AgentPublic/cnil huggingface dataset:
117. En défense, la société admet que les cookies en cause étaient bien déposés avant tout recueil du consentement de l’utilisateur. Elle précise que, pour certains d’entre eux, elle avait considéré qu’ils pouvaient relever de son intérêt légitime et insiste sur le fait que les cookies concernés n’ont pas pour finalité de collecter ou de transmettre des données à des tiers à des fins de profilage ou de prospection commerciale, mais ont pour seule finalité d’optimiser l’expérience utilisateur sur le site. Elle ajoute avoir, depuis les contrôles, pris des mesures permettant de garantir que ces cookies ne sont plus déposés en l’absence de consentement de l’utilisateur.
118. La formation restreinte relève qu’il ressort des constatations réalisées lors du contrôle en ligne du 5 janvier 2023 que, lors de son arrivée sur le site web " [...] ", l’utilisateur voit s’afficher une fenêtre surgissante relative aux cookies, au bas de laquelle figurent deux boutons intitulés respectivement " En savoir plus " et " Accepter et fermer ", ainsi qu’un lien en haut à gauche de la fenêtre intitulé " continuer sans accepter ". 
119. La délégation a constaté qu’avant même que l’utilisateur ait exprimé un choix quant au dépôt et à la lecture de cookies sur son terminal, et alors que la fenêtre surgissante était toujours affichée, onze cookies étaient déposés sur son terminal.
120. La formation restreinte relève en outre qu’il ressort de ces constats qu’après avoir cliqué sur le lien " continuer sans accepter " (et après avoir donc refusé le dépôt et la lecture de cookies non essentiels), les onze cookies précités n’étaient pas supprimés du navigateur et continuaient ainsi à être lus.
121. La formation restreinte note que, parmi ces onze cookies, était déposé le cookie " iadvize-5593-vuid ". La société a précisé que " IADVIZE " est " un outil de tchat en ligne (" chatbox ") avec un conseiller expert afin d’aider l’utilisateur dans ses achats. Le cookie [en question] permet d’identifier de manière unique l’utilisateur et de personnaliser l’affichage et la conversation avec l’utilisateur en fonction de sa navigation sur le site. Il permet également de reconnaître l’utilisateur à chaque visite afin de conserver son historique de conversation ". Elle relève que la société a précisé au cours de l’instruction que, depuis le 17 janvier 2023, ce tchat en ligne n’apparaissait plus sur l’ensemble des pages du site mais uniquement sur les pages de contact et certaines fiches de produits où son utilité est la plus pertinente pour l’utilisateur – le consentement étant désormais systématiquement demandé préalablement au dépôt de tout cookie lié à ce service.
122. La formation restreinte considère que ce cookie, en permettant une reconnaissance unique des utilisateurs et un enregistrement de l’historique de conversation, n’avait pas pour finalité exclusive de permettre ou de faciliter la communication par voie électronique et n’était pas non plus strictement nécessaire à la fourniture d’un service expressément demandé par les utilisateurs du site web de la société. La formation restreinte relève à cet égard que la société a reconnu que le dépôt d’un tel cookie requérait le consentement des personnes et que celui-ci n’était pas recueilli en l’espèce. 
123. La formation restreinte observe que la société a fourni, dans le cadre de l’instruction, une capture écran indiquant que le consentement des personnes est recueilli depuis le 17 janvier 2023, à l’issue du contrôle en ligne du 5 janvier 2023.
124. Par ailleurs, la formation restreinte relève qu’étaient également déposés, parmi les onze cookies susvisés, les cookies " t2s-p ", " t2s-analytics " et " t2s-rank ", ayant pour finalité la personnalisation de contenus éditoriaux en fonction de l’historique de navigation de l’utilisateur afin de lui proposer des produits adaptés, ainsi que les cookies " wizville_cookie_page_load ", " wizville_cookie_session_start_at ", " wizville_cookie_first_visit " et " wizville_cookie_page_count ", ayant pour finalité la mémorisation des informations de navigation sur le site web " [...]" visité par l’utilisateur, afin d’afficher ou non un questionnaire de satisfaction destiné à recueillir l’avis de l’utilisateur sur le site web. Elle considère que de tels cookies, qui permettent de réaliser une personnalisation du contenu du site web en fonction d’informations obtenues sur les utilisateurs, telles que leur historique de navigation, afin d’afficher un questionnaire de satisfaction ou des produits adaptés, n’ont pas pour finalité de permettre ou faciliter la communication par voie électronique, et ne sont pas strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.
