La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, MM. KLING et Bertrand du MARAIS, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret n°2019-536 du 29 mai 2019 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2023-193C du 31 juillet 2023 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification ;

Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 30 octobre 2024 ;

Vu le rapport de M. Fabien TARISSAN, commissaire rapporteur, notifié à la société INFINITE STYLES SERVICES CO. LIMITED le 18 février 2025 ;

Vu les observations écrites de la société INFINITE STYLES SERVICES CO. LIMITED reçues le 18 mars 2025 ;

Vu la réponse du rapporteur notifiée à la société INFINITE STYLES SERVICES CO. LIMITED le 18 avril 2025 ;

Vu les observations écrites de la société INFINITE STYLES SERVICES CO. LIMITED reçues le 19 mai 2025 ;

Vu la clôture de l’instruction notifiée à la société INFINITE STYLES SERVICES CO. LIMITED le 10 juin 2025 ;

Vu les observations orales formulées lors de la séance de la formation restreinte du 10 juillet 2025 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 10 juillet 2025 :

– M. Fabien TARISSAN, commissaire, entendu en son rapport ;

En qualité de représentants de la société INFINITE STYLES SERVICES CO. LIMITED :

– […]

Le président ayant vérifié l’identité des représentants du mis en cause, présenté le déroulé de la séance et rappelé que les mis en cause peuvent, s’ils le souhaitent, présenter des observations orales introductives ou en réponse aux questions des membres de la formation restreinte.

La société INFINITE STYLES SERVICES CO. LIMITED ayant été informée, à titre conservatoire et au regard des implications encore incertaines de la jurisprudence du Conseil constitutionnel en cette matière, de son droit de garder le silence sur les faits qui lui étaient reprochés, et celle-ci ayant eu la parole en dernier.

Après en avoir délibéré, a adopté la décision suivante :

I. Faits et procédure

1. L’activité du groupe INFINITE STYLES consiste en la vente, principalement sur son site web  » shein.com « , de vêtements, chaussures et accessoires de sa marque  » SHEIN « , mais également de marques déposées par des tiers.

2. Le groupe INFINITE STYLES, dont la maison mère ROADGET BUSINESS PTE LTD est située à Singapour, est composé de plusieurs établissements au sein de l’Union européenne, dont les établissements irlandais INFINITE STYLES ECOMMERCE LIMITED et INFINITE STYLES SERVICES CO. LIMITED détenus à 100 % par la maison mère, ainsi que l’établissement français INFINITE STYLES ECOMMERCE FRANCE détenu à 100 % par la société irlandaise INFINITE STYLES ECOMMERCE LIMITED.

3. La distribution, dans l’Union européenne, des produits de la marque  » SHEIN  » est assurée par la société INFINITE STYLES ECOMMERCE LIMITED. La société INFINITE STYLES SERVICES CO. LIMITED est en charge, depuis le 1er août 2023, de la gestion des sous-domaines européens du nom de domaine  » shein.com « . La société INFINITE STYLES ECOMMERCE FRANCE, quant à elle, promeut, en France, les produits de la marque  » SHEIN « , notamment en organisant des défilés de mode et des boutiques éphémères.

4. En 2023, le chiffre d’affaires de la société ROADGET BUSINESS PTE LTD était de […] dollars (soit environ […] d’euros) et ses bénéfices de […] dollars (soit environ […] d’euros).

5. Par décision n° 2023-193C du 31 juillet 2023, la Présidente de la Commission nationale de l’informatique et des libertés (ci-après  » la Commission  » ou  » la CNIL « ) a chargé le secrétaire général de procéder ou de faire procéder à une mission de contrôle afin de vérifier la conformité à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après  » la loi Informatique et Libertés  » ou  » LIL « ) et au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après  » le RGPD  » ou  » le Règlement « ), de tout traitement accessible à partir du domaine  » shein.com  » depuis un terminal situé en France.

6. En application de cette décision, le 10 août 2023, une délégation a procédé à un contrôle en ligne sur le site web  » shein.com « , au cours de laquelle elle a reproduit le parcours d’un utilisateur se rendant sur le site web  » shein.com « .

