L’essentiel
Le responsable de traitement doit recueillir un consentement préalable, informer clairement l’utilisateur sur les finalités et garantir l’effectivité de son refus et de son retrait. L’adhésion au Transparency and Consent Framework ne dispense pas de fournir une information complète. La formation restreinte relève également que la mise en conformité postérieure aux contrôles n’efface pas le manquement.
Sur le fondement des articles 20-IV et 22 de la loi Informatique et Libertés ainsi que de l’article 83 du RGPD, une amende administrative de 750 000 euros est prononcée. Son montant tient compte de la gravité, de la durée, du nombre d’utilisateurs concernés, de la négligence, des avantages financiers et des mesures correctrices tardives. La sanction est publiée pendant deux ans sous le nom de la société.
En résumé
- Amende administrative de 750 000 euros pour quatre manquements aux règles sur les cookies
- Consentement préalable obligatoire pour les traceurs non exemptés
- Information insuffisante sur les finalités et fonctionnalités des cookies
- Refus et retrait du consentement rendus techniquement ineffectifs
- Contrôles en ligne et fichiers HAR établissant les dépôts et lectures
- Mise en conformité tardive sans incidence sur les manquements constitués
Contexte de l’affaire
Les contrôles réalisés en 2023 et 2025 ont révélé le dépôt d’un cookie non exempté avant toute action de l’utilisateur, une information insuffisante sur certaines fonctionnalités, le dépôt de cookies malgré un refus global et la lecture de cookies après le retrait du consentement. La société a reconnu plusieurs faits et indiqué avoir corrigé ou désactivé certains traceurs après les contrôles.
La formation restreinte retient quatre manquements à l’article 82 de la loi Informatique et Libertés. Elle prononce une amende de 750 000 euros et ordonne la publication de la décision, avec anonymisation du nom de la société après deux ans.
Conditions / critères (ce que le juge vérifie)
- Identifier les cookies non couverts par une exemption légale
- Vérifier l’absence de consentement préalable avant tout dépôt ou lecture
- Contrôler la clarté et l’exactitude de l’information fournie
- Vérifier l’effectivité du refus exprimé par l’utilisateur
- Garantir un retrait aussi simple que le consentement initial
- Établir la persistance des opérations après refus ou retrait
- Apprécier la gravité, la durée et la négligence pour sanctionner
Preuves retenues (ce qui a fait pencher la décision)
- Procès-verbaux des contrôles en ligne des 19 juillet et 9 novembre 2023
- Constat du dépôt des cookies NID, _dd_s et cneplayercount
- Interface de gestion présentant certaines fonctionnalités comme toujours actives
- Contrôle du 11 février 2025 après acceptation puis retrait
- Fichiers HAR établissant le maintien et la lecture de cookies
Conséquences pratiques
La société est sanctionnée pour avoir compromis le contrôle des utilisateurs sur leurs données et doit supporter une amende ainsi qu’une publicité temporaire de la décision. Les utilisateurs concernés bénéficient de la reconnaissance de l’ineffectivité du refus et du retrait du consentement constatée par la CNIL.
- Amende administrative de 750 000 euros
- Publication de la décision pendant deux ans
- Correction des mécanismes de dépôt et de lecture des cookies
- Blocage des traceurs après refus ou retrait du consentement
- Renforcement de l’information sur les finalités et fonctionnalités
Checklist pour Avocats
À faire
- Recenser les cookies et vérifier leurs exemptions
- Bloquer les traceurs avant tout consentement
- Tester le refus global sur plusieurs parcours
- Tester le retrait après consentement initial
- Conserver les fichiers HAR et procès-verbaux de vérification
À éviter
- Déposer un cookie avant toute interaction utilisateur
- Présenter des traceurs publicitaires comme strictement nécessaires
- Maintenir des cookies après un refus explicite
- Lire des cookies après retrait du consentement
- Attendre un contrôle pour corriger le dispositif
FAQ / Q-R juridiques
Le consentement préalable aux cookies non exemptés
L’article 82 de la loi Informatique et Libertés interdit le dépôt ou la lecture de traceurs non exemptés avant le consentement de l’utilisateur. Le cookie NID n’était ni strictement nécessaire au service ni exclusivement destiné à faciliter une communication électronique. Son dépôt avant toute interaction avec le bandeau caractérise le manquement, même si l’erreur technique a ensuite été corrigée.
L’information sur les finalités des traceurs
L’article 82 impose une information claire et complète avant le choix de l’utilisateur. La présentation de certaines fonctionnalités comme toujours actives et strictement nécessaires était inexacte. L’adhésion au TCF de l’IAB ne supprimait pas cette obligation : l’information restait insuffisante faute de renvoi vers les règles applicables du framework.
L’effectivité du refus et du retrait du consentement
Le refus doit empêcher le dépôt de cookies soumis à consentement, et le retrait doit être aussi simple que l’acceptation. Après refus, plusieurs cookies ont été déposés ou maintenus. Après retrait, deux cookies continuaient d’être lus. La formation restreinte se fonde sur l’article 82, ainsi que sur l’article 7, paragraphe 3, du RGPD.
Textes cités
RGPD & protection des données
Approfondir ce sujet :