Respect d’une injonction de mise en conformité et absence de liquidation d’astreinte par la CNIL

La formation restreinte constate qu’une société a satisfait dans le délai imparti à une injonction lui imposant de recueillir le consentement des utilisateurs avant toute lecture ou écriture d’informations sur leur terminal à des fins de lutte contre la fraude publicitaire.

La société avait transmis ses éléments de réponse avant l’expiration du délai de trois mois suivant la notification de la décision initiale. Les modifications techniques mises en place garantissaient que les cookies déposés en France n’étaient plus utilisés pour cette finalité en l’absence de consentement. La CNIL en déduit que l’injonction a été exécutée dans le délai prescrit et décide qu’il n’y a pas lieu de liquider l’astreinte de 60 000 euros par jour de retard.

La décision est prise dans le cadre des pouvoirs de la CNIL prévus par les articles 20 et suivants de la loi n° 78-17 du 6 janvier 1978. La délibération est rendue publique, avec une anonymisation de la société à l’expiration d’un délai de deux ans calculé à partir de la publication de la décision initiale.

⬇️Télécharger la décision version officielle

La société a déployé des modifications techniques empêchant l’utilisation de cookies destinés à lutter contre la fraude publicitaire en l’absence de consentement. La CNIL a considéré l’injonction exécutée dans le délai imparti et n’a pas liquidé l’astreinte.

La CNIL avait enjoint à une société de recueillir le consentement des utilisateurs situés en France avant toute opération de lecture ou d’écriture d’informations sur leur terminal, lorsque les cookies poursuivaient une finalité de lutte contre la fraude publicitaire. Une astreinte de 60 000 euros par jour de retard était prévue après un délai de trois mois suivant la notification de l’injonction, avec transmission de justificatifs de mise en conformité.

La société a répondu à la formation restreinte le 10 mars 2023 et indiqué avoir déployé des modifications techniques depuis le 24 février 2023. Ces modifications empêchaient l’utilisation des cookies pour la lutte contre la fraude publicitaire en l’absence de consentement. La CNIL a considéré l’injonction exécutée dans le délai et n’a pas liquidé l’astreinte.

• Exécuter l’injonction dans le délai de trois mois
• Recueillir le consentement avant toute lecture ou écriture sur le terminal
• Empêcher l’utilisation des cookies sans consentement pour la fraude publicitaire
• Transmettre les justificatifs de mise en conformité dans le délai
• Établir la date de mise en œuvre des modifications techniques

• Courrier de réponse transmis le 10 mars 2023
• Éléments de mise en conformité fournis par la société
• Modifications techniques mises en place depuis le 24 février 2023
• Constat de l’absence d’utilisation des cookies sans consentement

La société échappe à la liquidation de l’astreinte dès lors que l’exécution de l’injonction est établie dans le délai. La publication de la délibération demeure prévue, avec disparition de l’identification nominative après deux ans à compter de la publication de la décision initiale.

• Aucune astreinte liquidée contre la société
• Maintien des mesures techniques de conformité
• Conservation des justificatifs transmis à la CNIL
• Publication de la délibération sur les sites désignés
• Anonymisation différée de la société après deux ans

À faire

• Identifier précisément le délai courant après notification
• Mettre en œuvre les modifications techniques nécessaires
• Bloquer l’usage concerné sans consentement préalable
• Documenter la date effective de mise en conformité
• Transmettre les justificatifs à la formation restreinte

À éviter

• Utiliser les cookies sans consentement pour la finalité concernée
• Attendre l’expiration du délai d’exécution
• Transmettre des justificatifs incomplets
• Négliger la preuve de la date de déploiement
• Ignorer les conséquences de la publication de la décision

Le respect du délai d’exécution d’une injonction

La formation restreinte vérifie que la mise en conformité est intervenue dans le délai de trois mois suivant la notification de l’injonction. Les éléments transmis le 10 mars 2023 et les modifications déployées depuis le 24 février 2023 établissent, selon la décision, une exécution dans le délai imparti.

Les conditions de liquidation d’une astreinte administrative

L’astreinte de 60 000 euros par jour n’est liquidée que si l’injonction n’est pas exécutée dans le délai prescrit. La CNIL constatant la satisfaction de l’injonction, elle décide qu’il n’y a pas lieu à liquidation.

Les justificatifs de mise en conformité

La société devait adresser ses justificatifs à la formation restreinte dans le délai fixé. La réponse transmise décrit des modifications techniques empêchant l’utilisation des cookies pour la lutte contre la fraude publicitaire en l’absence de consentement, ce qui a permis de constater l’exécution de l’injonction.