AgentPublic/cnil huggingface dataset:
25. Par conséquent, la formation restreinte considère qu’en déposant le cookie NID sur le terminal des utilisateurs avant toute interaction avec le bandeau cookies, la société, qui ne conteste pas la réalité des faits reprochés, a méconnu les dispositions de l’article 82 de la Loi Informatique et Libertés relatives à l’obligation d’obtention préalable du consentement de l’utilisateur. La circonstance que le dépôt du cookie NID avant toute action de la part de l’utilisateur serait dû à une erreur technique à laquelle il a été remédié le 12 janvier 2024 n’a aucune incidence sur la caractérisation du manquement.
2. Sur le manquement relatif à l’information des personnes
26. Il ressort des dispositions de l’article 82 de la loi Informatique et Libertés que les finalités des traceurs doivent être portées à la connaissance des utilisateurs avant qu’ils ne se voient offrir la possibilité d’accepter ou de refuser leur inscription ou lecture sur leur terminal.
27. En l’espèce, le rapporteur relève que l’affichage présent sur le site web " www.vanityfair.fr " relatif à " Gérer les préférences de consentement " de la bannière relative aux cookies, indique que les trois cookies ayant les finalités suivantes " mettre en correspondance et combiner des sources de données hors ligne ", " relier différents terminaux " et " recevoir et utiliser des caractéristiques d’identification d’appareil envoyées automatiquement ", apparaissent comme " toujours actifs ". Ces cookies sont associés à des " cookies strictement nécessaires au fonctionnement du site web " qui " ne peuvent pas être désactivés " selon la société. L’utilisateur est donc informé que ces cookies sont indispensables au fonctionnement du site web. Le rapporteur considère au contraire que ces cookies ne sont pas strictement nécessaires au fonctionnement du site web et que l’information délivrée aux personnes est erronée.
28. En défense, la société indique que les cookies litigieux font en réalité partie de la catégorie des " fonctionnalités " issus du Transparency and Consent Framework (TCF) de l’Internet Advertising Bureau (IAB), c’est-à-dire un standard de recueil du consentement proposé par l’association IAB. Elle précise que ces éléments ne constituent pas une finalité autonome mais une activité de traitement utilisée pour atteindre une finalité spéciale, pour laquelle l’IAB considère que l’utilisateur n’a pas à consentir et qui s’imposent à elle en raison de son adhésion au TCF. Autrement dit, la société considère qu’en étant liée par le TCF de l’IAB, elle n’a pas le pouvoir de définir les finalités des cookies de fonctionnalités identifiés par le rapporteur. La société ajoute que la Cour de justice de l’Union européenne considère que l’IAB agit en qualité de responsable conjoint du traitement effectué dans le cadre du TCF et qu’elle n’a jamais eu l’intention de tromper ses utilisateurs.
29. En l’espèce, la formation restreinte relève que la société a adopté le TCF de l’IAB qui est le standard majoritairement utilisé par les éditeurs et les autres acteurs dans le secteur de la publicité en ligne. Elle note, au vu des explications apportées par la société, que les cookies " mettre en correspondance et combiner des sources de données hors ligne ", " relier différents terminaux " et " recevoir et utiliser des caractéristiques d’identification d’appareil envoyées automatiquement " relèvent de la catégorie des fonctionnalités. Celles-ci sont utilisées pour atteindre une finalité ou une finalité spéciale et l’utilisateur ne peut pas faire un choix distinct de celui relatif à la finalité ou à la finalité spéciale associée. La formation restreinte relève également que, dans le cadre de l’utilisation du TCF, les éditeurs sont tenus de respecter toutes les règles énoncées dans le cadre de celui-ci sans pouvoir modifier, notamment, les finalités et les fonctionnalités au risque de s’exposer à une exclusion de l’usage du TCF (CJUE, 7 mars 2024, C-604/22, IAB c/ Gegevensbeschermingsautoriteit). A supposer que l’adhésion au TCF ait constitué une contrainte professionnelle pour la société, il n’en demeure pas moins que l’information transmise à l’utilisateur restait insuffisante dans la mesure où elle ne renvoyait pas vers les règles de l’IAB. Ainsi, dans ces conditions, le manquement est constitué pour le passé.