125. Elle relève que la société a fourni, dans le cadre de l’instruction, une capture écran de gestion du cookie " wizville " démontrant que le consentement des personnes est recueilli depuis le 1er mars 2023. Elle a, en outre, fourni une capture écran de gestion du cookie " t2s ", ainsi que des captures écrans du site web " [...] ", permettant de démontrer que, depuis le 3 juin 2025, les cookies " t2s " ne sont plus déposés en l’absence de consentement de l’utilisateur.
126. Au vu de ce qui précède, la formation restreinte considère qu’en procédant au dépôt et à la lecture des cookies susvisés sur le terminal de l’utilisateur sans recueillir préalablement son consentement, la société X a méconnu les dispositions de l’article 82 de la loi Informatique et Libertés.
127. La formation restreinte note que, postérieurement aux opérations de contrôle, la société X s’est mise en conformité en démontrant que les cookies susvisés n’étaient plus déposés sur le terminal des utilisateurs avant que leur consentement ne soit recueilli. Elle rappelle néanmoins que les mesures de mise en conformité adoptées ne sauraient exonérer la société de sa responsabilité pour les faits passés.
III. Sur les mesures correctrices
128. L’article 20-IV de la loi n° 78-17 du 6 janvier 1978 modifiée prévoit que : " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans les cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 euros par jour de retard à compter de la date fixée par la formation restreinte ;
[…]
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
129. L’article 83 du RGPD, tel que visé par l’article 20, paragraphe IV, de la loi Informatique et Libertés, prévoit quant à lui que : " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
130. La CJUE a rappelé à cet égard que " seule une amende administrative dont le montant est déterminé en fonction de la capacité économique réelle ou matérielle de son destinataire […] est susceptible de réunir les trois conditions énoncées à l’article 83, paragraphe 1, du RGPD, à savoir d’être à la fois effective, proportionnée et dissuasive " (CJUE, grande chambre, 5 décembre 2023, C-807/21, " Deutsche Wohnen " ; CJUE, cinquième chambre, 13 février 2025, C-383/23, " Ilva A/S "), 
131. Enfin, l’article 22, alinéa 2 de la loi Informatique et Libertés dispose que " la formation restreinte peut rendre publiques les mesures qu’elle prend ".
A. Sur le prononcé d’une amende administrative et son montant
132. La formation restreinte rappelle qu’il convient d’examiner les critères pertinents de l’article 83 du RGPD pour décider s’il y a lieu d’imposer une amende administrative à la société et, le cas échéant, pour déterminer son montant. 
1. Sur le prononcé d’une amende administrative
133. La rapporteure propose à la formation restreinte de prononcer à l’encontre de la société une amende administrative au regard des manquements constitués aux articles 6, 13, 32 et 35 du RGPD, ainsi qu’à l’article 82 de la loi Informatique et Libertés.
134. En défense, la société fait valoir que les manquements constatés ne présentent aucun caractère de gravité, que les personnes concernées n’ont subi aucun préjudice et qu’aucune donnée à caractère personnel sensible n’a été concernée par les manquements. Elle souligne également sa pleine coopération avec les services de la CNIL et la rapidité avec laquelle elle a apporté les mesures correctives nécessaires, avant même qu’elle n’ait été informée de l’ouverture d’une procédure de sanction. Elle conteste enfin s’être montrée négligente ou avoir agi de manière délibérée et soutient qu’elle ne disposait d’aucune décision antérieure de la CNIL susceptible de lui servir de référence dans le cadre du traitement mis en œuvre avec le groupe Y.
