AgentPublic/cnil huggingface dataset:
57. Ces faits sont confirmés par l’enregistrement en pièce n° 25 annexée au rapport initial du 10 avril 2025, celui-ci permettant d’entendre de manière parfaitement claire et intelligible les échanges privés entre un client et un tiers avant la mise en relation avec le téléconseiller. Il est ainsi suffisamment démontré que le paramétrage opéré par la société de son outil d’enregistrement des appels téléphoniques permettait de capter les échanges privés tenus par ses clients entre la fin du message d’information délivré par le serveur vocal et la première interaction avec un téléconseiller. 
58. Par ailleurs, si la société conteste, dans ses premières observations en réponse, la poursuite de l’enregistrement en cas de mise en attente de l’appel par le téléconseiller, la formation restreinte relève que celle-ci est établie par l’enregistrement du 26 janvier 2023 à 15h41 invoqué par le rapporteur, le disque d’attente diffusé étant parfaitement audible ainsi qu’il l’indique. Si aucune parole privée n’est prononcée lors de cet enregistrement, le paramétrage de l’outil d’enregistrement par la société permettait cette captation.
59. Ces enregistrements contiennent nécessairement des données à caractère personnel dès lors que, comme l’a déjà jugé la formation restreinte, la collecte de la voix couplée à d’autres éléments tels que le numéro de téléphone de la personne concernée, constitue un traitement de données à caractère personnel, peu important le contenu ou le sens des paroles prononcées. 
60. Ces enregistrements réalisés en dehors des temps d’interaction entre le client et le téléconseiller, qui permettent la captation d’échanges privés, ne répondent à aucune des trois finalités poursuivies par la société : la formation et l’amélioration de la performance de ses salariés, le contrôle de la conformité, ou le traitement des réclamations formulées par les clients.
61. Les données ainsi collectées ou susceptibles de l’être en raison du paramétrage de l’outil d’enregistrement défini par la société n’étaient dès lors ni nécessaires, ni adéquates, ni pertinentes au regard des finalités pour lesquelles elles sont traitées, de sorte que le dispositif mis en place par la société était constitutif, à la date du contrôle sur place, d’un manquement au principe de minimisation des données.
62. Ce manquement était susceptible d’atteindre la protection des données à caractère personnel d’un nombre important de personnes au regard du volume d’appels concernés (600 000 appels par an). Le nombre réel de personnes concernées demeure toutefois inconnu, l’échantillonnage réalisé dans le cadre des opérations de contrôle permettant de démontrer que des segments non nécessaires des appels étaient enregistrés et non d’estimer le nombre de personnes concernées par des captations effectives de données à caractère personnel lors de ces enregistrements contraires au principe de minimisation des données.
63. La formation restreinte précise que les échanges antérieurs de la société AECF avec les services de la CNIL en charge de la mission d’accompagnement des acteurs dévolue à cette dernière sont sans effet sur la responsabilité de la société, celle-ci étant tenue, en sa qualité de responsable de traitement, d’assurer la conformité de l’ensemble des traitements de données à caractère personnel qu’elle met en œuvre à la réglementation protectrice de ces données et en particulier au principe de minimisation des données.
64. La formation restreinte note enfin que la société démontre avoir, postérieurement à la notification du rapport de sanction, procédé à des modifications techniques de son dispositif d’enregistrement des appels téléphoniques reçus par les téléconseillers de son service client, de sorte qu’il n’est plus soutenu qu’il ne serait pas conforme aux règles et principes applicables.
65. La formation restreinte décide que le manquement est toutefois bien constitué pour le passé.
D. Sur le manquement à l’obligation d’informer les personnes concernées et d’obtenir leur consentement avant d’inscrire des informations (cookies) sur leur terminal de communications électroniques ou d’accéder à celles-ci (lecture des cookies) en application de l’article 82 de la loi Informatique et Libertés
66. Les règles régissant l’utilisation, par un service de communications électroniques, des cookies et autres traceurs sur les équipements terminaux utilisés dans l’Union européenne sont fixées à l’article 5, paragraphe 3, de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du 25 novembre 2009.