3. Sur l’obligation d’assurer l’effectivité du refus par l’utilisateur du dépôt et de la lecture de cookies sur son terminal 
30. En droit, il résulte des dispositions de l’article 82 de la loi Informatique et Libertés qu’à l’exception des deux exemptions prévues, un responsable de traitement ne peut, par principe, légalement déposer des cookies ou autres traceurs sur le terminal d’un utilisateur qui en a refusé la lecture ou l’écriture. 
31. Par ailleurs, ces dispositions, telles qu’interprétées de manière constante par la Commission et, en tout dernier lieu, dans ses lignes directrices n° 2020-091 et sa recommandation n° 2020-092 du 17 septembre 2020, impliquent que les personnes ayant donné leur consentement au dépôt ou à la lecture des cookies doivent être en mesure de le retirer simplement à tout moment (en ce sens, CNIL, FR, 29 décembre 2023, Sanction, SAN-2023-024, publié).
32. En l’espèce, le rapporteur relève qu’en suivant le mécanisme de refus proposé à partir du bandeau cookies, via le bouton " personnaliser " renvoyant à l’interface de paramétrage de la politique de cookies, des cookies soumis à consentement préalable étaient néanmoins déposés sur le terminal de l’utilisateur, à la fois au moment du refus mais aussi ultérieurement, au cours de la navigation.
33. En défense, la société confirme le dépôt de cookies malgré le refus de tous les cookies par l’utilisateur. Elle considère que l’un des cookies a été déposé en raison d’un paramétrage incorrect et a été désactivé en deux semaines. Elle indique pour un deuxième cookie qu’il avait également été désactivé rapidement et n’aborde pas le cas du troisième cookie identifié par le rapporteur.
34. La formation restreinte note qu’après avoir cliqué sur le bouton " tout refuser " de l’interface de paramétrage de la politique de cookies, la délégation a constaté le 19 juillet 2023 la présence sur son navigateur du cookie " _dd_s " ayant pour finalité de regrouper tous les événements générés sur plusieurs pages à partir de la session d’un utilisateur afin d'améliorer les performances de la bibliothèque d'annonces. De même, elle a constaté le 9 novembre 2023, la présence du cookie " NID " ayant pour finalité de faciliter la connexion de l’utilisateur et de stocker ses préférences lorsqu’un compte Google est utilisé. Or, comme exposé précédemment, le dépôt de cookies pour ces finalités publicitaires est soumis au consentement préalable de l’utilisateur, ce que ne conteste pas la société.
35. La formation restreinte relève encore qu’outre le maintien du cookie " _dd_s ", la délégation a constaté le 19 juillet 2023 au cours de la navigation l’enregistrement du cookie " cneplayercount " dont la finalité consiste à analyser l’activité d’un utilisateur pour déterminer le nombre de vidéos qu’il a regardées au cours d’une navigation. Ce cookie n’est donc pas non plus exempté de l’exigence de recueil du consentement préalable de l’utilisateur, ce que ne conteste pas la société.
36. La formation restreinte considère que le mécanisme de refus des cookies doit être effectif. Ainsi, en déposant sur le terminal de l’utilisateur des cookies soumis au recueil préalable de son consentement après que celui-ci a clairement exprimé son refus, la société ne tient pas compte de son choix, et trompe son consentement en permettant le traçage de sa navigation alors même qu’il peut légitimement croire que ses données ne seront pas collectées.
37. Par conséquent et tout en prenant acte des corrections que la société indique avoir réalisées, la formation restreinte estime qu’elle a méconnu les dispositions de l’article 82 de la loi Informatique et Libertés relatives au dépôt de cookies soumis au consentement préalable de l’utilisateur, alors même qu’il a exprimé son refus. 
 
4. Sur l’obligation d’assurer l’effectivité du retrait du consentement de l’utilisateur au dépôt et à la lecture de cookies sur son terminal
38. En droit, les opérations d’accès ou d’inscription d’informations sur le terminal de l’utilisateur sont, en tant que telles (et sauf exceptions), expressément prohibées par l’article 82 de la loi Informatique et Libertés, en l’absence de consentement de la personne concernée. Cet article vise en effet " toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans [un] équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ". Il prévoit que " ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement ".
