AgentPublic/cnil huggingface dataset:
56. A la lumière de la décision précitée du Conseil d’Etat, et compte tenu du fait que l’ARCEP et la CNIL ont des organisations similaires, la formation restreinte considère que son impartialité ne saurait être raisonnablement remise en cause sur la base des arguments de la société. Sa seule composition ne permet en rien d’établir que la formation restreinte ne serait pas en mesure d’exercer les missions qui lui sont confiées de manière impartiale et d’apprécier le respect, par les organismes mis en cause, des règles applicables en matière de protection des données, règles qui peuvent être éclairées, le cas échéant, par des recommandations ou lignes directrices adoptées par la formation plénière de la CNIL.
57. Dès lors, la formation restreinte écarte l’argument de la société relatif à l’absence d’impartialité des membres de la formation restreinte de la CNIL, compte tenu de l’absence de stricte séparation des pouvoirs entre leurs qualités de membres de la formation plénière et de la formation restreinte.
58. En second lieu, s’agissant de la prétendue autorité que le président de la CNIL exercerait sur la formation restreinte, celle-ci observe que la composition et le rôle des différents organes de la CNIL sont prévus par la loi Informatique et Libertés. L’article 9 de la loi prévoit ainsi que la formation restreinte " est composée d'un président et de cinq autres membres élus par la commission en son sein ", et que " le président [de la CNIL] et les vice-présidents composent le bureau. […] Les membres du bureau ne sont pas éligibles à la formation restreinte ". Par conséquent, les dispositions applicables prévoient que le président de la CNIL ne peut pas participer à la formation restreinte.
59. S’agissant de la répartition des pouvoirs entre le président de la CNIL et la formation restreinte, l’article 20-IV de la loi prévoit en outre que " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes […] ". L’article 20 de la loi Informatique et Libertés détaille ensuite les différentes mesures que la formation restreinte peut prononcer lorsqu’elle est saisie. Ainsi, la répartition des pouvoirs au sein de la CNIL entre les fonctions de poursuite, exercées par le président, et celles de sanction, relevant des membres de la formation restreinte, est clairement matérialisée à l’article 20 de la loi susvisée.
60. La formation restreinte considère que la loi institue des garanties procédurales suffisantes pour assurer la séparation des pouvoirs entre le président de la CNIL et les membres de la formation restreinte pour assurer l'indépenance de cette formation de jugement.
61. Compte tenu de ce qui précède, la formation restreinte considère que les arguments de la société ne sont de nature à remettre en cause ni l’impartialité ni l’indépendance des membres de la formation restreinte en tant qu’organe de jugement au sein de la Commission.
2. Sur le grief tiré de l’atteinte aux droits de la défense
62. La société soutient que ses droits de la défense ont été méconnus, compte tenu notamment de l’absence d’octroi d’un délai supplémentaire lui permettant de disposer du temps nécessaire à la préparation de sa défense, de la consultation tardive du dossier de procédure dans les locaux de la CNIL et de l’absence de communication d’une version anglaise du rapport de sanction et de ses pièces.
63. La formation restreinte rappelle tout d’abord qu’il résulte de l’article 40 du décret n° 2019-536 du 29 mai 2019 que l’organisme à qui est notifié un rapport proposant une sanction à son égard dispose d’un délai d’un mois pour transmettre ses observations au rapporteur et au président de la formation restreinte. Il ressort en outre de ces dispositions que le président de la formation restreinte peut, sur demande du mis en cause et selon les circonstances de l’affaire, décider de prolonger ce délai. L’octroi d’un délai supplémentaire n’est donc pas un droit pour le mis en cause mais une possibilité qui lui est offerte, sous réserve d’être justifiée, et dont le bénéfice relève de la décision du président de la formation restreinte.
64. La formation restreinte rappelle également que le Conseil d’Etat a déjà eu l’occasion d’écarter l’exception d’illégalité concernant le délai légal d’un mois prévu à l’article 75 du décret du 20 octobre 2005 (désormais l’article 40 du décret n° 2019-536 du 29 mai 2019) (CE, 19 juin 2020, n° 430810 pt 13). Dans cette affaire, le Conseil d’État a considéré que la société avait été mise à même de préparer et de présenter utilement sa défense dès lors qu’elle avait disposé d’un délai d’un mois pour répondre au rapport du rapporteur.