7. Par courrier du 9 août 2023, la société INFINITE STYLES ECOMMERCE FRANCE a ensuite été convoquée à une audition le 29 août 2023. Celle-ci a été reportée à la demande de la société INFINITE STYLES ECOMMERCE FRANCE. Elle a donc été convoquée, par courrier du 24 août 2023, à une audition le 5 octobre 2023.

8. L’ensemble de ces opérations de contrôle a donné lieu à des échanges entre la délégation et les sociétés contrôlées portant particulièrement sur la finalité des cookies dont le dépôt avait été constaté à l’occasion du contrôle en ligne, sur leurs activités et la gouvernance des traitements de données à caractère personnel.

9. Aux fins d’instruction de ces éléments, la Présidente de la Commission a, le 30 octobre 2024, désigné Monsieur Fabien TARISSAN en qualité de rapporteur sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés.

10. Le 18 février 2025, à l’issue de son instruction, le rapporteur a fait notifier à la société un rapport détaillant le manquement à l’article 82 de la loi Informatique et Libertés modifiée qu’il estimait constitué en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société et une injonction assortie d’une astreinte de mettre en conformité le traitement avec les dispositions de l’article 82 de la loi Informatique et Libertés. Il proposait également que cette décision soit rendue publique.

11. Le 18 mars 2025, la société a produit des observations en réponse au rapport de sanction.

12. Le rapporteur a répondu aux observations de la société le 18 avril 2025.

13. Le 19 mai 2025, la société a produit ses deuxièmes observations en réponse.

14. Par courrier du 10 juin 2025, le rapporteur a, en application du III de l’article 40 du décret n° 2019-536 précité, informé la société et le président de la formation restreinte que l’instruction était close.

15. Par courrier du 11 juin 2025, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 10 juillet 2025.

16. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur le traitement en cause et la détermination du responsable de traitement

17. Le traitement objet de la présente procédure est relatif au dépôt de cookies sur le terminal des utilisateurs résidant en France lors de la navigation sur le sous-domaine français du nom de domaine  » shein.com « .

18. Le paragraphe 7 de l’article 4 du RGPD – qui s’applique en raison du renvoi fait par l’article 2 de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2006/24/CE du 15 mars 2006 et par la directive 2009/136/CE du 25 novembre 2009 (ci-après, directive  » ePrivacy « ) à l’ancienne directive 95/46/CE à laquelle s’est substitué le RGPD – prévoit que le responsable de traitement est  » la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement « .

19. En l’espèce, la formation restreinte relève que la délégation a été informée, lors du contrôle sur audition, que  » la société INFINITE STYLES SERVICES LIMITED […] est devenue le gestionnaire des sous-domaines de  » shein.com  » dans l’UE  » et, par un courrier du 21 mars 2024, que  » tous les cookies des sites internet Shein de la région EMEA sont exploités par Infinite Styles Services Co. Limited « .

20. La formation restreinte observe, par ailleurs, que la politique de confidentialité, dans sa version disponible sur le site web  » shein.com  » au jour du contrôle en ligne,  » explique comment Infinite Styles Co., Limited, qui exerce ses activités sous le nom de  » SHEIN « , collecte, utilise, partage et traite vos données à caractère personnel lorsque vous utilisez ou accéder au présent site Web (le  » Site « )  » et précise que  » le Site et l’Application sont fournis par Infinite Services Co. Limited, qui est le responsable du traitement et de la protection de vos données à caractère personnel « .

21. Au vu de ce qui précède, la formation restreinte considère, sans que cela ait d’ailleurs été contesté par la société, que la société INFINITE STYLES SERVICES CO. LIMITED agit en qualité de responsable du traitement relatif au dépôt et à la lecture de cookies sur le terminal des utilisateurs du site web  » shein.com « .

B. Sur la compétence de la CNIL

1. Sur la compétence matérielle de la CNIL et la non-application du mécanisme de  » guichet unique  » prévu par le RGPD

22. Le traitement objet de la présente procédure, relatif au dépôt de cookies sur le terminal des utilisateurs résidant en France lors de la navigation sur le sous-domaine français du nom de domaine  » shein.com « , est effectué dans le cadre de la fourniture de services de communications électroniques accessibles au public par le biais d’un réseau public de communications électroniques proposés au sein de l’Union européenne. À ce titre, il entre dans le champ d’application matériel de la directive  » ePrivacy « .