39. Ces dispositions, telles qu’interprétées de manière constante par la Commission depuis sa recommandation relative aux cookies et autres traceurs du 5 décembre 2013 (délibération n° 2013-378) et, en tout dernier lieu, dans sa recommandation du 17 septembre 2020 (délibération n° 2020-092 du 17 septembre 2020), impliquent non seulement que les personnes concernées donnent leur consentement à l’accès ou à l’inscription d’informations dans leur terminal, mais également que celles ayant donné leur consentement soient en mesure de le retirer de manière simple et à tout moment. Dans une décision du 29 décembre 2023, la formation restreinte a ainsi expressément rappelé que, " si l’article 82 de la loi Informatique et Libertés conditionne le dépôt de cookies au consentement de l’abonné ou de l’utilisateur, il offre nécessairement, de manière corrélative, le droit à l’intéressé de retirer son consentement et de revenir ainsi sur son choix d’accepter que des cookies soient déposés sur son terminal " (CNIL, FR, 29 décembre 2023, Sanction, SAN-2023-024, publié).
40. Cette interprétation converge avec les dispositions du 3 de l’article 7 du RGPD, qui constituent une source d’inspiration concernant l’application des dispositions de l’article 82 de la loi Informatique et Libertés, tout comme les lignes directrices n° 5/2020 sur le consentement au sens du RGPD adoptées le 4 mai 2020 par le Comité européen de la protection des données (CEPD).
41. Ainsi, le 3 de l’article 7 du RGPD dispose que : " La personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement " et que, dans les lignes directrices du RGPD précitées, le CEPD indique que : " La personne concernée devrait également être en mesure de retirer son consentement sans subir de préjudice. Cela signifie, entre autres, qu’un responsable du traitement doit proposer la possibilité de retirer son consentement gratuitement ou sans entraîner la diminution du niveau de service " (point 114).
42. En l’espèce, le rapporteur relève que, lors du contrôle en ligne du 11 février 2025, la délégation a constaté que la société procédait à des opérations de lecture d’informations dans le terminal de l’utilisateur après que celui-ci a accepté dans un premier temps des opérations de lecture et d’écriture puis retiré son consentement en continuant sa navigation sur le site.
43. En défense, la société ne conteste pas ces faits, mais fait valoir concernant le cookie CN_xid_refresh avoir cessé de le déposer depuis les opérations de contrôle et, pour le cookie _ga_9C8GH73ZS1, que s’il s’affiche sur l’appareil de l’utilisateur, celui-ci a été désactivé par la société et qu’aucune donnée ne peut être ni collectée ni partagée avec la société Google.
44. La formation restreinte relève que, lors du contrôle en ligne du 11 février 2025, la délégation a effectué des constatations en plusieurs étapes afin de vérifier le respect par la société de son obligation d’assurer l’effectivité du retrait du consentement. Elle a d’abord accepté les cookies via le bandeau relatif aux cookies puis s’est rendue, via un lien hypertexte présent sur la page d’accueil, sur la page web comportant l’interface de choix relative aux cookies. Elle a alors constaté l’enregistrement de cinquante cookies sur son navigateur. Puis elle a procédé au retrait de son consentement en cliquant sur le bouton " Tout refuser " de l’interface de choix et constaté l’effacement de douze cookies et le maintien de trente-huit cookies sur son terminal, en enregistrant l’ensemble des requêtes http dans un fichier " HAR ". La délégation a ensuite vérifié la présence dans un fichier " HAR " d’opérations de lecture des cookies après le retrait du consentement.
45. S’agissant des opérations de lecture après le retrait du consentement, la formation restreinte relève qu’il ressort du fichier " HAR " compilé par la délégation que, parmi les trente-huit cookies maintenus, continuent d’être lus dans le navigateur le cookie " CN_xid_refresh " qui permet le suivi global de la navigation de l’utilisateur et le cookie " _ga_9C8GH73ZS1 ", qui compte au nombre des cookies identifiés par la société Google comme faisant partie des cookies " Google Analytics ", lesquels apparaissent dans des requêtes http envoyées vers le domaine " vanityfair.fr ".
