Cookies : compétence de la CNIL et exigences du consentement éclairé et révocable

La compétence territoriale repose sur l’article 3 de la loi Informatique et Libertés. Elle peut être établie lorsqu’un responsable dispose en France d’un établissement stable exerçant une activité réelle, et que le traitement est effectué dans le cadre des activités de cet établissement. Une intervention directe dans le dépôt des cookies n’est pas nécessaire ; la promotion ou la facilitation du service peut suffire.

L’article 82 impose un consentement préalable, libre, spécifique et éclairé. Les finalités des cookies doivent être présentées de façon précise, les responsables de traitement tiers doivent être identifiés et le refus doit être proposé avec une facilité comparable à l’acceptation. La lecture ou l’écriture de cookies soumis au consentement malgré un refus caractérise un manquement distinct.

Le retrait du consentement constitue une obligation autonome. Il doit être simple, possible à tout moment et produire effectivement l’arrêt de la lecture ainsi que du dépôt des cookies concernés, conformément à l’article 7, paragraphe 3, du RGPD. La mise en conformité en cours de procédure peut conduire à ne pas prononcer une injonction, sans effacer les manquements constatés au jour du contrôle.

⬇️Télécharger la décision version officielle

Après un contrôle en ligne réalisé depuis la France, la CNIL a engagé une procédure de sanction. Elle a examiné la responsabilité du traitement, sa compétence matérielle et territoriale, ainsi que les modalités de recueil du consentement aux cookies.

Le contrôle a révélé des informations insuffisamment précises sur les finalités des cookies et l’identité de responsables tiers, une présentation ne permettant pas un refus aussi simple que l’acceptation, ainsi que le dépôt ou la lecture de cookies malgré un refus. Le retrait du consentement ne produisait pas non plus pleinement ses effets. La société a modifié ses dispositifs pendant la procédure.

• Identifier précisément les finalités de chaque catégorie de cookies
• Informer l’utilisateur de l’identité des responsables de traitement tiers
• Recueillir un consentement libre, éclairé et préalable
• Proposer un refus aussi accessible que l’acceptation
• Empêcher toute lecture ou inscription après un refus
• Permettre un retrait simple, gratuit et immédiat

• Constatations du contrôle en ligne sur le site shein.com
• Présence de cookies après activation du bouton « Tout refuser »
• Fichiers HAR enregistrant les requêtes HTTP
• Contenu des bandeaux et fenêtres de consentement
• Plateforme de gestion des cookies dépourvue d’informations sur les tiers
• Déclarations et documents relatifs aux activités des sociétés

• Correction des finalités affichées sur le bandeau
• Identification de tous les responsables tiers
• Ajout d’un refus aussi accessible que l’acceptation
• Blocage des cookies après refus ou retrait
• Conservation de preuves de mise en conformité

À faire

• Cartographier les cookies et leurs finalités
• Identifier chaque responsable de traitement tiers
• Tester le refus avant toute navigation
• Tester le retrait après acceptation
• Conserver les journaux et fichiers de contrôle

À éviter

• Utiliser une information générale sur l’expérience d’achat
• Présenter uniquement un bouton d’acceptation immédiate
• Déposer des cookies soumis avant le consentement
• Lire des cookies après un refus explicite
• Confondre mise en conformité ultérieure et absence de manquement

La compétence de la CNIL pour les cookies transfrontaliers

La CNIL est compétente pour contrôler le dépôt et la lecture de cookies sur les terminaux d’utilisateurs situés en France. Ces opérations relèvent de la directive ePrivacy, transposée à l’article 82 de la loi Informatique et Libertés, et non du mécanisme de guichet unique de l’article 56 du RGPD. La compétence territoriale suppose en outre un établissement en France et un traitement effectué dans le cadre de ses activités, conformément à l’article 3 de la même loi.

Les exigences du consentement éclairé aux cookies

L’article 82 de la loi Informatique et Libertés, éclairé par l’article 4, paragraphe 11, du RGPD et son considérant 42, impose une information précise sur les finalités des cookies et l’identité des responsables de traitement tiers. Le consentement doit être libre et éclairé. Une présentation vague, l’absence d’identification des tiers ou l’absence d’un refus aussi accessible que l’acceptation privent le consentement de validité.

Le retrait effectif du consentement aux cookies

Le retrait du consentement constitue une obligation distincte du recueil initial. En application de l’article 82 de la loi Informatique et Libertés et de l’article 7, paragraphe 3, du RGPD, il doit être simple, possible à tout moment et aussi facile que l’acceptation. La poursuite de la lecture ou l’inscription de cookies soumis au consentement après le retrait rend ce choix inopérant et caractérise un manquement autonome.