aucune donnée à caractère personnel n’est traitée.

48. AECF estime que le rapporteur procède à une interprétation extensive du principe de minimisation des données en alléguant une violation seulement potentielle procédant des paramétrages de l’outil d’enregistrement, sans se fonder sur des captations effectives de conversation comportant des données à caractère personnel.

49. La société explique qu’en tout état de cause le manquement allégué est marginal au regard du nombre de personnes concernées, de l’absence de captation de conversations privées lors de chaque appel et de l’absence d’exploitation de ces enregistrements.

50. AECF précise que la difficulté ne lui avait pas été signalée dans le cadre de ses précédents échanges avec la CNIL (dans le cadre de sa mission d’accompagnement) et que cette dernière n’avait jamais, dans ses publications, précisé que l’enregistrement des appels devait commencer après que l’appelant a été mis en relation avec l’agent ni que les enregistrements devaient être limités aux paroles échangées entre le client et l’agent du service client. Elle estime avoir dès lors légitimement pu croire en la conformité de son système d’enregistrement des appels.

51. AECF indique enfin avoir, au cours de la procédure, modifié son système d’enregistrement des appels pour ne plus enregistrer les paroles du client avant la mise en contact avec l’agent et s’assurer que l’enregistrement n’est pas réalisé lorsque le client est mis en attente. Elle entend ainsi démontrer sa bonne foi et précise que cela ne saurait valoir reconnaissance du manquement reproché, qu’elle conteste.

52. La formation restreinte relève qu’il est constant que les clients d’AECF peuvent contacter le service client de la société par téléphone et que, sauf opposition de la part des personnes concernées, 50 % de ces appels entrants sont enregistrés et peuvent être réécoutés à l’aide de l’outil […], développé par la société […].

53. Le volume d’appels reçus s’est élevé en 2022 à près de 1,2 million, dont la moitié a fait l’objet d’un enregistrement, soit 600 000 appels – ce qui n’équivaut pas nécessairement à 600 000 personnes concernées, un même client pouvant procéder à plusieurs appels.

54. Il est aussi constant que ces enregistrements sont en principe conservés pendant 60 jours pour la réalisation des finalités suivantes :

– la formation et l’amélioration de la performance de ses salariés,

– le contrôle de la conformité,

– marginalement le traitement des réclamations formulées par les clients.

55. Il résulte des constations réalisées lors du contrôle sur place, des pièces transmises par la société ainsi que des échanges entre le rapporteur et cette dernière que l’appelant est immédiatement mis en relation avec un serveur vocal l’informant de sa possibilité de s’opposer à l’enregistrement de l’appel. Après avoir sélectionné la rubrique correspondant à sa demande, l’appelant est mis en contact avec un téléconseiller, qui authentifie le client avant tout partage d’informations personnelles.

56. La société ne conteste pas qu’en l’absence d’opposition du client, l’enregistrement des appels débutait, à la date du contrôle sur place, immédiatement après la diffusion du message d’accueil et d’informations du serveur vocal, avant la mise en relation avec l’agent du service client.

[… passage central omis : décision trop longue pour une cellule …]

89. Dans une décision du 29 décembre 2023, la formation restreinte a ainsi expressément rappelé que,  » si l’article 82 de la loi Informatique et Libertés conditionne le dépôt de cookies au consentement de l’abonné ou de l’utilisateur, il offre nécessairement, de manière corrélative, le droit à l’intéressé de retirer son consentement et de revenir ainsi sur son choix d’accepter que des cookies soient déposés sur son terminal  » (CNIL, FR, 29 décembre 2023, Sanction, SAN-2023-024, publié).

90. S’agissant des modalités techniques permettant d’assurer l’effectivité du retrait du consentement, la CNIL a précisé, dans sa recommandation précitée du 17 septembre 2020, que  » pour que le retrait du consentement soit effectif, il peut être nécessaire de mettre en place des solutions spécifiques pour garantir l’absence de lecture ou d’écriture des traceurs précédemment utilisés « . Ces solutions peuvent par exemple consister à modifier la durée de vie des cookies pour indiquer qu’ils sont expirés (en renvoyant dans une réponse http un en-tête  » set cookie  » appropriée spécifiant une date d’expiration dans le passé), ce qui entraînera leur suppression par le navigateur, ou encore, s’agissant des cookies ne disposant pas de l’attribut  » httpOnly « , à assurer leur suppression à l’aide d’un script exécuté localement sur le terminal, via l’utilisation des interfaces de programmation d’application  » cookies  » des navigateurs web.

91. En l’espèce, le rapporteur relève dans son rapport initial qu’il résulte du contrôle en ligne du 30 janvier 2023 qu’après avoir accepté le dépôt de cookies non essentiels sur son terminal, puis retiré son consentement et poursuivi sa navigation sur le site, la délégation a constaté la présence sur son navigateur de l’ensemble des cookies déposés avant retrait du consentement, parmi lesquels plusieurs étaient pourtant soumis au consentement de l’utilisateur. Le rapporteur rappelle dans son rapport le fonctionnement technique d’un navigateur, précisant que  » lors de la navigation d’un utilisateur sur un site web, les cookies présents sur son terminal sont systématiquement envoyés à travers des requêtes vers les domaines auxquels ils sont associés, autrement dit sont systématiquement lus. Par exemple, s’agissant du site web de la société AMERICAN EXPRESS CARTE FRANCE, le cookie  » dtCookie « , dont le domaine est  » .americanexpress.com « , sera contenu dans toutes les requêtes destinées au domaine  » americanexpress.com  » et à tous ses sous-domaines « . Il relève dès lors que la seule présence de ces cookies sur le navigateur entraîne nécessairement des opérations de lecture, qui interviennent malgré le retrait du consentement de l’utilisateur et constituent un manquement à l’article 82 de la loi Informatique et Libertés.

92. Dans ses premières observations en défense, la société soutient que le rapporteur n’apporte aucune preuve de ces opérations de lecture et que la seule présence des cookies sur le terminal de l’utilisateur est insuffisante pour démontrer un manquement. Elle fait au contraire valoir que la méthode utilisée permet d’assurer la prise en compte effective du retrait du consentement, les cookies précédemment déposés n’étant, selon elle, plus lus après un tel retrait