AgentPublic/cnil huggingface dataset:
Certains développements de la délibération, permettant d’identifier la société ou comportant notamment des données à caractère personnel ou des secrets protégés par la loi, sont remplacés par le signe […] ou par les lettres X, Y ou Z. 
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, MM. Didier KLING et Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ; 
Vu la décision n° 2023-001C du 21 décembre 2022 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société X ou pour son compte ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 17 avril 2025 ;
Vu le rapport de Mme Anne DEBET, commissaire rapporteure, du 12 mai 2025, signifié à la société le 13 mai 2025 ;
Vu les observations écrites versées par la société X le 23 juin 2025 ;
Vu la réponse de la rapporteure notifiée à la société X le 16 juillet 2025 ;
 
Vu les nouvelles observations écrites versées par la société X le 12 septembre 2025 ; 
Vu la clôture de l’instruction notifiée à la société X le 24 septembre 2025 ;
Vu les observations orales formulées lors de la séance de la formation restreinte du 16 octobre 2025 ;
Vu les autres pièces du dossier ; 
Étaient présents, lors de la séance de la formation restreinte du 16 octobre 2025 :
- Mme Anne DEBET, commissaire, entendue en son rapport ;
En qualité de représentants de la société X : 
- […]
La société X ayant été informée de son droit de garder le silence sur les faits qui lui étaient reprochés et ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société X (ci-après " la société ") est […] dont le siège social est situé […]. 
2. La société employait, en 2021, 363 salariés et l’enseigne " X " comptait plus de […] magasins sur le territoire français. En 2022, la société a réalisé un chiffre d’affaires de […] d’euros, pour un résultat net de près de […] d’euros. En 2023, elle a réalisé un chiffre d’affaires de plus de […] d’euros, pour un résultat net de près de […] d’euros. En 2024, le chiffre d’affaires de la société s’est élevé à plus de […] d’euros, pour un résultat net de plus de […] d’euros. 
3. Créée […], la société est […], dont l’activité consiste en […] en magasin ainsi qu’en ligne, à partir du site web " […] " dont la société X est éditrice. Ce site permet notamment de créer un compte client, de faire des achats et d’adhérer à un programme de fidélité valable en ligne ainsi qu’à la caisse des magasins du réseau X. D’après les informations communiquées par la société le 10 février 2023, le programme de fidélité comptait à cette date près de 10,5 millions de membres en France, plus de 200 000 en Belgique, plus de 15 000 au Luxembourg ainsi que des membres dans plusieurs autres pays de l’Union européenne.
4. Par décision n° 2023-001C du 21 décembre 2022, la présidente de la Commission nationale de l’informatique et des libertés (ci-après, " la CNIL " ou " la Commission ") a chargé le secrétaire général de procéder ou de faire procéder à une mission de contrôle afin de vérifier la conformité des traitements mis en œuvre par la société au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " RGPD ") et à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " loi Informatique et Libertés " ou " loi du 6 janvier 1978 modifiée "). 
5. En application de cette décision, une délégation de la CNIL a réalisé un contrôle en ligne à partir du site web " […] ", le 5 janvier 2023, et un contrôle sur place dans les locaux de la société X, le 26 janvier 2023. Les procès-verbaux n° 2023-001/1 et n° 2023-001/2 dressés à l’issue de ces contrôles ont été notifiés à la société par courriers des 6 et 27 janvier 2023.
6. La société a communiqué à la délégation des éléments complémentaires les 10 et 23 février, 14 mars, 18 et 28 avril, 23 août et 26 septembre 2023.
7. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 17 avril 2025, désigné Mme Anne DEBET en qualité de rapporteure sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.
8. Conformément à l’article 56 du RGPD et au vu des éléments du dossier, la CNIL a, le 27 décembre 2024, informé l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle cheffe de file concernant les traitements transfrontaliers mis en œuvre par la société, résultant de ce que l’établissement principal de la société se trouve en France. Après échanges entre la CNIL et les autorités de protection des données européennes dans le cadre du mécanisme de guichet unique, il apparaît que les autorités belge, luxembourgeoise, néerlandaise, espagnole, allemande, irlandaise, italienne, danoise, suédoise, portugaise, finlandaise, autrichienne, roumaine, polonaise, lituanienne et norvégienne sont concernées par les traitements mis en œuvre.
