Cookies : consentement préalable, refus effectif et retrait du consentement

La formation restreinte retient quatre manquements à l’article 82 de la loi Informatique et Libertés. Des cookies non exemptés ont été déposés avant toute interaction de l’utilisateur, l’information relative à certaines fonctionnalités était insuffisante, le refus n’empêchait pas le dépôt de traceurs et le retrait du consentement n’empêchait pas leur lecture.

Le responsable de traitement doit recueillir un consentement préalable, informer clairement l’utilisateur sur les finalités et garantir l’effectivité de son refus et de son retrait. L’adhésion au Transparency and Consent Framework ne dispense pas de fournir une information complète. La formation restreinte relève également que la mise en conformité postérieure aux contrôles n’efface pas le manquement.

Sur le fondement des articles 20-IV et 22 de la loi Informatique et Libertés ainsi que de l’article 83 du RGPD, une amende administrative de 750 000 euros est prononcée. Son montant tient compte de la gravité, de la durée, du nombre d’utilisateurs concernés, de la négligence, des avantages financiers et des mesures correctrices tardives. La sanction est publiée pendant deux ans sous le nom de la société.

⬇️Télécharger la décision version officielle

La CNIL a contrôlé la politique de cookies d’une société éditrice de magazines et de sites de presse. Les contrôles ont révélé le dépôt d’un cookie non exempté avant toute action, une information insuffisante, le maintien de cookies après un refus global et leur lecture après retrait du consentement. Quatre manquements à l’article 82 de la loi Informatique et Libertés ont été retenus. Une amende de 750 000 euros et la publication de la décision ont été prononcées.

La société, éditrice de magazines et de sites de presse en ligne, exploite notamment un site très fréquenté. À la suite de plaintes et de plusieurs contrôles, la CNIL a examiné sa politique de cookies et l’a déjà mise en demeure de recueillir le consentement préalable des utilisateurs.

Les contrôles réalisés en 2023 et 2025 ont révélé le dépôt d’un cookie non exempté avant toute action de l’utilisateur, une information insuffisante sur certaines fonctionnalités, le dépôt de cookies malgré un refus global et la lecture de cookies après le retrait du consentement. La société a reconnu plusieurs faits et indiqué avoir corrigé ou désactivé certains traceurs après les contrôles.

La formation restreinte retient quatre manquements à l’article 82 de la loi Informatique et Libertés. Elle prononce une amende de 750 000 euros et ordonne la publication de la décision, avec anonymisation du nom de la société après deux ans.

• Identifier les cookies non couverts par une exemption légale
• Vérifier l’absence de consentement préalable avant tout dépôt ou lecture
• Contrôler la clarté et l’exactitude de l’information fournie
• Vérifier l’effectivité du refus exprimé par l’utilisateur
• Garantir un retrait aussi simple que le consentement initial
• Établir la persistance des opérations après refus ou retrait
• Apprécier la gravité, la durée et la négligence pour sanctionner

• Procès-verbaux des contrôles en ligne des 19 juillet et 9 novembre 2023
• Constat du dépôt des cookies NID, _dd_s et cneplayercount
• Interface de gestion présentant certaines fonctionnalités comme toujours actives
• Contrôle du 11 février 2025 après acceptation puis retrait
• Fichiers HAR établissant le maintien et la lecture de cookies

La société est sanctionnée pour avoir compromis le contrôle des utilisateurs sur leurs données et doit supporter une amende ainsi qu’une publicité temporaire de la décision. Les utilisateurs concernés bénéficient de la reconnaissance de l’ineffectivité du refus et du retrait du consentement constatée par la CNIL.

• Amende administrative de 750 000 euros
• Publication de la décision pendant deux ans
• Correction des mécanismes de dépôt et de lecture des cookies
• Blocage des traceurs après refus ou retrait du consentement
• Renforcement de l’information sur les finalités et fonctionnalités

À faire

• Recenser les cookies et vérifier leurs exemptions
• Bloquer les traceurs avant tout consentement
• Tester le refus global sur plusieurs parcours
• Tester le retrait après consentement initial
• Conserver les fichiers HAR et procès-verbaux de vérification

À éviter

• Déposer un cookie avant toute interaction utilisateur
• Présenter des traceurs publicitaires comme strictement nécessaires
• Maintenir des cookies après un refus explicite
• Lire des cookies après retrait du consentement
• Attendre un contrôle pour corriger le dispositif

Le consentement préalable aux cookies non exemptés

L’article 82 de la loi Informatique et Libertés interdit le dépôt ou la lecture de traceurs non exemptés avant le consentement de l’utilisateur. Le cookie NID n’était ni strictement nécessaire au service ni exclusivement destiné à faciliter une communication électronique. Son dépôt avant toute interaction avec le bandeau caractérise le manquement, même si l’erreur technique a ensuite été corrigée.

L’information sur les finalités des traceurs

L’article 82 impose une information claire et complète avant le choix de l’utilisateur. La présentation de certaines fonctionnalités comme toujours actives et strictement nécessaires était inexacte. L’adhésion au TCF de l’IAB ne supprimait pas cette obligation : l’information restait insuffisante faute de renvoi vers les règles applicables du framework.

L’effectivité du refus et du retrait du consentement

Le refus doit empêcher le dépôt de cookies soumis à consentement, et le retrait doit être aussi simple que l’acceptation. Après refus, plusieurs cookies ont été déposés ou maintenus. Après retrait, deux cookies continuaient d’être lus. La formation restreinte se fonde sur l’article 82, ainsi que sur l’article 7, paragraphe 3, du RGPD.

Article 2 de la directive 2002/58/CE, Article 5, paragraphe 3, de la directive 2002/58/CE, Article 4, paragraphe 7, du RGPD, Article 7, paragraphe 3, du RGPD, Article 83 du RGPD, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 82 de la loi n° 78-17 du 6 janvier 1978, Article 39 du décret n° 2019-536 du 29 mai 2019, Article 40-III du décret n° 2019-536 du 29 mai 2019