23. L’article 5, paragraphe 3, de cette directive, relatif au stockage ou à l’accès à des informations déjà stockées dans l’équipement terminal d’un abonné ou d’un utilisateur, a été transposé en droit interne à l’article 82 de la loi Informatique et Libertés, au sein du chapitre IV de la loi relatif aux droits et obligations propres aux traitements dans le secteur des communications électroniques.

24. Aux termes de l’article 16 de la loi Informatique et Libertés,  » la formation restreinte prend les mesures et prononce les sanctions à l’encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant […] de la présente loi « . Selon l’article 20, paragraphe III, de cette même loi,  » lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant […] de la présente loi, le président de la Commission nationale de l’informatique et des libertés […] peut saisir la formation restreinte « .

25. Le rapporteur considère que la CNIL est matériellement compétente pour contrôler et, le cas échéant, sanctionner les opérations d’accès ou d’inscription d’informations mises en œuvre par la société INFINITE STYLES SERVICES CO. LIMITED dans les terminaux des utilisateurs du sous-domaine français du nom de domaine  » shein.com « , ce que conteste cette dernière.

26. En défense, la société considère que, dès lors que les cookies qu’elle dépose sur les terminaux des utilisateurs permettent la collecte et le traitement de données à caractère personnel, le traitement en cause relève du RGPD et non de la loi Informatique et Libertés. Elle considère également que le mécanisme du guichet unique s’applique compte tenu du caractère transfrontalier du traitement en cause. Elle en conclut que l’autorité compétente pour se prononcer sur ce traitement est l’autorité irlandaise et non pas la CNIL.

27. La formation restreinte rappelle, d’abord, que dès lors que les traitements objets du contrôle sont effectués dans le cadre de la fourniture de services de communications électroniques accessibles au public par le biais d’un réseau public de communications électroniques proposé au sein de l’Union européenne, ils entrent dans le champ d’application matériel de la directive  » ePrivacy « . A cet égard, elle souligne qu’il convient de distinguer, d’une part, le dépôt et la lecture de cookies dans le terminal des utilisateurs se rendant sur le domaine  » shein.com « , qui est soumis aux dispositions de l’article 5, paragraphe 3, de la directive  » ePrivacy « , transposées en droit français à l’article 82 de la loi Informatique et Libertés, et d’autre part, le traitement subséquent, opéré à partir des données à caractère personnel collectées par l’intermédiaire de ces cookies, qui est soumis aux dispositions du RGPD.

28. Elle relève ensuite qu’il ressort des dispositions précitées que le législateur français a chargé la CNIL de veiller au respect, par les responsables de traitement, des dispositions de la directive  » ePrivacy  » transposées à l’article 82 de la loi Informatique et Libertés, en lui confiant notamment le pouvoir de sanctionner toute méconnaissance de ces articles.

29. La formation restreinte rappelle enfin que le Conseil d’État a, dans sa décision Société GOOGLE LLC et société GOOGLE IRELAND LIMITED du 28 janvier 2022, confirmé que le contrôle des opérations d’accès ou d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, relève de la compétence de la CNIL et que le système du guichet unique prévu par le RGPD n’est pas applicable :  » il n’a pas été prévu l’application du mécanisme dit du  » guichet unique  » applicable aux traitements transfrontaliers, défini à l’article 56 de ce règlement, pour les mesures de mise en œuvre et de contrôle de la directive 2002/58/CE du 12 juillet 2002, qui relèvent de la compétence des autorités nationales de contrôle en vertu de l’article 15 bis de cette directive. Il s’ensuit que, pour ce qui concerne le contrôle des opérations d’accès et d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, les mesures de contrôle de l’application des dispositions ayant transposé les objectifs de la directive 2002/58/CE relèvent de la compétence conférée à la CNIL par la loi du 6 janvier 1978 […]  » (CE, 28 janvier 2022, 10ème et 9ème chambres réunies, société GOOGLE LLC et société GOOGLE IRELAND LIMITED, n° 449209, au recueil). Le Conseil d’État a réaffirmé cette position dans une décision du 27 juin 2022 (CE, 10ème et 9ème chambres réunies, 27 juin 2022, société AMAZON EUROPE CORE, n° 451423, aux Tables).