9. Le 12 mai 2025, à l’issue de son instruction, la rapporteure a fait signifier à la société un rapport détaillant les manquements aux articles 6, 13, 32 et 35 du RGPD ainsi qu’à l’article 82 de la loi Informatique et Libertés qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer à l’encontre de la société une amende administrative, ainsi qu’une injonction de mettre en conformité ses traitements avec les dispositions susvisées, assortie d’une astreinte. Elle proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
10. Le 23 juin 2025, la société a produit des observations en réponse au rapport de sanction.
11. La rapporteure a répondu aux observations de la société le 16 juillet 2025.
12. Le 12 septembre 2025, la société a produit de nouvelles observations en réponse.
13. Par courrier notifié le 24 septembre 2025, la rapporteure a, en application du III de l’article 40 du décret n° 2019-536 précité, informé la société que l’instruction était close.
14. Le même jour, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 16 octobre 2025.
15. La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur la procédure de coopération européenne
16. En application de l’article 60, paragraphe 3 du RGPD, le projet de décision adopté par la formation restreinte a été transmis le 1er décembre 2025 aux autorités de contrôle européennes concernées.
17. Au 29 décembre 2025, aucune de ces autorités n’avait formulé d’objection pertinente et motivée à l’égard de ce projet de décision, de sorte que, en application de l’article 60, paragraphe 6 du RGPD, ces dernières sont réputées l’avoir approuvé.
B. Sur les traitements en cause et la qualité de responsable de traitement de la société X
18. L’article 4, point 7, du RGDP définit le responsable de traitement comme " la personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ".
19. En matière de ciblage publicitaire, le Comité européen de la protection des données (ci-après le " CEPD "), dans ses lignes directrices 8/2020 sur le ciblage des utilisateurs de médias sociaux adoptées le 13 avril 2021, indique que le cibleur agit en tant que responsable du traitement dès lors qu’il " détermine les finalités et les moyens du traitement en collectant, traitant et transmettant activement les données à caractère personnel des personnes concernées au fournisseur de médias sociaux à des fins publicitaires " (§61).
20. En premier lieu, la formation restreinte relève que les traitements en cause dans la présente procédure sont relatifs : 
- d’une part, au fonctionnement du site web " [...] ", dont elle est éditrice et par le biais duquel elle collecte et traite des données techniques des utilisateurs (adresse IP, connexion Internet, type de navigateur, informations concernant le terminal utilisé) et des données recueillies à l’aide de cookies ;
- et, d’autre part, au fonctionnement des comptes clients et du programme de fidélité de l’enseigne X, la société collectant et traitant les données à caractère personnel de ses clients et des adhérents à ce programme, lors de la création d’un compte (civilité, nom, prénom, adresse électronique, mot de passe, date de naissance, numéro de téléphone, adresse postale et magasin le plus proche choisi), d’une carte de fidélité (les mêmes informations étant recueillies) et ultérieurement au travers de l’utilisation de ladite carte. 
21. La formation restreinte relève que la société a indiqué à la délégation de contrôle, par courrier du 28 avril 2023, être responsable des traitements de données à caractère personnel mis en œuvre à partir du site web " [...] " ainsi que dans le cadre de son programme de fidélité. La société est également désignée comme étant responsable des traitements susvisés dans la " Politique des données personnelles " et l’article 12 des " Conditions Générales du Programme de fidélité X " figurant sur le site web " [...] ".
22. En second lieu, la formation restreinte relève que la présente procédure concerne également les traitements relatifs à la présentation de publicité ciblée sur le réseau social Z, géré par le groupe Y, afin de promouvoir les produits vendus par X. Dans ce cadre, la société X transmet l’adresse électronique et/ou le numéro de téléphone des adhérents à son programme de fidélité (lorsqu’ils ont consenti à recevoir de la prospection commerciale) au groupe Y, afin que celui-ci les fasse correspondre avec les données des utilisateurs de son réseau social. A partir de cette comparaison, Y identifie, parmi les membres du programme de fidélité X, ceux qui sont également membres de son réseau social, ainsi que les utilisateurs du réseau social ayant un profil similaire. Ce traitement permet de leur présenter des publicités dans le cadre des campagnes marketing de la société X. Il ressort de l’instruction que la transmission des données au groupe Y était réalisée depuis fin 2018, de façon hebdomadaire, et qu’elle a cessé en février 2024.
23. La formation restreinte relève que la société a indiqué à la délégation de contrôle qu’elle agissait en tant que responsable de traitement dans le cadre de la transmission des données au groupe Y et pour la mise en correspondance de ces données avec celles des utilisateurs du réseau social Z. S’agissant des traitements réalisés dans le cadre des campagnes lancées postérieurement à cette mise en correspondance, la société X a indiqué qu’elle-même et le groupe Y agissaient en tant que responsables conjoints.
24. La formation restreinte considère en effet que la société X, en collectant et en transmettant les données à caractère personnel des adhérents de son programme de fidélité au groupe Y, en vue de leur afficher sur le réseau social Z des publicités visant à promouvoir ses produits, détermine les finalités et les moyens du traitement. 
