AgentPublic/cnil huggingface dataset:
rappelle que les analyses d’impact relatives à la protection des données (AIPD) des fichiers consultés (s’agissant notamment de l’AIPD relative à la copie nationale du "SIS" ou "N-SIS" ) devront être complétées.
 
B. La consultation biométrique du SIS lors de contrôles et vérifications d’identité
 
Les règlements (UE) 2018/1861 et 2018/1862 (règlements "SIS" ) autorisent l’interrogation du SIS à partir de données biométriques.
 
Le projet de loi modifie les dispositions du CPP relatives aux contrôles et vérifications d’identité. Il prévoit que, dans le cadre d’un contrôle ou d’une vérification, lorsque l’identité déclarée fait l’objet d’une concordance positive à la suite d’une recherche alphanumérique dans le "SIS" et que le signalement afférent contient des empreintes digitales ou des photographies, les agents mentionnés au premier alinéa de l’article 78-2 du CPP peuvent collecter les empreintes ou photographies de la personne contrôlée en vue de confirmer son identité.
La CNIL considère que ces évolutions, qui résultent des règlements susmentionnés, sont de nature à réduire les erreurs liées aux homonymies qui peuvent avoir des conséquences importantes pour les personnes.
S’agissant de la procédure de vérification d’identité, les dispositions l’article 78-3 du CPP en vigueur autorisent déjà la collecte de données biométriques dans ce cadre, soit après que l’intéressé a refusé ou s’est trouvé dans l’impossibilité de justifier de son identité lors d’un contrôle. La collecte de ces données n’est alors possible que si la personne maintient son refus de justifier de son identité ou fournit des éléments d'identité manifestement inexacts, après autorisation du procureur de la République ou du juge d’instruction.
Au regard de ces éléments, la CNIL s’interroge sur la nécessité de modifier les dispositions du CPP pour prévoir la collecte de données biométriques, en vérification d’identité, aux fins de consultation du SIS. Elle prend acte de l'engagement du ministère de supprimer toute mention de la procédure de vérification.
 
Par ailleurs, le projet de loi prévoit qu’en cas de refus de se prêter au recueil des empreintes digitales ou de la photographie, afin de lever un doute sur la présence de l’intéressé dans le SIS, les dispositions du CPP relatives aux vérifications d’identité (article 78-3, précité) sont applicables. La personne contrôlée serait placée en retenue pour vérification, y compris lorsqu’elle aurait justifié de son identité lors du contrôle.
La CNIL s’interroge sur l’équilibre ménagé entre l’objectif poursuivi et les libertés des personnes contrôlées, dès lors que celles-ci ont justifié de leur identité et qu’il ne s’agit que de lever un doute sur la présence de la personne dans le SIS. L’évolution projetée porterait une atteinte forte non seulement au droit au respect de la vie privée, mais aussi à la liberté d’aller et venir des personnes contrôlées, alors même qu’il est déjà loisible aux officiers de police judiciaire en charge des contrôles, en fonction des circonstances de l’espèce et des informations contenues dans le SIS, de décider des mesures appropriées.
 
C. La consultation biométrique du SIS et du CIR lors de contrôles aux frontières
 
Le projet de loi modifie les dispositions du CESEDA pour permettre, lors des contrôles aux frontières, l’interrogation du SIS et du CIR à partir des empreintes digitales et de la photographie.
 
S’agissant du SIS, le projet de loi renvoie aux dispositions des règlements "SIS" qui concernent la consultation biométrique du système à des fins d’authentification et d’identification. En l’état, le projet de loi permettrait donc la collecte des données biométriques de tous les voyageurs, dans la mesure où le SIS est systématiquement interrogé pour les contrôles aux frontières.
Néanmoins, il ressort des précisions apportées que les empreintes digitales et photographies seront collectées dans les seuls cas où une recherche alphanumérique préalable a abouti à un résultat positif.
 