30. Dès lors, la formation restreinte considère que la CNIL est compétente pour contrôler et engager une procédure de sanction concernant le traitement relatif au dépôt et à la lecture de cookies dans le terminal des utilisateurs se rendant sur le site web français  » shein.com « , qui relève du champ d’application de la directive  » ePrivacy « , sous réserve que le traitement se rattache à sa compétence territoriale.

2. Sur la compétence territoriale de la CNIL

31. La règle d’application territoriale des exigences figurant à l’article 82 de la loi Informatique et Libertés est fixée à l’article 3, paragraphe I, de la même loi, qui dispose :  » sans préjudice, en ce qui concerne les traitements entrant dans le champ du règlement (UE) 2016/679 du 27 avril 2016, des critères prévus par l’article 3 de ce règlement, l’ensemble des dispositions de la présente loi s’appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d’un établissement d’un responsable du traitement […] sur le territoire français, que le traitement ait lieu ou non en France « .

32. Le rapporteur considère que la CNIL est territorialement compétente en application de ces dispositions dès lors que le traitement consistant en des opérations d’accès ou d’inscription dans le terminal d’utilisateurs situé en France lors de la navigation sur le site web  » shein.com « , est effectué dans le  » cadre des activités  » de la société INFINITE STYLES ECOMMERCE FRANCE, laquelle constitue  » l’établissement  » sur le territoire français de la société irlandaise INFINITE STYLES SERVICES CO. LIMITED.

33. La société conteste cette analyse à deux titres. S’agissant de la notion d’établissement, la société soutient qu’elle fait certes partie du même groupe que la société INFINITE STYLES ECOMMERCE FRANCE, mais souligne que les deux sociétés n’ont pas de lien juridique. Elle considère donc que la société INFINITE STYLES ECOMMERCE FRANCE ne peut pas être regardée comme son établissement au sens de la décision Weltimmo de la Cour de justice de l’Union européenne (ci-après  » la Cour de justice  » ou  » la CJUE « ) (1er octobre 2015, C-230/14). S’agissant de l’existence d’un traitement effectué dans le cadre des activités de l’établissement français, la société soutient que le traitement en cause n’intervient pas dans le cadre des activités de la société INFINITE STYLES ECOMMERCE FRANCE, dès lors que cette dernière ne promeut ou ne commercialise pas d’espace publicitaire sur le site web  » shein.com  » sur lequel les cookies sont déposés et qu’elle n’exploite pas et n’a pas accès aux données collectées par ces cookies.

34. A titre liminaire, la formation restreinte rappelle que pour déterminer si la CNIL dispose d’une compétence pour contrôler le respect par la société INFINITE STYLES SERVICES CO. LIMITED des exigences prévues à l’article 82 de la loi Informatique et Libertés dans le cadre du traitement objet de la procédure, il convient d’examiner si les deux critères d’application territoriale prévus au paragraphe I de l’article 3 de cette loi sont réunis, à savoir, d’une part, si cette société dispose d’un  » établissement sur le territoire français  » et si, d’autre part, le traitement en cause est effectué  » dans le cadre des activités de cet établissement « .

35. En premier lieu, s’agissant de l’existence d’un établissement du responsable de traitement sur le territoire français, la formation restreinte rappelle que, de façon constante, la CJUE a considéré que la notion d’établissement doit être appréciée de façon souple et qu’à cette fin, il convenait d’évaluer tant le degré de stabilité de l’installation que la réalité de l’exercice des activités dans un État membre, en tenant compte de la nature spécifique des activités économiques et des prestations de services en question.

36. A cet égard, la Cour de justice a relevé que  » le considérant 19 de la directive 95/46 précise que l’établissement sur le territoire d’un État membre suppose l’exercice effectif et réel d’une activité au moyen d’une installation stable  » et que  » la forme juridique retenue pour un tel établissement, qu’il s’agisse d’une simple succursale ou d’une filiale ayant la personnalité juridique, n’est pas déterminante  » (CJUE, 13 mai 2014, Google Spain, C-131/12, point 48). La Cour a précisé que  » la notion d’  » établissement « , au sens de la directive 95/46, s’étend à toute activité réelle et effective, même minime, exercée au moyen d’une installation stable « , le critère de stabilité de l’installation étant examiné au regard de la présence de  » moyens humains et techniques nécessaires à la fourniture de services concrets en question  » (CJUE, 1er octobre 2015, Weltimmo, C 230/14, points 30 et 31).

