L’essentiel
Le contrôle initial a établi la présence de cookies après retrait du consentement. Un contrôle complémentaire, matérialisé par un fichier HAR, a démontré que ces cookies continuaient effectivement à être lus. La mise en conformité ultérieure, reposant notamment sur l’expiration et la suppression des cookies, n’a pas effacé le manquement passé.
La formation restreinte écarte les contestations relatives à l’administration de la preuve : en application de l’article 39 du décret n° 2019-536 du 29 mai 2019, le rapporteur peut produire toute pièce utile jusqu’à la clôture de l’instruction, sous réserve du respect du contradictoire. Le manquement relatif à l’enregistrement des appels, fondé sur l’article 5, paragraphe 1, c), du RGPD, est également constaté mais ne justifie aucune sanction compte tenu de son caractère limité, de l’absence d’exploitation établie et de la correction rapide du paramétrage.
Une amende administrative de 1 500 000 euros est prononcée sur le fondement des articles 20-IV de la loi du 6 janvier 1978 et 83 du RGPD. La publicité de la décision est jugée proportionnée au regard de la gravité du manquement, du nombre de personnes concernées et de la position économique de l’entreprise.
En résumé
- Amende de 1,5 million d’euros pour lecture de cookies après retrait du consentement
- L’article 82 impose un retrait techniquement effectif du consentement
- Le fichier HAR établit la poursuite des requêtes après retrait
- La mise en conformité ultérieure n’efface pas le manquement passé
- L’enregistrement téléphonique excessif est constaté sans sanction
Contexte de l’affaire
À la suite de contrôles sur place et en ligne, la CNIL a examiné l’enregistrement des appels du service client ainsi que le fonctionnement des cookies déposés sur le site. Les appels pouvaient être enregistrés avant la mise en relation avec un téléconseiller et pendant les mises en attente. Par ailleurs, des cookies non essentiels demeuraient présents et continuaient à être lus après le retrait du consentement de l’utilisateur.
La société a modifié son système d’enregistrement et les mécanismes de suppression ou d’expiration des cookies au cours de la procédure. La CNIL retient néanmoins un manquement passé concernant les cookies, tandis que le manquement relatif aux appels ne justifie pas de sanction.
Conditions / critères (ce que le juge vérifie)
- Identifier les cookies non exemptés soumis au consentement
- Constater leur présence après le retrait du consentement
- Établir leur lecture par l’envoi de requêtes vers leurs domaines
- Vérifier l’absence de mécanisme d’expiration ou de suppression effective
- Respecter le contradictoire lors de la production des preuves complémentaires
- Apprécier la gravité et les mesures correctrices selon l’article 83 du RGPD
Preuves retenues (ce qui a fait pencher la décision)
- Contrôle en ligne du 30 janvier 2023
- Présence de cookies non essentiels sur le navigateur
- Procès-verbal du contrôle en ligne du 16 mai 2025
- Fichier HAR démontrant les requêtes après retrait
- Procès-verbal de constat du commissaire de justice
Conséquences pratiques
- Amende administrative de 1 500 000 euros
- Maintien de la responsabilité pour les traitements passés
- Absence d’injonction en raison de la mise en conformité
- Publication de la décision pendant deux ans sous identification nominative
- Vérification technique de l’expiration et de la suppression des cookies
Checklist pour Avocats
À faire
- Recenser les cookies soumis au consentement
- Tester le retrait du consentement sur chaque navigateur
- Vérifier l’arrêt des requêtes après retrait
- Configurer l’expiration ou la suppression des cookies
- Conserver des preuves techniques des tests réalisés
À éviter
- Maintenir des cookies non essentiels après retrait
- Confondre suppression visuelle et arrêt de lecture
- Attendre un contrôle pour corriger le paramétrage
- Enregistrer les échanges avant la mise en relation utile
- Produire tardivement des éléments sans respecter le contradictoire
FAQ / Q-R juridiques
Le retrait effectif du consentement aux cookies
L’article 82 de la loi Informatique et Libertés implique que l’utilisateur puisse retirer effectivement son consentement. La présence persistante de cookies non exemptés entraîne leur lecture lors de la navigation lorsqu’ils continuent d’être envoyés dans des requêtes. Leur expiration ou suppression doit empêcher ces opérations après le retrait.
La preuve des opérations de lecture des cookies
La présence des cookies sur le navigateur permettait déjà de retenir leur lecture, conformément au fonctionnement d’un navigateur web. Le contrôle complémentaire du 16 mai 2025 et le fichier HAR ont confirmé que les cookies continuaient à être envoyés après le retrait du consentement. La preuve produite avant la clôture de l’instruction a été admise, le contradictoire ayant été respecté.
La sanction administrative fondée sur l’article 83 du RGPD
La violation de l’article 82 est sanctionnée par une amende appréciée selon les critères de l’article 83 du RGPD, notamment la gravité, le nombre de personnes concernées, la position économique et les mesures correctrices. La mise en conformité ultérieure est prise en compte, mais ne supprime pas le manquement passé.
Textes cités
concernant la société AMERICAN EXPRESS CARTE FRANCE – Thématiques associées : RGDP / CNIL — retrait du consentement — Paternité des données brutes : Ministère de la justice / Cour de cassation — Licence Open Data — Date de dernière mise à jour des données réutilisées 7 octobre 2026.
RGPD & protection des données
Approfondir ce sujet :