67. Ces règles ont été transposées en droit français à l’article 32, paragraphe II, de la loi Informatique et Libertés, devenu l’article 82 depuis la réécriture de cette loi par l’ordonnance n° 2018-1125 du 12 décembre 2018. Celui-ci prévoit que " Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant : 
1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
2° Des moyens dont il dispose pour s’y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :
1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l’utilisateur ".
68. En l’espèce, le rapporteur a relevé dans son rapport initial trois manquements de la société relatifs au dépôt et à la lecture de cookies sur le terminal de l’utilisateur :
- avant toute action de sa part ; 
- malgré le refus exprimé par celui-ci ;
- après retrait de son consentement.
69. Il précise avoir, en complément au contrôle en ligne du 30 janvier 2023, sollicité le 13 mai 2025, à la suite des observations de la société, la réalisation d’un nouveau contrôle en ligne à partir du site web " www.americanexpress.com/fr-fr ", afin de vérifier la réalité des mesures que la société indiquait avoir mises en œuvre ainsi que l’éventuelle lecture de cookies après retrait du consentement de l’utilisateur. Ce nouveau contrôle en ligne a été réalisé le 16 mai 2025. 
70. La société reconnaît l’existence des deux premiers manquements relevés par le rapporteur à la date du premier contrôle en ligne du 30 janvier 2023. S’agissant du troisième manquement, elle considère, dans ses premières observations en réponse, que le rapporteur n’en fournit pas la preuve puis, dans ses secondes observations, que les constats résultant du contrôle en ligne du 16 mai 2025 devraient être écartés. Elle indique en tout état de cause s’être depuis mise en conformité avec les dispositions de l’article 82 de la loi Informatique et Libertés et avoir renforcé sa gouvernance de la gestion des cookies.
71. Il y a lieu d’examiner successivement chacun des trois volets du manquement aux obligations en matière de cookies envisagés par le rapporteur dans son rapport.
1. Sur le dépôt de cookies sur le terminal de l’utilisateur avant toute action de sa part
72. En droit, l’article 82 de la loi n° 78-17 du 6 janvier 1978 impose le recueil d’un consentement préalable avant de procéder à des opérations de lecture ou d’écriture sur l’équipement terminal (ordinateur, téléphone, etc.) de la personne concernée. Toute action visant à stocker des informations ou à accéder à des informations stockées dans l’équipement terminal d’un abonné ou d’un utilisateur est en principe soumise à cette exigence. Ces mêmes dispositions prévoient des exceptions à cette obligation pour les opérations, soit ayant pour finalité exclusive de permettre ou faciliter la communication par voie électronique, soit strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. Ces dispositions ont été interprétées par la CNIL dans ses lignes directrices et sa recommandation du 17 septembre 2020 (délibérations nos 2020-091 et 2020-092 du 17 septembre 2020).
73. Le rapporteur relève qu’il ressort du contrôle en ligne du 30 janvier 2023 que, dès l’arrivée de l’utilisateur sur le site web " www.americanexpress.com/fr-fr/ ", et avant toute action de sa part, huit cookies, qui ne bénéficient pas de l’exemption prévue par les textes susvisés et auraient donc dû être soumis au consentement de l’utilisateur, étaient déposés. 
74. Le rapporteur note que le contrôle en ligne du 16 mai 2025 a permis de démontrer que ces huit cookies n’étaient à cette date plus déposés lors de l’arrivée sur le site " www.americanexpress.com/fr-fr ", avant le recueil du consentement. Il considère toutefois qu’un manquement à l’article 82 de la loi Informatique et Libertés est caractérisé pour le passé.
75. La société AECF ne conteste pas qu'à l'époque du premier contrôle en ligne du 30 janvier 2023, des cookies étaient déposés sans l'obtention du consentement de l'utilisateur, alors que l'exemption du consentement prévue à l'article 82 ne trouvait pas à s’appliquer. Elle indique s’être depuis mise en conformité et avoir en particulier déployé, en novembre 2024, un nouveau processus de revue de la catégorisation de chaque nouveau cookie en fonction de ses finalités, afin de s’assurer que les cookies non exemptés du recueil du consentement soient bien catégorisés comme tels et associés à un script conditionnant leur dépôt et leur lecture au consentement. Elle indique que seuls les " cookies essentiels " sont désormais déposés avant toute action de la part d'un utilisateur sur la page d'accueil.