La CNIL estime que le projet de loi devrait préciser que les données biométriques pourront être collectées dans cette seule hypothèse. Elle prend acte de l’engagement du ministère de modifier le projet en ce sens.
 
S’agissant du CIR, les règlements (UE) 2019/817 et 2019/818 (règlements "interopérabilité" ) fixent une liste limitative de circonstances dans lesquelles ce module peut être consulté par un service de police, à des fins d’identification (doute quant à l’identité d’une personne ou l’authenticité du document de voyage, par exemple). Cette interrogation se présente comme une faculté, dont les Etats membres peuvent se saisir en prenant des "mesures législatives nationales" . Ces mesures doivent indiquer les finalités précises de l’identification (parmi celles visées par les règlements), désigner les services de police compétents, et fixer les procédures, les conditions et les critères relatifs à ces contrôles.
Le projet de loi devrait être précisé en ce sens, le cas échéant en renvoyant à un décret qui devrait, compte tenu de la nature du traitement, être soumis à la CNIL.
Au regard de l’ensemble des évolutions projetées, la collecte d’empreintes digitales et de photographies concernera les seules personnes pour lesquelles une recherche alphanumérique révèle qu’elles sont signalées dans le SIS ainsi que les étrangers pour lesquels l’une des conditions énumérées par les règlements "interopérabilité" est remplie.
 
Des mesures devront être prises pour garantir que les agents chargés des contrôles aux frontières collectent des données biométriques dans ces seules hypothèses et, ainsi, ne recueillent pas systématiquement ce type de données.
Enfin, le projet de loi prévoit des sanctions pénales en cas de refus de se prêter au recueil des empreintes digitales et de prise de photographie. Il s’agit des mêmes sanctions que celles prévues pour les étrangers contrôlés à l'occasion d’un franchissement de la frontière alors qu’ils ne remplissent pas les conditions d'entrée.
 
La CNIL souligne que les conséquences du refus de se prêter au recueil de données biométriques pour l’interrogation du SIS ou du CIR devront être strictement proportionnées à l’objectif poursuivi.
 
D. La consultation biométrique des systèmes d’information européens lors de contrôles du droit au séjour
 
Le projet de loi modifie les dispositions du CESEDA pour permettre, lors des contrôles du droit au séjour, l’interrogation biométrique du SIS, du CIR, du VIS et de l’EES à partir des empreintes digitales et de la photographie.
 
a) La consultation du SIS et du CIR
En premier lieu, il ressort des documents transmis par le ministère que la consultation biométrique du SIS ne pourra avoir lieu qu’à la suite d’une interrogation alphanumérique préalable ayant abouti à un résultat positif.
La CNIL prend acte que le projet de loi sera précisé en ce sens.
 
En second lieu, elle réitère ses observations quant aux précisions que doivent apporter les dispositions nationales autorisant la consultation du CIR (v. supra, §§19-20).
 
b) La consultation du VIS et de l’EES
 
Le projet de loi autorise la collecte de données biométriques, dans le cadre de contrôles du droit au séjour, pour consulter le VIS dans les conditions prévues par les articles 19 et 20 du règlement (UE) 767/2008. Ces dispositions prévoient la consultation du VIS :
à partir du numéro de la vignette visa, seul ou en combinaison avec les empreintes digitales, pour vérifier l’identité de la personne ou contrôler le visa ou le droit au séjour de cette dernière (art. 19) ;
à partir des empreintes digitales, en vue d’identifier toute personne qui ne remplit pas ou plus les conditions d'entrée ou de séjour sur le territoire, ou en cas d’échec ou de doute à la suite de la recherche effectuée dans les conditions prévues par l’article 19 (art. 20).
 
