AgentPublic/cnil huggingface dataset:
97. La formation restreinte relève que ces constatations ont été confirmées par le procès-verbal établi lors du contrôle en ligne du 16 mai 2025, le fichier HAR établi démontrant qu’à la suite du retrait de son consentement au dépôt et à la lecture de cookies non exemptés par l’utilisateur, les cookies ne bénéficiant pas de l’exemption prévue par l’article 82 de la loi Informatique et Libertés au regard de leurs finalités telles qu’elles résultent de la politique de confidentialité de la société, et dont le dépôt avait été constaté le 30 janvier 2023, ont continué à être envoyés à travers des requêtes vers le domaine " .americanexpress.com " et le sous-domaine " www.americanexpress.com " auxquels ils sont associés. Ainsi, des opérations de lecture de cookies soumis au consentement de l’utilisateur se sont poursuivis après le retrait de celui-ci. 
98. La société indique d’ailleurs dans ses dernières observations qu’elle a, après réception des observations en réponse du rapporteur, mis en œuvre des démarches permettant de faire cesser ces opérations de lecture de cookies non exemptés malgré le retrait du consentement de l’utilisateur, dont elle reconnaît dès lors implicitement la réalité à la date du contrôle en ligne du 16 mai 2025. Elle indique d’ailleurs " Le fichier HAR a montré que certaines requêtes étaient envoyées depuis l'appareil des utilisateurs vers les serveurs d’AECF après le retrait du consentement ".
99. En sa qualité de responsable de traitement, la société était pleinement responsable de ces opérations et disposait de l’ensemble des moyens et compétences pour les faire cesser. 
100. Dès lors, il en résulte un manquement à l’article 82 de la loi Informatique et Libertés pour ne pas avoir garanti l’effectivité du retrait du consentement de l’utilisateur. 
101. La formation restreinte note que, si la société s’est depuis mise en conformité sur ce point, le manquement demeure néanmoins caractérisé pour le passé.
III. SUR LES MESURES CORRECTRICES ET LEUR PUBLICITÉ
A. Sur le prononcé d’une amende administrative et son montant 
102. Aux termes de l’article 20-IV de la loi n° 78-17 du 6 janvier 1978 modifiée, " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans les cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 euros par jour de retard à compter de la date fixée par la formation restreinte ;
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
103. L’article 83 du RGPD prévoit en outre que " chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
104. Enfin, l’article 22, alinéa 2 de la loi Informatique et Libertés dispose que " la formation restreinte peut rendre publique les mesures qu’elle prend ".
105. Le rapporteur propose à la formation restreinte de prononcer à l’encontre de la société une amende administrative au regard des manquements constitués aux articles 5, paragraphe 1, c) du RGPD et 82 de la loi Informatique et Libertés. 
106. La société AECF estime le montant de l’amende proposé par le rapporteur disproportionné et insuffisamment motivé au regard du principe de prévisibilité des peines prévu à l’article 7 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales. Elle sollicite sa réduction substantielle par la formation restreinte.
107. Pour cela, elle conteste la réalisation du critère de gravité en indiquant avoir corrigé deux des manquements en matière de cookies avant la notification du rapport de sanction et le manquement au principe de minimisation des données concernant l’enregistrement des appels téléphoniques dans le mois suivant cette notification. S’agissant du manquement relatif au retrait du consentement aux cookies, la société indique avoir au cours de la procédure mis en œuvre les recommandations de la CNIL pour y remédier. Elle précise dès lors qu’aucun des manquements relevés ne subsiste plus à ce jour, ce qui démontre selon elle sa coopération et sa bonne foi.
108. Au regard des critères énoncés à l’article 83 du RGPD, elle invoque également l’absence de gravité des manquements ainsi que l’absence de plainte adressée à la Commission. AECF précise en particulier que le montant proposé par le rapporteur ne peut être que revu à la baisse au regard du caractère marginal du manquement au principe de minimisation des données et, en particulier, du nombre de personnes concernées – moindre que celui initialement allégué par le rapporteur, le nombre de personnes concernées étant inférieur à celui des appels reçus. La société estime également que la remédiation qu’elle a apportée aux manquements relatifs au dépôt de cookies sans le consentement de l’utilisateur ou malgré son refus constatés en 2023 aurait dû conduire le rapporteur à revoir à la baisse le montant de l’amende sollicitée, ce qu’il n’a pas fait. La société invoque enfin l’existence de démarches anciennes de mise en conformité de son outil d’enregistrement des appels auprès des services de la CNIL en charge de l’accompagnement des acteurs.