46. La formation restreinte note que ces cookies font partie des cookies internes dits " first party ", associés au domaine " vanityfair.fr ", chargés sur la page " vanityfair.fr ".
47. Dès lors, au vu de ce qui précède, la formation restreinte considère qu’en procédant à des opérations de lecture d’informations dans l’équipement terminal de communications électroniques de l’utilisateur après le retrait de son consentement, la société méconnait les dispositions de l’article 82 de la loi Informatique et Libertés.
48. S’agissant plus particulièrement du cookie " _ga_9C8GH73ZS1 ", la formation restreinte relève que si la société indique qu’aucune requête réseau ne pouvait être effectuée pour envoyer des données aux serveurs de Google, les scripts associés ayant été désactivés, il ressort de l’instruction que les données continuent d’être associées aux requêtes envoyées vers le domaine de la société, et donc lues par la société, sans qu’elle justifie d’aucune finalité exemptée à ce titre. La formation restreinte souligne que la société avait déjà été mise en demeure en 2021 de ne plus recourir aux cookies provenant du service " Google Analytics " sans le consentement de l’utilisateur.
49. S’agissant des modalités techniques permettant d’assurer l’effectivité du retrait du consentement, la formation restreinte relève que des solutions techniques existent et que la CNIL a pris soin de préciser, dans sa recommandation du 17 septembre 2020, que " pour que le retrait du consentement soit effectif, il peut être nécessaire de mettre en place des solutions spécifiques pour garantir l’absence de lecture ou d’écriture des traceurs précédemment utilisés ". Une solution peut consister à modifier la date d’expiration du cookie, ce qui a pour conséquence de ne plus permettre la lecture du cookie en cause une fois l’action réalisée. Même si le cookie ne sera supprimé qu’à la fermeture du navigateur, ce dernier empêche la lecture du cookie par les requêtes réseaux émises puisqu’il est considéré comme non valide.
50. Concernant les deux cookies " CN_xid_refresh " et " _ga_9C8GH73ZS1 " liés au domaine " vanityfair.fr " qui continuent d’être lus après le retrait du consentement, la formation restreinte considère que la société, qui maîtrise l’ensemble des opérations réalisées à partir des cookies liés au domaine " vanityfair.fr ", pouvait implémenter sans difficulté la mesure susvisée pour assurer l’effectivité du retrait du consentement de l’utilisateur.
51. Si la société indique avoir cessé de déposer le cookie " CN_xid_refresh " et avoir désactivé le cookie _ga_9C8GH73ZS1 pour que les données ne soient pas transmises à la société Google, il résulte de ce qui précède qu’en continuant à réaliser, sur le terminal de l’utilisateur, des opérations de lecture soumises au consentement de l’intéressé, malgré le retrait de ce consentement, la société a commis un manquement aux dispositions de l’article 82 de la loi Informatique et Libertés. 
III. Sur les mesures correctrices
52. Aux termes de l’article 20-IV de la loi n° 78-17 du 6 janvier 1978 modifiée, " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
53. 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
54. L’article 83 du RGPD, tel que visé par l’article 20, paragraphe III, de la loi Informatique et Libertés, prévoit que : " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
55. L’article 22, alinéa 2 de la loi Informatique et Libertés dispose que " la formation restreinte peut rendre publique les mesures qu’elle prend ".
A. Sur le prononcé d’une amende administrative et son montant
1. Sur le prononcé d’une amende administrative
56. En défense, la société fait valoir qu’elle reconnaît les manquements mais qu’elle a adopté des mesures tout au long de ses échanges avec la CNIL pour améliorer sa politique en matière de cookies en changeant notamment son gestionnaire de consentement et en assurant une formation à ses salariés en matière de RGPD et d’ePrivacy.