37. L’appréciation de l’existence d’un  » établissement sur le territoire français  » au sens du I de l’article 3 de la loi Informatique et Libertés procède donc d’une appréciation in concreto et casuistique.

38. Cette même logique a également été appliquée par la CJUE en matière de droit de la concurrence, pour apprécier la notion  » d’entreprise  » et  » d’unité économique  » (voir par exemple CJUE C-41/90 du 23 avril 1991, paragraphe 21 ; CJUE, troisième chambre, 14 décembre 2006, C-217/05, paragraphe 41 ; CJUE, troisième chambre, 10 septembre 2009, C 97/08 P, paragraphes 54 et 55 ; CJUE, grande chambre, 6 octobre 2021, affaire C 882/19, paragraphe 41).

39. En l’occurrence, la formation restreinte relève qu’il ressort des éléments du dossier que la société INFINITE STYLES ECOMMERCE FRANCE, créée le 6 mai 2022, est établie au 13-15 rue Taitbout, à Paris (75009). Cette société constitue donc une installation stable en France, qui compte 23 salariés.

40. Il ressort de son extrait  » Kbis  » qu’elle a pour objet  » [l’]import, [l’]export d’habillement et accessoire, [la] vente en ligne, [la] vente en détail, [l’]opération marketing, [le] marketing digital « . La formation restreinte relève que, malgré la demande de la délégation de contrôle, la société INFINITE STYLES ECOMMERCE FRANCE n’a pas communiqué les contrats encadrant sa relation avec la société INFINITE STYLES SERVICES CO. LIMITED.

41. Lors de son audition à la CNIL le 5 octobre 2023, la société INFINITE STYLES ECOMMERCE FRANCE a précisé que  » la principale mission de l’établissement français est de promouvoir la marque  » SHEIN  » [… ] l’établissement français promeut la marque  » SHEIN  » par le biais d’activités de marketing hors ligne ou  » in person « . Ainsi, il peut : organiser des défilés de mode ; implémenter des boutiques éphémères ; réaliser de la publicité, par exemple par le biais de panneaux publicitaires ; etc. L’établissement français peut aussi lancer des opérations photos et produire du contenu pour le site web  » shein.com  » « . La formation restreinte considère, dès lors, que la société INFINITE STYLES ECOMMERCE FRANCE exerce une activité économique effective sur le territoire français, laquelle contribue au rayonnement du sous-domaine français du nom de domaine  » shein.com  » géré par la société INFINITE STYLES SERVICES CO LIMITED. Les sociétés INFINITE STYLES ECOMMERCE FRANCE et INFINITE STYLES SERVICES CO. LIMITED sont ainsi  » liées économiquement  » (CJUE, 4ème chambre, 17 mai 2018, C-531/16). Elles entretiennent, en effet, des liens étroits d’une nature telle qu’ils rapprochent les deux sociétés au point de les unir dans une entité économique.

42. En outre, et comme cela a été indiqué au paragraphe 2, les sociétés INFINITE STYLES ECOMMERCE FRANCE et INFINITE STYLES SERVICES CO LIMITED font partie du même groupe et sont toutes deux détenues à des degrés différents par leur maison mère, la société ROADGET BUSINESS PTE LTD. En effet, la société INFINITE STYLES ECOMMERCE FRANCE est intégralement et directement détenue par la société INFINITE STYLES ECOMMERCE CO. LTD, elle-même intégralement et directement détenue par la société ROADGET BUSINESS PTE LTD, qui détient intégralement et directement, par ailleurs, la société INFINITE STYLES SERVICES CO LIMITED.

