AgentPublic/cnil huggingface dataset:
126. Or, dans la mesure où l’utilisateur a exprimé sans la moindre ambiguïté sa volonté de ne pas voir des cookies inscrits et/ou lus sur le terminal, le fait que des cookies soumis au consentement continuent d’être lus et que des cookies supplémentaires soient malgré tout déposés après qu’il a fermé les fenêtres surgissantes a pour effet de priver d’effectivité le choix exprimé par l’utilisateur. Ainsi, le mécanisme mis en place par la société était défaillant au jour du contrôle dès lors que la société a procédé à des opérations d’écriture et/ou lecture de cookies sur le terminal de l’utilisateur malgré son refus. Ces faits constituent, selon la formation restreinte, un manquement à l’article 82 de la loi Informatique et Libertés modifiée.
127. Au demeurant, la formation restreinte rappelle qu’elle a déjà sanctionné des organismes qui ne rendaient pas effectif le choix exprimé par les utilisateurs en matière de cookies (délibération n°SAN-2021-013 du 27 juillet 2021 et délibération n°SAN-2023-024 du 29 décembre 2023).
128. La formation restreinte relève que la société a pris des mesures au cours de la procédure permettant de mettre fin au manquement constaté. Elle considère, dès lors, qu’il n’y a pas lieu de prononcer une injonction de mise en conformité, comme initialement proposé par le rapporteur.
4.  Sur l’obligation d’assurer l’effectivité du retrait du consentement de l’utilisateur au dépôt et à la lecture de cookies sur son terminal
129. En droit, la loi Informatique et Libertés prévoit expressément que, dès lors qu’elles n’entrent pas dans le champ des exceptions mentionnées aux deux derniers alinéas de l’article 82, les opérations d’accès ou d’inscription d’informations dans le terminal d’un utilisateur ne peuvent avoir lieu qu’après que ce dernier a exprimé son consentement.
130. Ces dispositions, telles qu’interprétées de manière constante par la Commission depuis sa recommandation relative aux cookies et autres traceurs du 5 décembre 2013 (délibération no 2013-378) et, en tout dernier lieu, dans sa recommandation du 17 septembre 2020 (délibération n°2020-092 du 17 septembre 2020), impliquent non seulement que les personnes concernées donnent leur consentement à l’accès ou à l’inscription d’informations dans leur terminal, mais également que celles ayant donné leur consentement soient en mesure de le retirer de manière simple et à tout moment.
131. Dans une décision du 29 décembre 2023, la formation restreinte a ainsi expressément rappelé que, " si l’article 82 de la loi Informatique et Libertés conditionne le dépôt de cookies au consentement de l’abonné ou de l’utilisateur, il offre nécessairement, de manière corrélative, le droit à l’intéressé de retirer son consentement et de revenir ainsi sur son choix d’accepter que des cookies soient déposés sur son terminal " (CNIL, FR, 29 décembre 2023, Sanction, SAN-2023-024, publié).
132. Le rapporteur relève qu’il ressort des constatations réalisées par la délégation sur le site web " shein.com " que, malgré le retrait du consentement, les cookies déposés ont continué d’être lus et que des cookies supplémentaires soumis au consentement ont été déposés. À titre d’exemple, il indique à la société que pour rendre effectif le retrait du consentement des utilisateurs, celle-ci peut notamment modifier la durée de vie du cookie pour l’indiquer comme expiré. Dans le cadre de la procédure contradictoire écrite, le rapporteur observe ensuite que la société s’est mise en conformité en cours de procédure sur ce point.
133. En défense, la société soutient que l’absence de recueil du consentement et l’absence d’effectivité du retrait du consentement constituent un manquement unique qui ne peut pas être sanctionné deux fois par la formation restreinte.