25. Par conséquent, et sans qu’il soit nécessaire dans le cadre de la présente procédure de se prononcer également sur la part de responsabilité incombant au groupe Y, la société X doit être regardée comme responsable du traitement de publicité ciblée affichée sur le réseau social Z, pour les besoins duquel elle transmettait au groupe Y des données à caractère personnel jusqu’en février 2024.
C. Sur le manquement à l’obligation de traiter les données de façon licite
26. En droit, l’article 6, paragraphe 1, du RGPD dispose que " le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques; b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci; c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis; d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique; e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement; f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant ".
27. L’article 4, point 11 du RGPD dispose que le consentement, tel que visé à l’article 6, paragraphe 1, a) du RGPD, doit s’entendre comme une manifestation de volonté libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d'un traitement.
28. En outre, le considérant 32 du RGPD prévoit que cet " acte positif clair " peut par exemple se matérialiser par une case à cocher lors de la consultation d’un site internet, et qu’en tout état de cause " il ne saurait […] y avoir de consentement en cas de silence, de cases cochées par défaut ou d'inactivité. Le consentement donné devrait valoir pour toutes les activités de traitement ayant la ou les mêmes finalités. Lorsque le traitement a plusieurs finalités, le consentement devrait être donné pour l'ensemble d'entre elles […] ". 
29. S’agissant des modalités de recueil du consentement, la Cour de justice de l’Union européenne (CJUE) a précisé, dans sa décision Planet49 GmbH de 2019, que " la manifestation de volonté visée à l’article 2, sous h), de la directive 95/46 doit, notamment, être " spécifique ", en ce sens qu’elle doit porter précisément sur le traitement de données concerné et ne saurait être déduite d’une manifestation de volonté ayant un objet distinct " (CJUE, grande chambre, 1er octobre 2019, Planet49 GmbH, C-673/17, ECLI:EU:C:2019:801, point 58).
30. Par ailleurs, à titre d’illustration, les lignes directrices 5/2020 sur le consentement au sens du règlement (UE) 2016/679 précisent " qu’un responsable du traitement qui sollicite le consentement pour diverses finalités spécifiques devrait prévoir un consentement distinct pour chaque finalité afin que les utilisateurs puissent donner un consentement spécifique à des finalités spécifiques […] Le responsable des données devrait accompagner chacune des demandes de consentement distinctes d’informations spécifiques concernant les données traitées pour chaque finalité afin que les personnes concernées soient conscientes de l’incidence de leur choix […] (§§60 et 61) ".
31. La CJUE a rappelé à cet égard que le responsable de traitement doit fournir à la personne concernée " une information au regard de toutes les circonstances entourant le traitement des données, sous une forme compréhensible et aisément accessible ainsi que formulée en des termes clairs et simples, cette personne devant notamment connaître le type de données à traiter, l’identité du responsable du traitement, la durée et les modalités de ce traitement ainsi que les finalités que celui-ci poursuit. Une telle information doit permettre à ladite personne de déterminer facilement les conséquences du consentement qu’elle pourrait donner et garantir que ce consentement soit donné en pleine connaissance de cause (voir, par analogie, arrêt du 1er octobre 2019, Planet49, C 673/17, EU:C:2019:801, point 74). " (CJUE, 11 novembre 2020, Orange România SA, C 61/19, point 40).
32. La rapporteure affirme que le traitement de publicité ciblée affichée sur le réseau social Z, pour les besoins duquel la société X transmet des données à caractère personnel des membres de son programme fidélité au groupe Y, est dépourvu de base légale, en l’absence de recueil d’un consentement valide des personnes concernées. Elle considère en effet que les modalités de recueil du consentement, ainsi que les informations fournies par la société X aux membres de son programme de fidélité, ne permettent pas de recueillir un consentement spécifique et éclairé de ces membres au traitement susvisé.
33. En défense, la société soutient que le consentement des personnes dont les données étaient transmises, était recueilli : 
- d’une part, à l’occasion de leur adhésion au programme de fidélité X, dans la mesure où ces personnes avaient consenti à recevoir de la prospection commerciale par différents canaux (par courrier électronique et/ou par SMS) ainsi qu’à la mise en correspondance de ces données avec celles de Z, un tel traitement étant selon elle mentionné dans sa " politique des données personnelles " ; 
- d’autre part, à l’occasion de l’inscription de ces personnes sur Z, celles-ci ayant accepté les " conditions générales d’utilisation " et la " politique de confidentialité " du réseau social, via lesquelles elles autorisent l’affichage de publicités ciblées de la part d’annonceurs.