1. Sur le prononcé de l’amende
109. La formation restreinte relève tout d’abord que, s’agissant du manquement à l’article 5, paragraphe 1, c) du RGPD, le nombre de personnes concernées et de conversations privées effectivement enregistrées est réduit. Il ressort en effet des enregistrements transmis que, pour la très grande majorité des appels, les conseillers prennent en charge la communication immédiatement après la fin du message délivré par le serveur vocal (aucune conversation privée n’ayant alors le temps d’être enregistrée) et que, lorsque ce n’est pas le cas, l’appelant prend généralement soin de ne pas entretenir de conversation parallèle. Ainsi, sur les onze enregistrements transmis par la société, un seul permet effectivement d’entendre une conversation privée, qui ne contenait en l’espèce aucune information présentant une particulière sensibilité. Par ailleurs, la formation restreinte relève que ce manquement résulte d’un mauvais paramétrage de l’outil d’enregistrement et qu’il n’est pas établi que les enregistrements réalisés en dehors des temps d’interaction entre le client et le téléconseiller auraient procédé d’une démarche intentionnelle de la part de la société ni fait l’objet d’une quelconque exploitation par cette dernière. Enfin, il convient de souligner qu’aussitôt après avoir été informée de ce mauvais paramétrage, la société a procédé aux modifications permettant d’assurer la mise en conformité du dispositif. Ainsi, si le manquement à l’article 5, paragraphe 1, c) apparait
constitué pour le passé, il ne justifie pas, compte tenu de l’ensemble des circonstances venant d’être rappelées, l’imposition d’une sanction.
110. En revanche, s’agissant du manquement à l’article 82 de la loi Informatique et Libertés, il doit être relevé que les manquements commis relatifs à l’inscription et la lecture de cookies en dépit de l’absence, du refus ou du retrait du consentement de l’utilisateur ne sont pas apparents pour ce dernier et que sa confiance légitime dans l’effectivité des choix opérés en la matière a ainsi été trompée. 
111. La gravité de ce manquement est en outre renforcée par le fait que la société ne pouvait ignorer les règles applicables, compte tenu de leur ancienneté et de leur large diffusion par la CNIL. 
112. Enfin, si la mise en conformité de la société à la suite des contrôles et au cours de la procédure de sanction pour l’ensemble des manquements constatés doit être portée à son crédit, elle révèle également que la société disposait de l’ensemble des moyens nécessaires à la mise en œuvre des règles et principes applicables en matière de cookies, et qu’elle aurait ainsi pu prendre les mesures qui s’imposaient sans attendre de faire l’objet d’un contrôle de la Commission.
113. En conséquence, la formation restreinte estime, au vu de l’ensemble de ces éléments et au regard des critères fixés à l’article 83 du RGPD, qu’il y a lieu de prononcer une amende administrative au titre du manquement à l’article 82 de la loi Informatique et Libertés.
2. Sur le montant de l’amende
114. Afin de fixer le montant de l’amende devant être prononcée à l’encontre de la société, il convient de tenir compte de la gravité du manquement commis telle qu’elle résulte de ce qui précède, ainsi que des démarches de mise en conformité déployées à la suite des contrôles et au cours de la procédure de sanction. 
115. Il doit également être tenu compte du montant maximum de l’amende encourue, en l’espèce 10 millions d’euros ou 2 % du chiffre d’affaires annuel, ainsi que des capacités financières et de l’importance économique de la société, qui a réalisé :
- en 2022, un produit net bancaire de plus de 354 millions euros pour un résultat net d’environ 14,2 millions euros ;
- en 2023, un produit net bancaire de 379 millions euros pour un résultat net de 12,5 millions d’euros ;
- et selon ses propres déclarations, en 2024, un produit net bancaire de 505 949 462,84 euros et un résultat net de 23 465 049,59 euros.
116. S’agissant du montant de l’amende qui doit être proportionnée et dissuasive, au regard des responsabilités et capacités financières de la société et des critères pertinents de l’article 83 du RGPD, la formation restreinte considère qu’apparait adapté de prononcer à l’encontre de la société AECF une amende administrative d’un montant d’un million cinq cent mille euros (1 500 000 €) au regard du manquement à l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
B. Sur le prononcé d’une injonction assortie d’une astreinte
117. Le rapporteur a indiqué lors de la séance ne pas solliciter le prononcé d’une injonction à l’encontre de la société. 
118. La formation restreinte constate en tout état de cause la mise en conformité opérée en cours de procédure par la société concernant l’ensemble des manquements caractérisés et dit dès lors n’y avoir lieu au prononcé d’une injonction.