Le projet de loi prévoit également la consultation biométrique de l’EES, dans les conditions prévues par les articles 26 et 27 du règlement (UE) 2017/2226. Ces dispositions prévoient :
la possibilité de faire des recherches à partir de la photographie ou des empreintes digitales, à la suite d’une recherche alphanumérique ayant abouti à un résultat positif, en vue de vérifier l’identité du ressortissant de pays tiers ou si les conditions d’entrée et de séjour sont remplies (art. 26) ;
des recherches à partir des empreintes digitales, seules ou en combinaison avec la photographie, pour identifier un ressortissant de pays tiers susceptible d’avoir été enregistré précédemment dans l’EES sous une identité différente, ou qui ne remplit pas ou plus les conditions d’entrée ou de séjour, ou en cas d’échec ou de doute à la suite de la recherche prévue par l’article 26 (art. 27).
 
La CNIL souligne que la consultation du VIS et de l’EES prévue par le projet de loi devra respecter les conditions prévues par les règlements européens pour les différents cas d’usage.
 
c) Les suites en cas de refus
 
Lorsque, après avoir présenté son titre de séjour ou visa, la personne contrôlée refuse de se prêter au recueil de ses empreintes digitales ou de sa photographie, les dispositions du CESEDA relatives à la vérification du droit de circulation et de séjour sont applicables.
 
La CNIL estime que la personne contrôlée ne devrait se voir demander une vérification complémentaire à partir de ses empreintes digitales ou de sa photographie qu’en cas de doute sur son identité ou son droit au séjour.
 
 
 