57. La formation restreinte rappelle que, pour évaluer l’opportunité de prononcer une amende, elle doit tenir compte des critères précisés à l’article 83 du RGPD tels que la nature, la gravité et la durée de la violation, la portée ou la finalité du traitement concerné, le nombre de personnes concernées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le fait que la violation a été commise par négligence, le degré de coopération avec l’autorité de contrôle, les catégories de données concernées et le niveau de dommage subi par les personnes.
58. En outre, la formation restreinte rappelle que, si l’imposition d’une amende administrative est conditionnée à l’établissement d’une violation fautive de la part de l’organisme poursuivi, cette faute peut découler d’un comportement délibéré mais également d’une négligence, en application de l’alinéa b) de l’article 83, paragraphe 2 du RGPD (CJUE, Grande Chambre, 5 décembre 2023, Deutsche Wohnen SE e.a., C-807/21 ; CJUE, Grande Chambre, 5 décembre 2023, Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos e.a., C-683/21). 
59. En premier lieu, la formation restreinte considère qu’il y a lieu de faire application du critère prévu à l’alinéa a) relatif à la gravité du manquement compte tenu de la nature, de la portée ou de la finalité du traitement, ainsi que du nombre de personnes concernées affectées et du niveau de dommage qu’elles ont subi. 
60. Elle relève des carences de la société en matière d’information, de recueil, et de prise en compte du refus et du retrait du consentement, qui ne permettaient raisonnablement pas à l’utilisateur de comprendre l’ampleur des opérations effectuées sur son terminal.
61. Ainsi, elle observe que la société a porté une atteinte grave au droit des utilisateurs de conserver la maitrise de leurs données, en traçant leur activité à leur insu via le dépôt sur leurs terminaux, sans leur consentement, de cookies ne relevant pas des exceptions mentionnées à l’article 82 de la loi Informatique et Libertés.
62. La formation restreinte considère ainsi que les pratiques de la société ont trompé le consentement des utilisateurs et sont constitutives d’une atteinte au respect de la vie privée d’un nombre important de personnes. En effet, la société a indiqué avoir reçu environ 7 430 000 visiteurs sur son site, dont plus de 6 millions en France entre les mois de juin et d’octobre 2023. 
63. Au demeurant, la formation restreinte insiste sur la durée particulièrement longue des échanges de la société avec la CNIL, qui ont débuté en 2019, soit il y a plus de cinq ans. En effet, la CNIL a réalisé trois contrôles en ligne et une audition entre 2019 et 2021 ; une mise en demeure a été prononcée en 2021 puis close en 2022. Ces procédures passées auraient dû conduire la société à se mettre en conformité avec ses obligations. Si la société a pris des mesures concrètes de mise en conformité, il n’en reste pas moins que ces mesures ne sont intervenues qu’en réponse aux sollicitations de la CNIL.
64. En deuxième lieu, la formation restreinte considère qu’il convient de faire application du critère prévu à l’alinéa b) relatif à l’intentionnalité ou non des manquements commis.
65. La formation restreinte considère que la société, éditrice de magazines en ligne, a fait preuve de négligence en ne respectant pas ses obligations au titre de l’article 82 de la loi Informatique et Libertés, qu’elle ne pouvait ignorer et qui lui avaient été rappelées notamment lors de la mise en demeure du 13 septembre 2021. Elle considère que cette négligence présente un caractère aggravé dès lors que ces règles ont été explicitées à de nombreuses reprises par la CNIL, en accompagnant les acteurs en matière de cookies depuis la publication d’une recommandation en 2013 rappelant les principes qu’il convenait de respecter en matière d’utilisation de cookies, rappelé dans ses lignes directrices de 2019. La formation restreinte souligne avoir déjà sanctionné à de nombreuses reprises des organismes pour des manquements similaires, ce que la société ne pouvait ignorer (délibération n° SAN-2020-012 du 7 décembre 2020 validée par le Conseil d’État dans sa décision n° 44209 du 28 janvier 2022 ; délibération n° SAN-2020-013 du 7 décembre 2020 validée par le Conseil d’État dans sa décision n° 451423 du 27 juin 2022). 
66. En troisième lieu, la formation restreinte considère qu’il convient de faire application du critère prévu à l’alinéa c) relatif aux mesures prises pour atténuer le dommage subi par les personnes concernées.