C. Sur la publicité de la sanction 
119. Le rapporteur propose que la décision adoptée par la formation restreinte soit rendue publique, au regard de la gravité des manquements en cause, de la position de la société sur le marché ainsi que du nombre de personnes concernées. Il considère que cette mesure apparait proportionnée, dès lors qu’il est proposé que la décision n’identifie plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. 
120. La société AECF s’oppose à la publication de la décision et estime à titre subsidiaire que celle-ci devrait en tout état de cause exclure les informations particulièrement sensibles ou protégées par des secrets d'affaires qu’elle a communiquées dans le cadre de ses secondes observations en défense.
121. La formation restreinte considère qu’une telle mesure de publicité se justifie au regard de la gravité avérée des manquements en cause, de la position de la société sur le marché et du nombre de personnes concernées, lesquelles doivent être informées.
122. Elle estime en outre que cette mesure apparait proportionnée dès lors que la décision n’identifiera plus nommément la société à l’issue d’un délai de deux ans à compter de sa publication. 
123. Enfin, elle considère que les informations figurant dans la présente délibération ne constituent pas des informations sensibles et ne sont pas susceptibles d’être protégées par le secret des affaires. 
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de : 
• prononcer une amende administrative à l’encontre de la société AMERICAN EXPRESS CARTE FRANCE d’un montant d’un million cinq cent mille euros (1 500 000 €) pour manquement à l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; 
• rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément la société à l’issue d’une durée de deux ans à compter de sa publication.
Le président
Philippe-Pierre CABOURDIN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données  ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8.2. g, 10, 11 et 19  ;
Après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement ,
Décide :
Article 1
Les agents de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 19 de la loi du 6 janvier 1978 :
M. Belaïd Aït Hamouda, auditeur des systèmes d'information au service des contrôles - RH, santé et affaires publiques, à la direction des contrôles et des sanctions  ;
Mme Fabienne Amiard, adjointe à la cheffe du service des sanctions et du contentieux 1 à la direction des contrôles et des sanctions ;
M. Thibaud Antignac, adjoint au chef du service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Tess d'Armagnac, juriste au service des contrôles - RH, santé et affaires publiques, à la direction des contrôles et des sanctions  ;
M. Mehdi Arfaoui, sociologue du numérique au service laboratoire d'innovation numérique de la CNIL à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
M. Monir Azraoui, ingénieur expert au service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Audrey Bacquié, chargée de greffe au service des sanctions et du contentieux 2 à la direction des contrôles et des sanctions  ;
Mme Isabelle Barbé, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de l'exercice des droits et des plaintes ;  
Mme Elisabeth Barsacq, cheffe du service des affaires européennes et internationales ;
Mme Leslie Basse, juriste au service des contrôles - affaires économiques à la direction des contrôles et des sanctions  ;
M. Corentin Beaufils, juriste au service des plaintes - affaires publiques, sociales et financières à la direction de l'exercice des droits et des plaintes ;
Mme Irène Baudu, adjointe à la cheffe du service des plaintes - affaires numériques et commerciales à la direction de l'exercice des droits et des plaintes ;
Mme Anne-Lise Bechara, cheffe du service d'information du public à la direction des relations avec les publics ;
Mme Khadija Belghiti-Alaoui, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de l'exercice des droits et des plaintes ;
M. Nicolas Berkouk, ingénieur intelligence artificielle au service de l'intelligence artificielle à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Najma Bichara, juriste au service des affaires européennes et internationales  ;
M. Martin Biéri, chargé des études prospectives au service laboratoire d'innovation numérique de la CNIL à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Stéphanie Boisseau, juriste au service des plaintes - affaires publiques, sociales et financières à la direction de l'exercice des droits et des plaintes ;
M. Justin Bondis, auditeur des systèmes d'information au service des contrôles - RH, santé et affaires publiques, à la direction des contrôles et des sanctions ;
Mme Sandrine Bontrond, juriste au service d'information du public à la direction des relations avec les publics  ;
Mme Cécile Bosser, juriste conseil au service d'information du public à la direction des relations avec les publics  ;
M. Tanguy Boucher, juriste au service des contrôles - affaires économiques à la direction des contrôles et des sanctions  ;