La présidente,
 
 
M.-L. Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, MM. Bertrand du MARAIS et Didier KLING, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2025-1154 QPC du 8 août 2025 du Conseil constitutionnel ; 
Vu les décisions n° 2023-179C du 26 juin 2023 et 2025-045C du 4 février 2025 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 14 octobre 2024 ;
Vu le rapport de Monsieur Fabien TARISSAN, commissaire rapporteur, du 18 juillet 2025, notifié à la société le 21 juillet 2025 ;
Vu les observations écrites de la société LES PUBLICATIONS CONDE NAST reçues le 12 septembre 2025 ;
Vu la clôture de l’instruction notifiée à la société LES PUBLICATIONS CONDE NAST le 6 octobre 2025 ;
Vu les observations orales formulées lors de la séance de la formation restreinte du 6 novembre 2025 ;
Vu les autres pièces du dossier ; 
Étaient présents, lors de la séance de la formation restreinte du 6 novembre 2025 :
- Monsieur Fabien TARISSAN, commissaire, entendu en son rapport ;
En qualité de représentants de la société LES PUBLICATIONS CONDE NAST :
- […]
La société LES PUBLICATIONS CONDE NAST ayant été informée de son droit de garder le silence sur les faits qui lui étaient reprochés et ayant eu la parole en dernier ;
Le vice-président ayant vérifié l’identité des représentants de la société mise en cause, a présenté le déroulé de la séance, rappelé que les représentants peuvent, s’ils le souhaitent, garder le silence ou présenter des observations orales introductives ou en réponse aux questions des membres de la formation restreinte et demandé à [...], directeur juridique de la société, si, comme proposé par son conseil, il renonçait expressément à la présence d’un interprète et s’il acceptait que ses propos soient traduits par son avocat, Maître [...], ce qu’il a accepté. 
Après en avoir délibéré, la formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société LES PUBLICATIONS CONDE NAST (la société) est une société par actions simplifiée, dont le siège social se situe 91-93 rue de Richelieu à Paris (75002). 
2. La société a pour activités principales l’édition de revues et périodiques et la régie publicitaire. Elle édite en particulier quatre titres de presse qui sont à la fois des magazines papiers et des sites de presse en ligne : VANITY FAIR, VOGUE, GQ et AD. La société édite en particulier le site " vanityfair.fr " depuis 2013, lequel a reçu environ 7 430 000 de visiteurs, dont plus de 6 millions en France entre les mois de juin et d’octobre 2023.
3. Pour 2022, le chiffre d’affaires net de la société en France était de 47 555 947 euros pour un résultat net de 3 637 770 euros. Au 31 décembre 2023, la société employait 173 salariés et son chiffre d’affaires net en France s’élevait à 26 461 390 euros pour un résultat net de 855 227 euros. 
4. Entre 2019 et 2021, à la suite d’une plainte déposée par l’association NOYB, de nombreux échanges ont eu lieu entre la Commission nationale de l’informatique et des libertés (CNIL) et la société concernant sa politique relative aux cookies et sa mise en œuvre. Dans ce cadre, trois contrôles en ligne et une audition de la société ont eu lieu entre 2020 et 2021, en application de la décision n° 2020-038C du 27 décembre 2019 de la présidente de la CNIL. A l’issue de ces échanges, la CNIL a rappelé à la société ses obligations en matière de cookies le 12 juin 2021. Un nouveau contrôle en ligne sur le site " vanity.fr " a été réalisé le 11 août 2021, à l’issue duquel la présidente de la CNIL a mis la société en demeure, le 13 septembre 2021, de recueillir le consentement des utilisateurs avant tout dépôt sur leur terminal de cookies non exemptés. Le 11 juillet 2022, la présidente de la CNIL a prononcé la clôture avec observations la procédure de contrôle n° 2020-038C.
5. Les 19 juillet et 9 novembre 2023, en application de la décision n° 2023-179C de la présidente de la CNIL consécutive à une nouvelle plainte de l’association NOYB, deux contrôles en ligne du domaine " vanity.fr " ont été réalisés. Ils visaient à vérifier le respect par la société des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (loi Informatique et Libertés) et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD). Les procès-verbaux de contrôle ont été notifiés à la société les 21 juillet et 10 novembre 2023. Des éléments complémentaires ont été communiqués par la société à la délégation de contrôle les 18 août 2023, 19 janvier et 9 février 2024.
6. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 14 octobre 2024, désigné Monsieur Fabien TARISSAN en qualité de rapporteur sur le fondement de l’article 22 de la loi du 6 janvier 1978.
7. Le 11 février 2025, sur décision n° 2025-045C de la présidente de la CNIL prise en application de l’article 39 du décret n° 2019-536 du 29 mai 2019 et sur demande du rapporteur, un nouveau contrôle en ligne du site web " https://www.vanityfair.fr " a été réalisé par une délégation de la CNIL. Le procès-verbal a été notifié le 12 février 2025 à la société, qui a transmis des éléments de réponse complémentaires à la délégation de contrôle le 10 mars 2025. 
8. Le 21 juillet 2025, a été notifié à la société un rapport détaillant le manquement reproché à l’article 82 de la loi Informatique et Libertés, proposant qu’une amende administrative soit prononcée par la formation restreinte et que la décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
9. Le 12 septembre 2025, la société a produit des observations en réponse au rapport de sanction. 