135. La formation restreinte rappelle que, pour évaluer l’opportunité de prononcer une amende, elle doit tenir compte des critères précisés à l’article 83 du RGPD tels que la nature, la gravité et la durée de la violation, la portée ou la finalité du traitement concerné, le nombre de personnes concernées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le fait que la violation ait été commise par négligence, le degré de coopération avec l’autorité de contrôle, les catégories de données concernées et le niveau de dommage subi par les personnes.
136. En premier lieu, la formation restreinte considère qu’il y a lieu de faire application du critère prévu à l’article 83, paragraphe 2, a) du RGPD relatif à la nature, à la gravité et à la durée de la violation, compte tenu de la nature, de la portée ou de la finalité des traitements concernés ainsi que du nombre de personnes concernées.
137. La formation restreinte note tout d’abord que plusieurs manquements relevés sont relatifs aux opérations de publicité ciblée réalisées sur le réseau social Z, pour les besoins desquelles la société transmettait au groupe Y les données à caractère personnel des adhérents à son programme de fidélité. Il a en effet été démontré qu’un tel traitement était mis en œuvre sans que les personnes concernées y aient consenti de manière éclairée et spécifique, sans qu’elles en aient été clairement informées et sans qu’une analyse d’impact ait été menée préalablement. La formation restreinte relève, premièrement, que deux de ces manquements concernent des principes fondamentaux de la protection des données, relatifs à la licéité du traitement et l’information des personnes. Elle observe à cet égard que ces manquements entrent dans les prévisions de l’article 83, paragraphe 5 du RGPD, et sont ainsi susceptibles d’être sanctionnés par l’amende la plus élevée prévue par le législateur européen. Deuxièmement, la formation restreinte insiste sur le nombre particulièrement élevé de personnes concernées, la société ayant reconnu que les données de l’ensemble des adhérents à son programme de fidélité, à savoir plus de 10,5 millions de personnes, avaient été transmises au groupe Y. Troisièmement, s’agissant de la durée des violations, la formation restreinte relève que la société transmettait les données au groupe Y depuis fin 2018, de façon hebdomadaire, et qu’une telle transmission a duré
plus de cinq années, à savoir jusqu’en février 2024. Si la société a procédé de sa propre initiative à la cessation du traitement en cause, ce qui doit être mis à son crédit, la formation restreinte relève néanmoins qu’elle ne l’a fait qu’après avoir été confrontée à un contrôle de la CNIL qui, selon ses propres déclarations, a soulevé de nombreuses interrogations.
138. Ensuite, s’agissant du manquement à l’obligation d’assurer la sécurité des données à caractère personnel, la formation restreinte relève qu’il concerne des obligations élémentaires en matière de sécurité, à savoir la robustesse des mots de passe utilisés ainsi que le stockage sécurisé de ces derniers. Elle note également qu’un tel manquement concerne l’ensemble des clients de la société et adhérents à son programme de fidélité, les règles de complexité des mots de passe et les modalités de stockage étant les mêmes pour tous. 
139. Enfin, s’agissant du manquement relatif aux cookies déposés sur le terminal de l’utilisateur lors de la visite du site web " [...] ", la formation restreinte rappelle qu’au jour du contrôle en ligne, la société traitait les données de ses utilisateurs sans avoir recueilli préalablement leur consentement, en déposant sur leurs terminaux des cookies pourtant soumis au recueil préalable d’un consentement. Elle considère qu’un tel manquement constitue une atteinte substantielle au droit au respect de la vie privée des personnes concernées. 
140. En deuxième lieu, la formation restreinte estime qu’il convient de tenir compte du critère prévu à l’article 83, paragraphe 2, b) du RGPD, relatif au fait que la violation ait été commise délibérément ou par négligence.
141. La formation restreinte souligne que le nombre de manquements constatés révèle une particulière négligence de la part de la société. Plus particulièrement, concernant le manquement à l’article 6 paragraphe 1, a) du RGPD, la formation restreinte considère que la société aurait dû, compte tenu du caractère massif du traitement en cause, faire preuve d’une vigilance accrue. 