65. En outre, la formation restreinte relève, qu’en l’espèce, le refus du président de la formation restreinte d’octroyer un délai supplémentaire à la société est justifié compte tenu de l’absence de complexité de l’affaire. En effet, elle note tout d’abord que le manquement reproché à la société ne présente pas de caractère novateur et qu’il s’inscrit dans une série de sanctions publiques rendues par la formation restreinte en matière de cookies depuis 2020.
66. Ensuite, s’agissant de la consultation du dossier dans les locaux de la CNIL, la formation restreinte observe que le rapport de sanction du rapporteur a été notifié à la société le 18 février 2025, et ce n’est que le 5 mars 2025, soit deux semaines et demi après la notification du rapport, que la société a demandé à consulter le dossier. La consultation du dossier s’est tenue le 13 mars 2025. Dans ce contexte, la formation restreinte considère que, contrairement à ce qu’invoque la société, le caractère présenté comme tardif de la consultation du dossier ne saurait être uniquement imputable aux services de la CNIL.
67. En tout état de cause, la formation restreinte note que la société avait déjà connaissance de la quasi-intégralité des pièces annexées au rapport de sanction du rapporteur sur lesquelles il s’est fondé pour établir ses propositions. Elle constate en effet que la plupart des pièces ont été transmises par la société au cours de la procédure de contrôle (comme par exemple, des réponses à des questions posées par la délégation) ou résulte du contrôle en ligne du site web de la société, dont elle a la totale maitrise. Ainsi, la formation restreinte considère que le délai d’un mois octroyé à la société étant suffisant pour lui permettre de se familiariser avec le dossier et de répondre aux griefs contenus dans le rapport de sanction, qui portent sur une seule catégorie de manquements à l’article 82 de la loi Informatique et Libertés. Elle considère également que, dans ces circonstances, l’accès présenté comme tardif au dossier n’est pas non plus de nature à entacher la régularité de la procédure, celui-ci étant composé des éléments de procédure dont la société disposait déjà (rapport de sanction et ses pièces, procès-verbal de contrôle et ses pièces, éléments communiqués par la société à l’issue du contrôle, etc.). En tout état de cause, la société a pu présenter ses observations sur les éléments constituant le dossier de procédure lors des deux tours de contradictoire et lors de la séance.
68. Enfin, la formation restreinte rappelle que la langue de la procédure de sanction devant la CNIL est le français. Elle relève qu’il ne résulte d’aucune disposition légale ou réglementaire que le rapport de sanction et ses pièces doivent être notifiés au mis en cause dans une autre langue que celle-ci. En ce sens, le Conseil d’Etat a déjà eu l’occasion de retenir, à l’égard d’une procédure de sanction de la CNIL, que " la circonstance que la plus grande part des pièces de la procédure était rédigée en langue française " n’a pas d’incidence sur les droits de la défense du mis en cause (CE 19 juin 2020, n° 430810, point 14). En l’espèce, compte tenu des importantes ressources matérielles et humaines dont dispose la société, de ce qu’elle dispose d’un établissement en France et de ce qu’elle a fait appel à un cabinet d’avocat implanté à la fois en Irlande et en France, la formation restreinte considère que le fait de disposer du rapport de sanction et des pièces uniquement en langue française n’a pas fait obstacle à la compréhension des griefs qui lui étaient reprochés par le rapporteur. Dès lors, la formation restreinte considère que l’absence de traduction en langue anglaise du rapport de sanction et de ses pièces, n’a pas eu d’incidence sur les droits de la défense de la société. Au surplus, la formation restreinte relève qu’au cours de la séance, les représentants de la société étaient assistés d’interprètes en langue anglaise.
69. Par conséquent, le grief de procédure tiré de l’atteinte aux droits de la défense doit être écarté.
D. Sur le manquement aux obligations en matière de cookies
70. Les règles régissant l’utilisation, par un service de communications électroniques, des cookies et autres traceurs sur les équipements terminaux utilisés dans l’Union européenne sont fixées à l’article 5, paragraphe 3, de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du 25 novembre 2009.
71. Ces règles ont été transposées en droit français à l’article 32, paragraphe II, de la loi Informatique et Libertés, devenu l’article 82 depuis la réécriture de cette loi par l’ordonnance n° 2018-1125 du 12 décembre 2018. Celui-ci prévoit que " Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :
1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
2° Des moyens dont il dispose pour s’y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :
1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l’utilisateur ".
