Retrait du consentement aux cookies : clôture de l’injonction après mise en conformité partielle

Pour les cookies tiers, l’arrêt des nouvelles requêtes depuis le site édité par la société empêche, après retrait du consentement, les opérations de lecture ou d’écriture sur ce site. La formation restreinte distingue toutefois les opérations ultérieures réalisées sur des sites tiers utilisant les mêmes cookies : elles peuvent prolonger le suivi et excèdent la responsabilité de l’éditeur qui ne maîtrise pas techniquement ces cookies.

La décision rappelle que les partenaires doivent mettre en place des mécanismes permettant d’être informés du retrait du consentement et d’en tirer les conséquences. La société avait, sur ce point, justifié avoir contacté ses partenaires. La solution est rendue dans le cadre des pouvoirs de la CNIL prévus par les articles 20 et suivants de la loi n° 78-17 du 6 janvier 1978.

⬇️Télécharger la décision version officielle

Dans le délai imparti, la société a étendu un script afin de supprimer les cookies concernés, modifié le fonctionnement du site et de ses sous-domaines, puis communiqué des analyses confirmant l’effacement des cookies soumis au consentement. Elle a également désactivé les nouvelles requêtes vers des domaines tiers après retrait du consentement et contacté ses partenaires.

La formation restreinte a considéré ces mesures suffisantes pour les opérations effectuées depuis le site édité par la société. Elle a clôturé l’injonction et décidé qu’il n’y avait pas lieu de liquider l’astreinte, tout en relevant que le suivi ultérieur sur des sites tiers pouvait relever des partenaires concernés.

• Suppression effective des cookies soumis au consentement après son retrait.
• Absence de lecture ultérieure des cookies déposés par l’éditeur.
• Arrêt des nouvelles requêtes vers les domaines tiers depuis le site concerné.
• Preuve technique de la mise en conformité dans le délai imparti.
• Absence de maîtrise technique de l’éditeur sur les cookies tiers.
• Information des partenaires afin qu’ils tirent les conséquences du retrait.

• Éléments transmis par la société les 28 février et 7 mars 2025.
• Extension du script cookie monster pour effacer les cookies concernés.
• Résultats d’analyses attestant la suppression effective des cookies.
• Désactivation des requêtes vers les domaines tiers après retrait du consentement.
• Justificatifs des contacts pris avec les partenaires.

• Clôture de l’injonction de mise en conformité.
• Absence de liquidation de l’astreinte de 100 000 euros par jour.
• Maintien d’une vigilance sur les cookies déposés par les partenaires.
• Transmission du retrait du consentement aux partenaires techniques.
• Conservation des analyses et justificatifs de suppression.

À faire

• Supprimer les cookies après retrait du consentement.
• Vérifier l’absence de lecture ultérieure depuis le site.
• Bloquer les nouvelles requêtes vers les domaines tiers.
• Tester les cookies déposés sur les sous-domaines.
• Documenter les échanges avec les partenaires.

À éviter

• Maintenir des cookies soumis au consentement après retrait.
• Autoriser une nouvelle requête vers un domaine tiers.
• Confondre les cookies maîtrisés et les cookies tiers.
• Négliger les analyses techniques de conformité.
• Attendre l’expiration du délai d’injonction pour agir.

Le retrait effectif du consentement aux cookies

La suppression des cookies déposés par la société et l’absence de lecture après retrait du consentement ont été établies par les mesures techniques et les analyses communiquées. Pour les cookies tiers, l’arrêt des nouvelles requêtes depuis le site édité par la société empêche les opérations de lecture ou d’écriture sur ce site.

La responsabilité de l’éditeur des cookies tiers

Les opérations de lecture effectuées ultérieurement depuis des sites tiers utilisant les mêmes cookies peuvent prolonger le suivi de navigation. Elles excèdent la responsabilité de l’éditeur du site initial lorsqu’il ne maîtrise pas techniquement ces cookies et relèvent des partenaires, qui doivent pouvoir être informés du retrait du consentement.

La clôture de l’injonction et la liquidation de l’astreinte

La formation restreinte a clôturé l’injonction après avoir constaté la mise en œuvre, dans le délai, de mesures garantissant le retrait du consentement pour les opérations effectuées depuis le site concerné. Elle a dit n’y avoir lieu à liquidation de l’astreinte.