142. En outre, s’agissant du manquement à l’article 32 du RGPD, il y a lieu de rappeler que la Commission communique régulièrement sur l’importance que revêtent les mesures d’authentification en matière de sécurité, que ses recommandations relatives à la politique de mots de passe étaient déjà très connues au moment des contrôles, et que depuis le mois de décembre 2022, elle a de surcroit mis à disposition des organismes, sur son site web, un outil permettant de vérifier de manière simple la robustesse d’un mot de passe. Elle rappelle en outre avoir régulièrement adopté des sanctions pécuniaires pour manquement à l’article 32 du RGPD en raison de mesures insuffisantes pour garantir la sécurité des données traitées, notamment dans ses délibérations n° SAN-2019-007 du 18 juillet 2019, n° SAN-2022-018 du 8 septembre 2022, n° SAN-2023-023 du 29 décembre 2023 et n° SAN-2024-002 du 31 janvier 2024.
143. Par ailleurs, s’agissant du manquement à l’article 82 de la loi Informatique et Libertés, la formation restreinte rappelle que la Commission a accompagné les acteurs du numérique dès 2013, en publiant une recommandation et des lignes directrices rappelant les principes qu’il convient de respecter pour permettre l’utilisation des cookies et autres traceurs. De nouvelles recommandations et lignes directrices ont été adoptées en 2020 et ont, elles aussi, fait l’objet d’une large diffusion. La formation restreinte rappelle également avoir déjà sanctionné à de nombreuses reprises des organismes pour non-respect de l’obligation de recueillir le consentement de l’utilisateur avant toute opération de lecture et/ou d’écriture (délibération n° SAN-2020-012 du 7 décembre 2020 validée par le Conseil d’État dans sa décision n° 44209 du 28 janvier 2022 ; délibération n° SAN-2020-013 du 7 décembre 2020 validée par le Conseil d’État dans sa décision n° 451423 du 27 juin 2022).
144. Enfin, tout en tenant compte de ce que la société a mis en place des mesures permettant d’assurer sa mise en conformité, dont certaines ont été prises avant même la notification du rapport de sanction, la formation restreinte relève que ces actions n’exonèrent pas la société de sa responsabilité pour les faits passés.
145. En conséquence, la formation restreinte considère qu’il y a lieu de prononcer une amende administrative pour les manquements aux articles 6, 13, 32 et 35 du RGPD et 82 de la loi Informatique et Libertés. 
2. Sur le montant de l’amende administrative
146. En défense, la société soutient que le montant proposé par la rapporteure est disproportionné et excessif au regard de la réalité de l’atteinte portée aux droits des personnes. Elle invoque également sa situation économique qui s’est dégradée en 2024, ainsi que les conséquences que pourraient avoir une sanction financière élevée sur son activité. Elle fait valoir que son résultat net a baissé, passant de […] euros en 2023 à […] euros en 2024, et illustre les spécificités de son modèle économique ainsi que la faible marge caractéristique de son secteur d’activité.
147. La formation restreinte relève tout d’abord que les manquements relatifs aux articles 6 et 13 du RGPD sont des manquements à des principes fondamentaux du RGPD, susceptibles de faire l’objet, en vertu de l’article 83 du RGPD, d’une amende administrative pouvant s’élever jusqu’à 20 000 000 euros ou jusqu’à 4 % du chiffre d’affaires annuel, le montant le plus élevé étant retenu. Elle rappelle en outre que les amendes administratives doivent être dissuasives et proportionnées.
148. Ensuite, la formation restreinte considère que l’activité de la société et sa situation financière doivent également être prises en compte. Elle relève tout d’abord que le chiffre d’affaires réalisé en 2023 était de […] d’euros, son résultat net s’élevant à […] d’euros.
149. La formation restreinte rappelle ensuite, comme cela est détaillé au paragraphe 130, que pour s’assurer du caractère effectif, dissuasif et proportionné de l’amende prononcée, il convient de prendre en compte la capacité économique réelle ou matérielle de son destinataire. Une telle capacité économique ne saurait s’apprécier exclusivement au regard du résultat net dégagé par l’entreprise (qui peut être affecté par des éléments exceptionnels), mais doit tenir compte d’un ensemble d’éléments d’analyse financière, tels que le chiffre d’affaires, mentionné par l’article 83 du RGPD, le compte de résultat, l’endettement, la trésorerie, etc. En l’espèce, la formation restreinte considère que si le résultat net de la société a en effet subi une baisse entre l’année 2023 et l’année 2024, l’analyse de l’ensemble des éléments financiers de la société démontre que celle-ci n’est pas, contrairement à ce qu’elle affirme, dans une situation économique dégradée, comme en attestent notamment la trésorerie disponible et les réserves dont disposait la société en 2023.