72. La formation restreinte observe que le rapporteur a identifié quatre volets au manquement aux obligations en matière de cookies qu’il estime constitué. Il convient donc d’examiner successivement ces quatre branches.
1. Sur l’obligation de recueillir le consentement de l’utilisateur au dépôt et à la lecture de cookies sur son terminal
73. Le rapporteur soutient que, lors de la mission de contrôle en ligne réalisée le 10 août 2023, la délégation de la CNIL a constaté le dépôt sur le terminal, dès son arrivée sur la page d’accueil du site et avant toute interaction avec le bandeau cookies, de plusieurs cookies pour lesquels le consentement de l’utilisateur aurait dû être préalablement requis. Il s’agit de trois cookies publicitaires (" _pinterest_ct_ua ", " _pin_unauth " et " muc_ads "), de six cookies relatifs au plafonnement de l’affichage publicitaire (également appelé " capping " publicitaire et ci-après dénommés " cookies de plafonnement " ; cookies " no_pop_up_fr ", " hideCoupon ", " hideCouponId_time ", " hideCouponWithRequest ", " revisit_canshow " et " have_show ") et d’un cookie de mesure d’audience (" cookieId "), dont la durée de vie était de 10 ans. Il considère ainsi que la société a méconnu les dispositions de l’article 82 de la loi Informatique et Libertés en ne recueillant pas le consentement de l’utilisateur préalablement au dépôt de ces cookies. Le rapporteur relève que la société s’est mise en conformité en cours de procédure en cessant de déposer ces cookies sans recueil préalable du consentement.
74. La société ne conteste pas le fait que les trois cookies publicitaires mentionnés par le rapporteur dans le rapport étaient déposés sur le terminal de l’utilisateur avant toute expression de son consentement. Elle indique que ce dépôt sans consentement relève d’une erreur à laquelle elle a remédié en cours de procédure.
75. S’agissant des cookies de plafonnement publicitaire, la société conteste avoir déposé sur le terminal de l’utilisateur, au jour du contrôle, le cookie " have_show " mais reconnaît le dépôt des autres cookies et ce, sans le consentement de l’utilisateur. Elle considère que ces cookies, qui ne sont déposés que lorsque l’utilisateur a refusé le reste des cookies, facilitent la navigation de l’utilisateur en empêchant que soient présentées trop souvent les mêmes publicités à l’utilisateur. Dès lors, elle considère qu’ils ne sont pas soumis au consentement. Elle précise que, bien qu’elle ne partage pas la position du rapporteur, elle a modifié sa pratique en cours de procédure afin que les cookies de plafonnement publicitaire ne soient plus déposés sans consentement.
76. S’agissant du cookie de mesure d’audience " cookieId " qui permet notamment de réaliser des " A/B testing " (qui consiste à présenter deux versions d’un site web variant légèrement à deux groupes d’utilisateurs, pour évaluer les impacts de cette variation) la société reproche au rapporteur de se fonder sur les lignes directrices et recommandations de la CNIL en matière de cookies, dépourvues de valeur normative, pour considérer qu’il est soumis au consentement. Elle conteste la nécessité de recueillir le consentement de l’utilisateur pour déposer ce cookie et soutient que la formation restreinte n’a pas retenu de manquement à l’égard du dépôt d’un cookie similaire de test A/B dans sa délibération SAN-2022-027 du 29 décembre 2022. Elle souligne que si la durée de vie de ce cookie a pu être de 10 ans, le rapporteur n’a pas tenu compte de l’existence de mécanismes de purge automatique intégrés dans les navigateurs. Elle précise avoir toutefois, en cours de procédure, décidé de remplacer le dépôt de ce cookie en migrant vers une autre solution.
77. La formation restreinte rappelle que l’article 82 de la loi n° 78-17 du 6 janvier 1978 impose le recueil d’un consentement préalable avant de procéder à des opérations de lecture ou d’écriture sur l’équipement terminal (ordinateur, téléphone, etc.) de la personne concernée. Toute action visant à stocker des informations ou à accéder à des informations stockées dans l’équipement terminal d’un abonné ou d’un utilisateur est en principe soumise à cette exigence. Ces mêmes dispositions prévoient des exceptions à cette obligation pour les opérations, soit ayant pour finalité exclusive de permettre ou faciliter la communication par voie électronique, soit strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. Ces dispositions ont été interprétées par la CNIL dans ses lignes directrices et sa recommandation du 17 septembre 2020 (délibérations nos 2020-091 et 2020-092 du 17 septembre 2020).