134. La société considère en outre que, au jour du contrôle, aucun cookie soumis au consentement ne continuait d’être lu après le retrait du consentement, à l’exception des cookies publicitaires à l’égard desquels elle a déjà reconnu une erreur. S’agissant des cookies de plafonnement publicitaire et du cookie de mesure d’audience non exempté, la société rappelle considérer qu’ils ne sont pas soumis au consentement, de sorte que la lecture de ces cookies malgré le retrait du consentement ne constitue pas un manquement au titre de l’article 82 de la loi Informatique et Libertés modifiée. Elle soutient enfin que les mesures visées par le rapporteur pour rendre effectif le retrait du consentement ne permettent pas de se conformer à l’article susvisé puisqu’elles impliquent nécessairement que le cookie soit lu afin de modifier ses caractéristiques.
135. A titre liminaire, la formation restreinte distingue, d’une part, l’absence de recueil préalable du consentement de l’utilisateur avant de déposer des cookies soumis à consentement sur son terminal et, d’autre part, l’absence d’effectivité du retrait du consentement. La formation restreinte considère qu’il s’agit de deux obligations distinctes trouvant certes toutes deux leur origine dans l’article 82 de la loi Informatique et Libertés mais s’appliquant à des phases différentes du parcours utilisateur. En outre, contrairement à ce que soutient la société, un non-respect de la première obligation – recueillir le consentement avant le dépôt de cookies – n’entraine pas nécessairement la défaillance de la seconde, s’assurer que les cookies ne sont plus lus lorsque le consentement est retiré. En effet, un mécanisme de retrait du consentement pourrait être tout à fait effectif quand bien même, à l’origine, les cookies auraient été déposés illégalement.
136. La formation restreinte rappelle que les opérations d’accès ou d’inscription d’informations sur le terminal de l’utilisateur sont, en tant que telles (et sauf exceptions), expressément prohibées par l’article 82 de la loi Informatique et Libertés, en l’absence de consentement de la personne concernée. Cet article vise en effet " toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans [un] équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ". Il prévoit que " ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement ".
137. Elle relève que cette interprétation des dispositions de l’article 82 de la loi Informatique et Libertés concernant le droit et les modalités de retrait du consentement de l’utilisateur converge avec les dispositions du 3 de l’article 7 du RGPD, qui constituent une source d’inspiration concernant l’application des dispositions de l’article 82 de la loi Informatique et Libertés, tout comme les lignes directrices n° 5/2020 sur le consentement au sens du RGPD adoptées le 4 mai 2020 par le Comité européen de la protection des données (ci-après : " CEPD ").
138. Elle rappelle sur ce point que le 3 de l’article 7 du RGPD dispose que : " La personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement " et que, dans les lignes directrices du RGPD précitées, le CEPD indique que : " La personne concernée devrait également être en mesure de retirer son consentement sans subir de préjudice. Cela signifie, entre autres, qu’un responsable du traitement doit proposer la possibilité de retirer son consentement gratuitement ou sans entraîner la diminution du niveau de service " (point 114).
139. En l’espèce, la formation restreinte relève que, lors du contrôle en ligne du 10 août 2023, la délégation a effectué des constatations en plusieurs étapes afin de vérifier le respect par la société de son obligation d’assurer l’effectivité du retrait du consentement. Elle a d’abord accepté les cookies via le bandeau relatif aux cookies et constaté le dépôt sur son terminal de 75 cookies, puis procédé au retrait de son consentement via la plateforme de gestion du consentement et constaté la présence de 85 cookies sur son terminal, en enregistrant l’ensemble des requêtes http dans des fichiers " HAR ". La délégation a ensuite vérifié la présence dans un fichier " HAR " d’opérations de lecture des cookies après le retrait du consentement.
140. S’agissant des opérations de lecture après le retrait du consentement, la formation restreinte relève qu’il ressort d’un fichier " HAR " compilé par la délégation que les cookies publicitaires, les cookies de plafonnement publicitaire et le cookie de mesure d’audience non exempté déposés illégalement lors de l’accès au site web, continuent d’être lus dans le navigateur puisqu’ils apparaissent dans des requêtes http envoyées vers le domaine " shein.com ".