150. Ainsi, au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83, paragraphe 2 du RGPD évoqués ci-avant, la formation restreinte considère qu’une amende administrative, d’une part, d’un montant de deux millions cinq cent mille (2 500 000) euros pour sanctionner les manquements aux articles 6 paragraphe 1, a), 13, 32 et 35 du RGPD et d’autre part, d’un montant de un million (1 000 000) d’euros pour sanctionner le manquement à l’article 82 de la loi Informatique et Libertés apparait dissuasive et proportionnée.
B. Sur le prononcé d’une injonction 
151. Dans son rapport initial, la rapporteure proposait à la formation restreinte de prononcer à l’encontre de la société une injonction de mettre en conformité le traitement avec les dispositions des articles 6, 13, 32 et 35 du RGPD et 82 de la loi Informatique et Libertés, assortie d’une astreinte.
152. En défense, la société soutient que le prononcé d’une injonction est sans objet, dès lors qu’elle a déployé des mesures de mise en conformité en cours de procédure.
153. Compte tenu des éléments développés ci-avant et de la mise en conformité de la société s’agissant de l’ensemble des manquements relevés, la formation restreinte considère qu’il n’y a pas lieu de prononcer d’injonction.
C. Sur la publicité de la sanction
154. La société conteste la proposition de la rapporteure de rendre publique la présente délibération, au motif notamment qu’une telle publicité risque de fragiliser son équilibre commercial ainsi que la confiance de ses adhérents, sans pour autant apporter de bénéfice à l’intérêt général et tout en favorisant ses concurrents.
155. La formation restreinte considère que la publicité de la présente décision est justifiée au regard des manquements en cause et du nombre de personnes concernées, le recours à la publicité ciblée sur le réseau social Z étant, notamment, une pratique répandue parmi les acteurs économiques. Dans ce contexte, il importe d’informer les personnes concernées sur les règles applicables en matière de consentement. La formation restreinte considère toutefois que, dans cette perspective, une publication de la décision sans que la société y soit nommément identifiée est suffisante.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide : 
- de prononcer à l’encontre de la société X une amende administrative d’un montant de trois millions cinq cent mille (3 500 000) euros pour l’ensemble des manquements constatés, qui se décompose comme suit :
- 
o deux millions cinq cent mille (2 500 000) euros au regard des manquements constitués aux articles 6 paragraphe 1, a), 13, 32 et 35 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
o un million (1 000 000) d’euros au regard du manquement constitué à l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; 
-  de rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera pas nommément la société dès la publication. 
Le Président
Philippe-Pierre CABOURDIN
Cette décision peut faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
L’essentiel :
Les trois modifications du règlement intérieur ci-après présentées visent à renforcer la cohérence globale du texte et à clarifier les pratiques internes.
La première modification simplifie et actualise la partie du règlement intérieur dédiée aux formalités préalables en matière de protection des données personnelles afin d’alléger les procédures et d’offrir une relation plus souple avec les usagers.
La deuxième modification explicite que les doubles séances de l’assemblée plénière sont comptabilisées comme deux séances distinctes pour les vacations.
La troisième modification met à jour l’article 23 de la charte de déontologie de la CNIL, afin d’aligner la protection des lanceurs d’alerte sur les dernières évolutions législatives et de renforcer leur sécurité juridique.
 
La Commission nationale de l'informatique et des libertés,
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 12 ;
Vu la loi n° 2017-55 du 20 janvier 2017 modifiée portant statut général des autorités administratives indépendantes et des autorités publiques indépendantes, notamment son article 14 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2021-095 du 17 juin 2021 portant modification du règlement intérieur de la Commission nationale de l'informatique et des libertés ;