76. La formation restreinte relève qu’il ressort du procès-verbal du contrôle en ligne du 30 janvier 2023 et des déclarations de la société AECF dans le cadre de la présente procédure de sanction qu’à la date de ce contrôle, trente-et-un cookies étaient déposés sur le terminal de l’utilisateur dès l’ouverture de la page d’accueil du site web " www.americanexpress.com/fr-fr/ ", sans action préalable de sa part et notamment sans qu’il n’interagisse avec le site ni n’opère de choix entre les boutons " Tout refuser ", " Gérer les paramètres " et " Tout accepter " apparaissant sur la fenêtre surgissante lors de l’arrivée sur le site. Il est également démontré par ce procès-verbal et reconnu par la société AECF que parmi ces trente-et-un cookies, huit nécessitaient le recueil préalable du consentement de l’utilisateur en ce qu’ils n’entraient pas dans le champ de l’exemption prévue par l’article 82 de la loi Informatique et Libertés précité. Il s’agit plus particulièrement des cookies suivants :
- les cookies " mmapi.p.pd ", " mmapi.p.bid ", " mmapi.p.srv " et " mmapi.p.uat " ayant pour finalité " la mesure de la performance et l’optimisation du site web ", c’est-à-dire l’optimisation de l’expérience de l’utilisateur sur le site web et la compréhension des contenus susceptibles d’intéresser les visiteurs ;
- les cookies " AMCVS_5C36123F5245AF470A490D45%40AdobeOrg ", " AMCV_5C36123F5245AF470A490D45%40AdobeOrg ", " demdex " et " TS0139a03f ", lié au domaine " gct.americanexpress.com ", ayant une finalité " marketing ", c’est-à-dire publicitaire.
77. Le manquement est reconnu par la société AECF.
78. Au vu de l’ensemble de ces éléments, la formation restreinte considère qu’en déposant des cookies non exemptés de l’obligation de recueil du consentement sur le terminal de l’utilisateur, dès son arrivée sur le site web et avant toute action de sa part, la société a commis un manquement à l’article 82 de la loi Informatique et Libertés. 
79. Au regard des mesures prises par la société au cours de la procédure, attestées par le procès-verbal de contrôle en ligne du 16 mai 2025, la formation restreinte note que la société s’est, pour les huit cookies précédemment visés, mise en conformité en cessant de les déposer sans recueil préalable du consentement de l’utilisateur lors de l’arrivée sur le site " www.americanexpress.com/fr-fr ". Le manquement n’en reste pas moins caractérisé pour le passé.
2. Sur le dépôt de cookies sur le terminal de l’utilisateur malgré le refus des opérations de lecture et d’écriture 
80. La formation restreinte rappelle qu’elle a déjà sanctionné des organismes qui ne rendaient pas effectif le choix exprimé par les utilisateurs en matière de cookies (délibération n° SAN-2021-013 du 27 juillet 2021 et délibération n° SAN-2023-024 du 29 décembre 2023, publiés).
a. À partir du site " www.americanexpress.com/fr-fr "
81. En l’espèce, le rapporteur relevait dans son rapport que, lorsque l’utilisateur refusait le dépôt de cookies (en cliquant sur le bouton " Tout refuser " de la fenêtre prévue pour la gestion des cookies), six nouveaux cookies, qu’il considérait comme non essentiels, étaient néanmoins déposés sur son terminal. Au regard des explications fournies par la société quant aux finalités poursuivies par ces cookies, le rapporteur, dans sa réponse et lors de la séance, a indiqué abandonner cette branche du manquement. 
82. La formation restreinte constate dès lors que cette branche du manquement n’est plus soutenue par le rapporteur et n’est en tout état de cause pas caractérisée.