78. A titre liminaire, la formation restreinte rappelle, que si les lignes directrices et la recommandation de la Commission du 17 septembre 2020 (délibérations susvisées) n’ont certes pas de caractère impératif, elles visent à interpréter les dispositions législatives applicables et à éclairer les acteurs sur les mesures concrètes permettant de garantir le respect des dispositions légales, afin qu’ils mettent en œuvre ces mesures ou des mesures d’effet équivalent. En ce sens, il est précisé dans les lignes directrices que celles-ci " ont pour objet principal de rappeler et d’expliciter le droit applicable aux opérations de lecture et/ou d’écriture d’informations […] dans l’équipement terminal de communications électroniques de l’abonné ou de l’utilisateur, et notamment à l’usage des témoins de connexion ". Dès lors, la formation restreinte rappelle qu’elle retient, à l’encontre du mis en cause, un manquement aux obligations découlant de l’article 82 de la loi Informatique et Libertés et non aux lignes directrices et recommandations, qui ne constituent pas un élément légal d’incrimination mais offrent un éclairage pertinent pour apprécier comment respecter les obligations prévues par les législateurs européen et français.
79. En premier lieu, s’agissant des cookies publicitaires, la formation restreinte rappelle que, n’étant pas des traceurs ayant pour finalité de permettre ou faciliter la communication par voie électronique, et n’étant pas strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur, ceux-ci ne peuvent être déposés ou lus sur le terminal de la personne, conformément à l’article 82 de la loi Informatique et Libertés, tant qu’elle n’a pas fourni son consentement. Cette solution a été adoptée par une jurisprudence constante du Conseil d’Etat (CE, 14 mai 2024, n° 472221 point 5 ; CE, 27 juin 2022, n° 451423, points 26 et 27 ; CE, 28 janvier 2022, n° 449209 points 18 et 19).
80. La formation restreinte observe qu’au cours du contrôle réalisé sur le site web " shein.com " le 10 août 2023, les cookies publicitaires " _pinterest_ct_ua ", " pin_unauth " et " muc_ads " ont été déposés sur le terminal de la délégation sans recueil préalable du consentement, ce que ne conteste pas la société.
81. La formation restreinte considère qu’en permettant, au jour du contrôle en ligne, le dépôt et la lecture de ces cookies publicitaires sur le terminal de l’utilisateur, lors de son arrivée sur le site web " shein.com ", sans recueillir préalablement son consentement, la société INFINITE STYLES SERVICE CO. LIMITED a méconnu les obligations de l’article 82 de la loi Informatique et Libertés modifiée, les cookies et autres traceurs à finalité publicitaire ne faisant pas partie des cookies exemptés de consentement au titre de l’article précité. Elle rappelle par ailleurs que depuis 2020, elle a déjà rendu publiques plusieurs sanctions à l’encontre d’organismes déposant des cookies publicitaires avant tout recueil du consentement de l’utilisateur, ce que la société ne pouvait donc pas ignorer (délibération n° SAN-2020-012 du 7 décembre 2020 validée par le Conseil d’État dans sa décision n° 44209 du 28 janvier 2022 ; délibération n° SAN-2020-013 du 7 décembre 2020 validée par le Conseil d’État dans sa décision n° 451423 du 27 juin 2022).
82. En deuxième lieu, la formation restreinte observe qu’il ressort du contrôle en ligne du 10 août 2023 qu’après avoir fermé plusieurs fenêtres surgissantes apparaissant sur la page d’arrivée, les cookies " no_pop_up_fr ", " hideCoupon ", " hideCouponId_time ", " hideCouponWithRequest ", " revisit_canshow ", mais également le cookie " have_show ", lequel est déposé après un court laps de temps, sont également déposés sur le terminal de l’utilisateur du site web " shein.com ", et ce avant toute interaction avec le bandeau relatif aux cookies.