34. La société fait ainsi valoir que les membres du programme de fidélité qui avaient accepté de recevoir de la prospection commerciale de la part d’X et qui disposaient d’un compte Z pouvaient raisonnablement s’attendre à voir apparaître des publicités pour les produits X sur le réseau social, et qu’ils pouvaient par ailleurs retirer ou modifier leur consentement à tout moment.
35. La société relève, en outre, que les seules données transmises étaient l’adresse de courrier électronique et/ou le numéro de téléphone des personnes concernées, que ces données étaient chiffrées, d’abord par la société X avant toute transmission, au moyen de la fonction de hachage SHA256, puis par le groupe Y, " au moyen d’un pixel Javascript ", garantissant selon elle que les données transmises ne puissent être exploitées par Y en l’absence de correspondance avec un utilisateur Z. La société précise également que ces données chiffrées étaient supprimées par le groupe Y à l’issue de leur mise en correspondance positive ou non. 
36. Par ailleurs, elle soutient que le nombre de personnes concernées doit être relativisé dès lors que, si les données de 10,5 millions de personnes ont bien été transmises au groupe Y, seules 1,6 million d’entre elles ont effectivement vu s’afficher une publicité entre juin 2022 et février 2024 - le taux de correspondance étant de l’ordre de 15 %. En outre, la société indique n’avoir tiré aucun avantage financier significatif de ces traitements. Elle précise, enfin, avoir cessé spontanément toute campagne de publicité ciblée avec le groupe Y en février 2024.
37. En l’espèce, la formation restreinte relève que la société a réalisé, de fin 2018 à février 2024, des opérations de publicité ciblée sur le réseau social Z. Elle a, pour ce faire, transmis au groupe Y, gestionnaire de ce réseau social, les adresses électroniques et/ou les numéros de téléphone des membres de son programme de fidélité qui avaient consenti à recevoir des messages de prospection commerciale par SMS et/ou par courrier électronique, afin que Y procède à la mise en correspondance de ces données avec celles des utilisateurs de Z et affiche de la publicité pour les produits X, d’une part, aux utilisateurs du réseau social qui sont également membres du programme de fidélité X et, d’autre part, aux utilisateurs ayant un profil similaire à ces personnes. 
38. La société a indiqué, tant lors du contrôle que dans le cadre de ses observations en défense, fonder les traitements susvisés sur le consentement des personnes concernées.
39. En premier lieu, s’agissant du consentement que la société prétend recueillir via le formulaire d’adhésion au programme de fidélité X, la formation restreinte relève qu’il ressort des constatations réalisées par la délégation lors du contrôle en ligne du 5 janvier 2023 que, lorsqu’il créé un compte sur le site web " [...]", l’utilisateur se voit présenter un formulaire sur lequel il doit notamment renseigner sa civilité, ses nom, prénom, numéro de téléphone, date de naissance et adresse de courrier électronique. Ce formulaire comprend également un encart permettant à la personne concernée d’adhérer au programme de fidélité X, via un bouton poussoir (oui/non) associé à la mention " je rejoins le programme de fidélité La Team X et cagnotte immédiatement 5 € ".
40. Si l’utilisateur manifeste son souhait de rejoindre le programme de fidélité en activant le bouton poussoir, il est invité à consentir à être contacté par SMS pour " recevoir [s]es avantages fidélité " et/ou par courrier électronique pour recevoir " les meilleures offres d’X ", via des cases à cocher (oui/non). Un lien hypertexte " Détails des conditions ICI " est situé au bas du formulaire, permettant à l’utilisateur d’être redirigé vers les " Conditions Générales du Programme de fidélité X ". Un second lien hypertexte, " En savoir plus sur vos droits et sur la façon dont nous traitons vos données personnelles ", situé lui aussi au bas du formulaire, renvoie quant à lui vers la " politique des données personnelles " de la société (également accessible depuis le pied de page de chacune des pages du site), qui précise au sein de son article 3 (dans sa version en vigueur au moment du contrôle) que la société traite les données à caractère personnel des personnes notamment dans le cadre de " l’adhésion au programme de fidélité et la gestion du Programme de fidélité, notamment la mise en correspondance des données des adhérents avec celles de la société Z ". La " société Z " est également mentionnée dans les destinataires des données (article 8), puisqu’il est précisé que " Les Données Personnelles collectées par X pourront être transmises : […] à la société Z, qui s’engage, en tant que sous-traitant, à ne pas céder, à quelque titre que ce soit, les données traitées par
elle, une fois le processus de mise en correspondance terminé, à des partenaires y compris commerciaux ", ainsi qu’au stade de l’information relative à la durée de conservation des données, l’article 7 précisant que " s’agissant du programme de fidélité, la société Z s’engage à supprimer automatiquement les données transférées par X une fois le processus de mise en correspondance terminé, et à ne conserver ni copie ni sauvegarde des données personnelles concernées ".