43. Ainsi, la formation restreinte estime, pour les raisons exposées ci-dessus, que la société INFINITE STYLES ECOMMERCE FRANCE constitue un  » établissement « , au sens de l’article 3 de la loi Informatique et Libertés, de la société INFINITE STYLES SERVICES CO LIMITED. Elle considère que cette analyse est pleinement conforme à la jurisprudence précitée de la CJUE, qui consacre une approche in concreto et casuistique de la notion  » d’établissement « , et invite à considérer les relations entre les différentes entités d’un groupe non pas uniquement au regard de leurs liens capitalistiques mais, plus largement, en tenant compte de leur relation économique. Dans ce contexte, la circonstance que la société INFINITE STYLES ECOMMERCE FRANCE n’est pas une filiale de la société INFINITE STYLES SERVICES CO LIMITED est sans incidence sur sa qualité d’établissement de cette société dès lors qu’elles appartiennent au même groupe, qu’elles sont toutes deux des filiales de leur maison mère, et qu’elles poursuivent des intérêts économiques communs.

44. En second lieu, s’agissant de l’existence d’un traitement effectué dans le cadre des activités de l’établissement français, la formation restreinte rappelle tout d’abord qu’il n’est pas nécessaire que le traitement en cause soit réalisé  » par cet établissement  » (arrêt précité Google Spain, pt. 57), et qu’il suffit que l’un des établissements facilite ou favorise suffisamment le déploiement dans le territoire français du traitement de données à caractère personnel mis en œuvre par le responsable de traitement établi dans un autre État membre pour qu’il y ait obligation de respecter la loi territorialement applicable en France et pour fonder la compétence de l’autorité de contrôle nationale.

45. Elle souligne que dans le cadre de sa jurisprudence, la Cour de justice a eu l’occasion de préciser à plusieurs reprises que l’expression  » dans le cadre des activités d’un établissement  » ne devait pas recevoir une interprétation restrictive (voir, arrêts précités Google Spain, pt 53 et Weltimmo, pt 25).

46. Elle relève ensuite que le Conseil d’État, dans sa décision AMAZON EUROPE CORE, a rappelé qu’ » il résulte de la jurisprudence de la Cour de justice de l’Union européenne, notamment de son arrêt du 5 juin 2018, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein contre Wirtschaftsakademie Schleswig-Holstein GmbH (C-210/16), qu’au vu de l’objectif poursuivi par cette directive [la directive  » ePrivacy « ], consistant à assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la protection de la vie privée et à la protection des données à caractère personnel, un traitement de données à caractère personnel peut être regardé comme effectué  » dans le cadre des activités  » d’un établissement national non seulement si cet établissement intervient lui-même dans la mise en œuvre de ce traitement, mais aussi dans le cas où ce dernier se borne à assurer, sur le territoire d’un État membre, la promotion et la vente d’espaces publicitaires permettant de rentabiliser les services offerts par le responsable d’un traitement consistant à collecter des données à caractère personnel par le biais de traceurs de connexion installés sur les terminaux des visiteurs d’un site  » (CE, 10ème et 9ème chambres réunies, 27 juin 2022, société AMAZON EUROPE CORE, n° 451423, aux Tables).

47. Le Conseil d’Etat a considéré, dans cette décision, que  » la société Amazon Online France, dont il n’est pas contesté qu’elle constitue un établissement de la société Amazon Europe Core en France, exerçait une activité de promotion et de commercialisation d’outils publicitaires contrôlés et exploités par la société Amazon Europe Core, fonctionnant notamment grâce aux données collectées par le biais des traceurs de connexion déposés sur les terminaux des utilisateurs du site  » amazon.fr  » en France. Il résulte […] qu’en déduisant de ces éléments que le traitement de données mis en œuvre par la société Amazon Europe Core était effectué dans le cadre des activités de son établissement Amazon Online France situé en France, au sens de l’article 3 de la loi du 6 janvier 1978, la formation restreinte de la CNIL, qui n’avait pas à justifier sa propre compétence dans les motifs de sa délibération et n’a donc pas, contrairement à ce qui est soutenu, insuffisamment motivé sa décision sur ce point, a fait une exacte application des dispositions de cet article 3.  » (point 15 de la décision précitée).

48. La formation restreinte rappelle tout d’abord que dans la décision susvisée, le Conseil d’Etat a apprécié la compétence territoriale de la CNIL au regard des éléments de l’espèce et qu’il n’a pas entendu considérer que c’est par le seul biais de la promotion et de la commercialisation d’outils publicitaires qu’il peut être considéré qu’un traitement de données est effectué  » dans le cadre des activités  » d’un établissement.