b. À partir du site " email.amex-info.fr "
83. En l’espèce, le rapporteur relève qu’il ressort du contrôle en ligne du 30 janvier 2023 qu’après avoir exprimé son refus au dépôt et à la lecture des cookies non essentiels sur le site " www.americanexpress.com/fr-fr/ ", la délégation a continué sa navigation sur le site et, à partir de l’onglet " devenir client " – situé au niveau de l’en-tête de la page d’accueil –, a constaté qu’un menu déroulant permettait d’accéder à différentes rubriques parmi lesquelles " les Cartes AMERICAN EXPRESS ". Au sein de cette rubrique, un clic sur le bouton intitulé " obtenir + d’infos " (positionné dans un encart à droite de la page) a permis à la délégation de constater l’ouverture, dans un nouvel onglet, d’une page ayant pour URL " http://email.amex-info.fr/demande-generique?elqCampaignId=65&inav=fr_menu_cards_pccards ", entraînant le dépôt de dix nouveaux cookies. Le rapporteur considère que, parmi ces dix cookies, trois nécessitaient le recueil du consentement et qu’un manquement à l’article 82 de la loi Informatique et Libertés est dès lors caractérisé, dans la mesure où l’utilisateur avait exprimé son refus d’un tel dépôt. S’il prend acte de la mise en conformité de la société sur ce point, il estime que le manquement demeure caractérisé pour le passé.
84. La société AECF ne conteste pas l’existence du manquement et indique s’être, postérieurement au contrôle en ligne du 30 janvier 2023, mise en conformité. Elle précise qu’elle fournit désormais aux personnes concernées des moyens effectifs leur permettant de refuser toute action tendant à accéder à des informations déjà stockées dans leur équipement terminal ou à inscrire des informations dans cet équipement. 
85. La formation restreinte relève qu’il résulte des constatations réalisées le 30 janvier 2023 que, malgré le refus des cookies dits non essentiels exprimé par l’utilisateur sur le site web " www.americanexpress.com/fr-fr/ ", sa navigation sur ce site conduisait à cette date au dépôt sur son terminal, via l’URL " http://email.amex-info.fr/demande-generique?elqCampaignId=65&inav=fr_menu_cards_pccards ", de trois cookies à finalité marketing soumis au consentement préalable de l’utilisateur. Le mécanisme de refus des cookies offert par la société sur le site web " www.americanexpress.com/fr-fr/ " n’était dès lors pas effectif, en violation de l’article 82 de la Loi informatique et Libertés, ce que la société reconnaît. 
86. La formation retreinte note que la société a depuis corrigé ce manquement et considère que le manquement demeure constitué pour le passé.
3. Sur la lecture de cookies sur le terminal de l’utilisateur après retrait du consentement
87. En droit, la loi Informatique et Libertés prévoit expressément que, dès lors qu’elles n’entrent pas dans le champ des exceptions mentionnées aux deux derniers alinéas de l’article 82, les opérations d’accès ou d’inscription d’informations dans le terminal d’un utilisateur ne peuvent avoir lieu qu’après que ce dernier a exprimé son consentement. 
88. Ces dispositions, telles qu’interprétées de manière constante par la Commission depuis sa recommandation relative aux cookies et autres traceurs du 5 décembre 2013 (délibération no 2013-378) et, en tout dernier lieu, dans sa recommandation du 17 septembre 2020 (délibération n°2020-092 du 17 septembre 2020), impliquent non seulement que les personnes concernées donnent leur consentement à l’accès ou à l’inscription d’informations dans leur terminal, mais également que celles ayant donné leur consentement soient en mesure de le retirer de manière simple et à tout moment. 
89. Dans une décision du 29 décembre 2023, la formation restreinte a ainsi expressément rappelé que, " si l’article 82 de la loi Informatique et Libertés conditionne le dépôt de cookies au consentement de l’abonné ou de l’utilisateur, il offre nécessairement, de manière corrélative, le droit à l’intéressé de retirer son consentement et de revenir ainsi sur son choix d’accepter que des cookies soient déposés sur son terminal " (CNIL, FR, 29 décembre 2023, Sanction, SAN-2023-024, publié).
90. S’agissant des modalités techniques permettant d’assurer l’effectivité du retrait du consentement, la CNIL a précisé, dans sa recommandation précitée du 17 septembre 2020, que " pour que le retrait du consentement soit effectif, il peut être nécessaire de mettre en place des solutions spécifiques pour garantir l’absence de lecture ou d’écriture des traceurs précédemment utilisés ". Ces solutions peuvent par exemple consister à modifier la durée de vie des cookies pour indiquer qu’ils sont expirés (en renvoyant dans une réponse http un en-tête " set cookie " appropriée spécifiant une date d’expiration dans le passé), ce qui entraînera leur suppression par le navigateur, ou encore, s’agissant des cookies ne disposant pas de l’attribut " httpOnly ", à assurer leur suppression à l’aide d’un script exécuté localement sur le terminal, via l’utilisation des interfaces de programmation d’application " cookies " des navigateurs web.