M. Érik Boucher de Crèvecoeur, ingénieur référent santé au service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Taïna Bouganim, ingénieure experte au service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Justine Braive, juriste au service des contrôles - RH, santé et affaires publiques, à la direction des contrôles et des sanctions  ;
Mme Véronique Bremond, juriste au service des plaintes - affaires publiques, sociales et financières à la direction de l'exercice des droits et des plaintes  ;
Mme Céline Brézillon, cheffe du service des plaintes - affaires publiques, sociales et financières à la direction de l'exercice des droits et des plaintes ;
M. Vincent Bringer, juriste au service des plaintes - affaires numériques et commerciales à la direction de l'exercice des droits et des plaintes ;
Mme Solenn Brunet, ingénieure experte au service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle  ;
M. Clément Bunel, juriste au service des plaintes - affaires numériques et commerciales à la direction de l'exercice des droits et des plaintes ;
M. Thierry Cardona, ingénieur au service des contrôles - RH, santé et affaires publiques, à la direction des contrôles et des sanctions  ;
Mme Madeleine Cazettes de Saint Léger, juriste au service des sanctions et du contentieux 2 à la direction des contrôles et des sanctions  ;
Mme Lucie Chartrain, juriste au service des plaintes - affaires numériques et commerciales à la direction de l'exercice des droits et des plaintes ;
M. Régis Chatellier, chargé des études prospectives au service laboratoire d'innovation numérique de la CNIL à la direction des technologies, de l'innovation et de l'intelligence artificielle  ;
Mme Tiphaine Chellabi, juriste au service des affaires européennes et internationales ;
Mme Virginie Claude-Loonis, cheffe du service des sanctions et du contentieux 1 à la direction des contrôles et des sanctions  ;
Mme Audrey Danel, juriste au service des sanctions et du contentieux 1 à la direction des contrôles et des sanctions  ;
Mme Justine Deboté, chargée de greffe au service des sanctions et du contentieux 2 à la direction des contrôles et des sanctions  ;
M. Guillaume Delafosse, juriste au service des plaintes - affaires publiques, sociales et financières à la direction de l'exercice des droits et des plaintes ;
Mme Ludivine Delelis, juriste au service des sanctions et du contentieux 1 à la direction des contrôles et des sanctions  ;
Mme Isabelle Delerue, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de l'exercice des droits et des plaintes ;
M. Grégoire Delette, adjoint au chef du service des contrôles - affaires économiques à la direction des contrôles et des sanctions  ;
M. Florent Della Valle, chef du service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Tess Delmas, juriste au service des plaintes - affaires publiques, sociales et financières à la direction de l'exercice des droits et des plaintes  ;
M. Xavier Delporte, directeur des relations avec les publics  ;
Mme Caroline Derouet, juriste au service des sanctions et du contentieux 1 à la direction des contrôles et des sanctions  ;
Mme Sadio Dioumassy, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de l'exercice des droits et des plaintes ;
M. Julien Drochon, auditeur des systèmes d'information référent à la direction des contrôles et des sanctions  ;
M. Hubert Drzymala, référent coopération européenne à la direction des contrôles et des sanctions ;
M. Jules Duflos, juriste au service des plaintes - affaires numériques et commerciales à la direction de l'exercice des droits et des plaintes ;
M. Hugo Dussert, ingénieur expert au service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Viktorija Elenski, juriste au service des plaintes - affaires publiques, sociales et financières à la direction de l'exercice des droits et des plaintes ;
Mme Adèle Fargues, auditrice des systèmes d'information au service des contrôles - RH, santé et affaires publiques, à la direction des contrôles et des sanctions ;
Mme Alicia Filipiak, ingénieure experte au service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
Mme Anne Fontanille, juriste au service des affaires européennes et internationales  ;
Mme Florence Fourets, directrice chargée de projets régaliens - PRADA auprès du secrétaire général  ;
Mme Marie Gaillardon, juriste au service des sanctions et du contentieux 1 à la direction des contrôles et des sanctions  ;
Mme Linda Gamiette, juriste au service d'information du public à la direction des relations avec les publics :
M. Gaston Gautreneau, ingénieur expert au service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
M. Antoine Gaume, ingénieur expert au service de l'expertise technologique à la direction des technologies, de l'innovation et de l'intelligence artificielle ;
M. Rodolphe Génissel, chef du service des sanctions et du contentieux 2 à la direction des contrôles et des sanctions  ;
Mme Sophie Genvresse, directrice adjointe de l'exercice des droits et des plaintes ;
Mme Sophie Geistel, juriste au service des sanctions et du contentieux 2 à la direction des contrôles et des sanctions  ;
M. Charly Ginevra, auditeur des systèmes d'information au service des contrôles - affaires économiques à la direction des contrôles et des sanctions ;