49. La formation restreinte relève que, lors de l’audition du 5 octobre 2023, la société INFINITE STYLES ECOMMERCE FRANCE a déclaré à la délégation que  » la principale mission de l’établissement français est de promouvoir la marque  » SHEIN « . Comme indiqué au paragraphe 40, son activité consiste notamment à réaliser de la promotion  » hors ligne  » de la marque  » SHEIN « . A titre d’exemple, la société INFINITE STYLES ECOMMERCE FRANCE signale des évènements locaux, tels que la fête des mères, aux autres entités du groupe SHEIN, lesquelles vont ensuite réaliser des campagnes de publicité en ligne invitant les destinataires à se rendre sur le site web  » shein.com  » pour effectuer leurs cadeaux. La société INFINITE STYLES ECOMMERCE FRANCE organise également des évènements avec des journalistes et des influenceurs, permettant ainsi d’accroitre la visibilité de la marque  » SHEIN  » auprès de potentiels clients résidant sur le territoire français, qui se rendront, pour ceux qui veulent réaliser un achat, sur le site web  » shein.com « .

[… passage central omis : décision trop longue pour une cellule …]

109. La formation restreinte considère qu’en ne fournissant pas des informations précises sur les finalités poursuivies par les cookies publicitaires et de plafonnement publicitaire sur le bandeau cookies, la société ne recueillait pas, au jour du contrôle, le consentement éclairé de l’utilisateur lorsque celui-ci acceptait le dépôt de cookies sur son terminal, en méconnaissance des dispositions applicables. Elle relève cependant que la société a modifié la mention d’information présente sur son bandeau cookies en précisant les finalités poursuivies par les cookies déposés sur le terminal de l’utilisateur lorsque celui-ci accepte l’écriture et/ou la lecture de cookies.

110. En troisième lieu, s’agissant de la fenêtre surgissante, la formation restreinte, relève que la mention d’information présente sur cette fenêtre indique  » Nous avons recours aux cookies afin de vous fournir une meilleure expérience d’achat. En continuant à utiliser nos services ou en créant un compte sur notre site, vous acceptez notre Politique de Confidentialité et notre Politique d’utilisation des cookies « .

111. La formation restreinte considère que cette mention d’information ne comportait pas, au jour du contrôle, l’ensemble des informations obligatoires pour recueillir un consentement éclairé dès lors qu’elle ne fournissait pas aux utilisateurs des informations relatives aux finalités des cookies déposés sur leurs terminaux. Elle relève que cette mention est particulièrement vague et qu’elle ne permet ainsi pas à l’utilisateur de comprendre si l’amélioration de son expérience d’achat se traduira, par exemple, par le recours à des cookies permettant de garder en mémoire le contenu d’un panier d’achat ou la langue choisie sur le site, et/ou s’il s’agit de cookies permettant de lui afficher des publicités personnalisées. La mention en cause ne présentant pas de manière suffisamment précise les finalités poursuivies par les cookies, le consentement sollicité ne saurait dès lors être considéré comme éclairé.

112. La formation restreinte considère que le consentement recueilli par la société via cette fenêtre n’est pas libre pour deux raisons. D’une part, l’acceptation inconditionnelle de l’ensemble des cookies est en effet présentée par la société comme étant la seule option des utilisateurs s’ils souhaitent poursuivre la navigation sur le site  » shein.com « . D’autre part, la fenêtre ne fait pas état des moyens dont disposent les utilisateurs pour refuser le dépôt de cookies. La formation restreinte relève notamment la présence d’un bouton permettant d’accepter immédiatement les cookies mais l’absence d’un moyen analogue pour pouvoir les refuser aussi facilement et en un seul clic. La formation restreinte rappelle avoir déjà sanctionné un organisme qui ne fournissait pas aux utilisateurs un moyen, auquel la FR attache une grande importance, pour s’opposer au dépôt de cookies soumis à consentement (délibération SAN-2020-013 du 7 décembre 2020, paragraphe 95).

113. Au vu de ce qui précède, la formation restreinte considère, qu’au jour du contrôle, la fenêtre surgissante ne permettait pas un recueil valable du consentement des utilisateurs avant