91. En l’espèce, le rapporteur relève dans son rapport initial qu’il résulte du contrôle en ligne du 30 janvier 2023 qu’après avoir accepté le dépôt de cookies non essentiels sur son terminal, puis retiré son consentement et poursuivi sa navigation sur le site, la délégation a constaté la présence sur son navigateur de l’ensemble des cookies déposés avant retrait du consentement, parmi lesquels plusieurs étaient pourtant soumis au consentement de l’utilisateur. Le rapporteur rappelle dans son rapport le fonctionnement technique d’un navigateur, précisant que " lors de la navigation d’un utilisateur sur un site web, les cookies présents sur son terminal sont systématiquement envoyés à travers des requêtes vers les domaines auxquels ils sont associés, autrement dit sont systématiquement lus. Par exemple, s’agissant du site web de la société AMERICAN EXPRESS CARTE FRANCE, le cookie " dtCookie ", dont le domaine est " .americanexpress.com ", sera contenu dans toutes les requêtes destinées au domaine " americanexpress.com " et à tous ses sous-domaines ". Il relève dès lors que la seule présence de ces cookies sur le navigateur entraîne nécessairement des opérations de lecture, qui interviennent malgré le retrait du consentement de l’utilisateur et constituent un manquement à l’article 82 de la loi Informatique et Libertés.
92. Dans ses premières observations en défense, la société soutient que le rapporteur n’apporte aucune preuve de ces opérations de lecture et que la seule présence des cookies sur le terminal de l’utilisateur est insuffisante pour démontrer un manquement. Elle fait au contraire valoir que la méthode utilisée permet d’assurer la prise en compte effective du retrait du consentement, les cookies précédemment déposés n’étant, selon elle, plus lus après un tel retrait. 
93. Le rapporteur, prenant acte de ces observations et conformément aux pouvoirs dont il dispose (cf. points 28 et 29 de la présente délibération), a dès lors demandé à ce que des constatations complémentaires soient réalisées. A la suite de ce contrôle en ligne du 16 mai 2025, le rapporteur a, à l’appui de sa réponse, produit un fichier HAR démontrant que les cookies précédemment déposés et toujours présents sur le navigateur continuaient, après retrait du consentement, à être lus.
94. Dans ses secondes observations en réponse, la société indique avoir, en réaction à la réponse du rapporteur et en adoptant les solutions préconisées par celui-ci, mis en œuvre des améliorations afin de s'assurer qu’après le retrait de consentement de l’utilisateur, seules les requêtes associées à des cookies non essentiels soient envoyées à partir de l'appareil de l'utilisateur (modification de la durée de vie des cookies pour indiquer qu’ils sont expirés et qu’ils disparaissent du domaine americanexpress.com après le retrait du consentement d'un utilisateur). Elle indique que les cookies concernés ne sont ainsi plus présents dans terminal de l'utilisateur après le retrait du consentement et qu’aucune requête associée aux cookies non essentiels soumis au consentement n’est plus envoyée depuis le terminal de l’utilisateur à la suite du retrait de son consentement par ce dernier. Elle produit en ce sens un procès-verbal de constat dressé par un commissaire de justice.
95. La formation restreinte rappelle, comme souligné par le rapporteur dans son rapport du 10 avril 2025, que lors de la navigation d’un utilisateur sur un site web, les cookies présents sur son terminal sont systématiquement envoyés à travers des requêtes vers les domaines auxquels ils sont associés, autrement dit sont systématiquement lus. Il s’agit du comportement attendu d’un navigateur web, les conditions dans lesquelles ces derniers devraient traiter les cookies étant notamment précisées dans la RFC 6265, un document technique de l’Internet Engineering Task Force (IETF).
96. Ainsi, les cookies dits first-party (associés au domaine actuellement visité par l’internaute) dont la présence a été constatée sur le navigateur de la délégation lors du contrôle en ligne du 30 janvier 2023 étaient nécessairement lus par AECF lors de la navigation sur le site " www.americanexpress.com/fr-fr ", si bien que le manquement apparait constitué dès cette date.