10. Le 6 octobre 2025, le rapporteur a, en application de l’article 40-III du décret du 29 mai 2019, informé la société que l’instruction était close. 
11. Le même jour, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 6 novembre 2025. 
12. A l’issue de la procédure contradictoire écrite, le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur le traitement en cause et la détermination du responsable de traitement
13. Le paragraphe 7 de l’article 4 du RGPD - qui s’applique en raison du renvoi fait par l’article 2 de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2006/24/CE du 15 mars 2006 et par la directive 2009/136/CE du 25 novembre 2009 (directive " ePrivacy ") à l’ancienne directive 95/46/CE à laquelle s’est substitué le RGPD - prévoit que le responsable de traitement est " la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ".
14. En l’espèce, le traitement en cause est relatif au dépôt et à la lecture de cookies sur le terminal des utilisateurs résidant en France lors de la navigation sur le nom de domaine " vanityfair.fr ". 
15. La formation restreinte relève que la politique de confidentialité de la société accessible pour tous les utilisateurs depuis le domaine " vanityfair.fr " mentionne : " Condé Nast est le responsable de traitement de vos données et à ce titre, définit d’une part la manière dont vos données personnelles sont recueillies et d’autre part les finalités de traitement de vos données ", ce que la société reconnaît.
16. Au vu de ce qui précède, la formation restreinte considère que la société agit en qualité de responsable du traitement relatif au dépôt et à la lecture de cookies sur le terminal des utilisateurs du site web https://www.vanityfair.fr.
B. Sur le manquement aux obligations en matière de cookies
17. Les règles régissant l’utilisation, par un service de communications électroniques, des cookies et autres traceurs sur les équipements terminaux utilisés dans l’Union européenne sont fixées à l’article 5, paragraphe 3, de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du 25 novembre 2009.
18. Ces règles ont été transposées en droit français à l’article 32, paragraphe II, de la loi Informatique et Libertés, devenu l’article 82 depuis la réécriture de cette loi par l’ordonnance n° 2018-1125 du 12 décembre 2018. Celui-ci prévoit que " Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :
1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
2° Des moyens dont il dispose pour s’y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :
1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l’utilisateur ".
19. La formation restreinte note que le rapporteur a identifié quatre branches au manquement aux obligations en matière de cookies qu’il estime constitué. Il convient donc d’examiner successivement ces quatre branches.
1. Sur le dépôt de cookies sans le consentement et avant toute action de l’utilisateur
20. Il ressort des dispositions précitées que les opérations d’accès ou d’inscription d’informations dans le terminal d’un utilisateur qui n’entrent pas dans le champ des exemptions prévues à l’article 82 de la Loi Informatique et Libertés, ne peuvent avoir lieu qu’après que ce dernier a exprimé son consentement.
21. En l’espèce, le rapporteur relève que la délégation de contrôle a, le 9 novembre 2023, constaté le dépôt sur son terminal, sans son consentement préalable, d’un cookie NID n’entrant pas dans le champ des exemptions susvisées, dès son arrivée sur le site web et avant toute action de sa part. Il considère que cette opération d’inscription qui a eu lieu avant le recueil du consentement, constitue un manquement à l’article 82 de la loi Informatique et Libertés.
22. En défense, la société ne conteste pas que ce cookie est soumis au recueil préalable du consentement des utilisateurs du site web, ni l’avoir déposé sans avoir préalablement obtenu leur consentement, avant toute action de leur part. Elle indique que cette action est due à une erreur technique et avoir procédé à des corrections pour supprimer ce cookie de son site le 12 janvier 2024.
23. La formation restreinte relève que, lors du contrôle en ligne, la délégation a constaté le dépôt d’un cookie NID qui a pour finalité de faciliter la connexion de l’utilisateur et permet de stocker ses préférences lorsqu’un compte Google est utilisé. Ce cookie n’est pas strictement nécessaire à la fourniture du service en ligne et n’a pas pour finalité exclusive de permettre ou faciliter la communication par voie électronique. 
24. La formation restreinte rappelle que, n’étant ni des traceurs ayant pour finalité de permettre ou faciliter la communication par voie électronique, ni n’étant strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur, les cookies publicitaires ne peuvent être déposés ni lus sur le terminal de la personne, conformément à l’article 82 de la loi Informatique et Libertés, tant qu’elle n’a pas fourni son consentement. Elle a rendu publiques plusieurs sanctions à l’encontre d’organismes déposant des cookies publicitaires avant tout recueil du consentement de l’utilisateur, ce que la société ne pouvait pas ignorer, en particulier s’agissant du cookie NID (délibération n° SAN-2020-012 du 7 décembre 2020 points 99 et 100, validée par le Conseil d’État dans sa décision n° 44209 du 28 janvier 2022 ; délibération n° SAN-2020-013 du 7 décembre 2020 validée par le Conseil d’État dans sa décision n° 451423 du 27 juin 2022).