83. La formation restreinte note qu’il résulte des éléments fournis par la société les 7 septembre et 2 novembre 2023, ainsi que de la politique de confidentialité dans sa version accessible au jour du contrôle, que ces cookies permettent d’enregistrer l’information selon laquelle l’utilisateur a interagi avec une fenêtre surgissante publicitaire afin qu’elle ne lui soit plus proposée pendant une certaine période (par exemple, 10 minutes, 30 jours). A l’expiration de cette période prédéfinie, la fenêtre surgissante publicitaire sera de nouveau présentée à l’utilisateur lors de sa navigation sur le site web " shein.com ".
84. Ces cookies ont pour objectif de limiter le nombre de présentation d’un contenu publicitaire à un même utilisateur (cet objectif est souvent décrit comme du " capping " publicitaire ou " plafonnement publicitaire "). Ils ne rentrent dès lors pas dans les exceptions au consentement. Au surplus la formation restreinte rappelle que le dépôt de ces cookies, dès lors qu’ils concourent à la finalité plus large de la publicité en ligne, est soumis au recueil préalable du consentement de l’utilisateur.
85. Elle rappelle que la CNIL a déjà communiqué sur la nécessite de recueillir le consentement des utilisateurs pour ce type de cookies, notamment au travers de sa FAQ " Questions-réponses sur les lignes directrices modificatives et la recommandation " cookie et autres traceurs " publiée sur son site web le 30 septembre 2020 (question 33), laquelle précise que " dans de nombreux cas, des traceurs nécessitant le consentement de l’utilisateur sont utilisés afin de mesurer la performance de la publicité (par exemple des cookies de " capping ", de mesure de l’audience publicitaire ou encore de lutte contre la fraude au clic). " En outre, la formation restreinte rappelle également avoir déjà sanctionné, compte tenu de l’absence de consentement, le dépôt de cookies dont elle considérait qu'ils permettaient certes de lutter contre la fraude, mais qu’ils s’inscrivaient aussi, à l’instar des cookies de plafonnement, dans une finalité plus large de publicité (délibération SAN-2022-023 du 19 décembre 2022, paragraphes 51 à 53).
86. Par conséquent, la formation restreinte considère qu’en déposant les cookies de plafonnement publicitaire sur le terminal de l’utilisateur sans recueillir au préalable son consentement, la société a méconnu les dispositions de l’article 82 de la loi Informatique et Libertés.
87. En troisième lieu, s’agissant du cookie intitulé " cookieId ", la formation restreinte rappelle que les cookies de " A/B testing " (qui consiste à présenter deux versions d’un site web variant légèrement à deux groupes d’utilisateurs pour évaluer les impacts de cette variation) peuvent être exemptés du recueil du consentement lorsqu’ils ont pour finalité exclusive de réaliser des statistiques sur l’utilisation du site, dans les conditions précisées par la CNIL dans sa délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices en matière de cookies, aux termes de laquelle " ces mesures sont dans de nombreux cas indispensables au bon fonctionnement du site ou de l’application et donc à la fourniture du service. En conséquence, la Commission considère que les traceurs dont la finalité se limite à la mesure de l’audience du site ou de l’application, pour répondre à différents besoins (mesure des performances, détection de problèmes de navigation, optimisation des performances techniques ou de l’ergonomie, estimation de la puissance des serveurs nécessaires, analyse de contenus consultés, etc.) sont strictement nécessaires au fonctionnement et aux opérations d’administration courante d’un site web ou d’une application et ne sont donc pas soumis, en application de l’article 82 de la loi " Informatique et Libertés ", à l’obligation légale de recueil préalable du consentement de l’internaute. Afin de se limiter à ce qui est strictement nécessaire à la
fourniture du service, la Commission souligne que ces traceurs doivent avoir une finalité strictement limitée à la seule mesure de l’audience sur le site ou l’application pour le compte exclusif de l’éditeur. Ces traceurs ne doivent notamment pas permettre le suivi global de la navigation de la personne utilisant différentes applications ou naviguant sur différents sites web " (§50 et 51). Par ailleurs, dans sa délibération n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation en matière de cookies, la Commission recommande que " la durée de vie des traceurs soit limitée à une durée permettant une comparaison pertinente des audiences dans le temps, comme c’est le cas d’une durée de treize mois […] " (§50).