141. S’agissant des opérations d’écriture après le retrait du consentement, la formation restreinte relève que 10 cookies supplémentaires étaient en outre déposés sur le terminal de l’utilisateur après ce retrait, parmi lesquels des cookies poursuivant une finalité publicitaire déposés par " .shein.com " (dont les cookies " _uetsid " et " _uetvid ") et des tiers (comme le cookie " MUID " déposé par le nom de domaine " .bing.com "), pour lesquels le consentement de l’utilisateur est nécessaire à leur dépôt.
142. La formation restreinte considère que le dépôt, sur les terminaux des utilisateurs, de nouveaux cookies publicitaires tiers, alors même qu’ils ont retiré leur consentement (et en l’absence de tout nouveau consentement), est particulièrement grave. En effet, par cette pratique, la société ne tient pas compte du choix des utilisateurs et va permettre, au contraire, le dépôt de nouveaux cookies sur leurs terminaux par des tiers alors même que les utilisateurs s’attendent à ce que plus aucun cookie non exempté n’y soit déposé, ayant exprimé un choix clair en la matière.
143. En réponse à l’argument de la société selon lequel le dépôt sans consentement et l’ineffectivité du mécanisme de retrait constitueraient un seul et même manquement, la formation restreinte rappelle qu’elle a considéré que le mécanisme de recueil du consentement des utilisateurs était défaillant dans la mesure où la société déposait des cookies sur le terminal de l’utilisateur avant même qu’ils puissent exprimer leur choix. Elle note ensuite que, même dans l’hypothèse où la société collectait leur consentement, elle ne se conformait toujours pas à ses obligations car elle n’offrait pas à ses utilisateurs un mécanisme de retrait du consentement effectif puisque des cookies non exemptés continuent d’être lus après ce retrait. La formation restreinte considère qu’il s’agit ici de deux pratiques distinctes engendrant des manquements à deux branches différentes de l’article 82 de la loi Informatique et Libertés.
144. Dès lors, au vu de ce qui précède, la formation restreinte considère qu’en procédant à des opérations de dépôt et de lecture d’informations dans l’équipement terminal de communications électroniques de l’utilisateur après le retrait de son consentement, la société méconnait les dispositions de l’article 82 de la loi Informatique et Libertés.
145. Enfin, s’agissant des modalités techniques permettant d’assurer l’effectivité du retrait du consentement, et en réponse à l’argument de la société relatif à l’impossibilité de se mettre en conformité sur le retrait du consentement, la formation restreinte relève que des solutions techniques existent et que la CNIL a pris soin de préciser, dans sa recommandation du 17 septembre 2020, que " pour que le retrait du consentement soit effectif, il peut être nécessaire de mettre en place des solutions spécifiques pour garantir l’absence de lecture ou d’écriture des traceurs précédemment utilisés ". Une première solution peut consister à modifier la date d’expiration du cookie, qui a pour conséquence de ne plus permettre la lecture du cookie en cause une fois l’action réalisée. Même si le cookie ne sera supprimé qu’à la fermeture du navigateur, ce dernier empêche la lecture du cookie par les requêtes réseaux émises puisqu’il est considéré comme non valide. A défaut de pouvoir modifier les paramètres des cookies déposés par des domaines tiers, une autre solution peut consister à bloquer les requêtes http vers ces domaines tiers appelés afin de s’assurer qu’aucune opération de lecture ne soit réalisée depuis son site.
146. Concernant d’abord les cookies liés au domaine " shein.com " qui continuaient d’être lus après le retrait du consentement, la formation restreinte considère que la société, qui maîtrise l’ensemble des opérations réalisées à partir des cookies liés au domaine " shein.com ", pouvait implémenter sans difficulté l’une des mesures susvisées pour assurer l’effectivité du retrait du consentement de l’utilisateur.
147. Concernant ensuite les cookies déposés par des tiers, la formation restreinte rappelle que, selon le Conseil d’Etat, " les éditeurs de site qui autorisent le dépôt et l'utilisation [… de] " cookies " par des tiers à l'occasion de la visite de leur site doivent également être considérés comme responsables de traitement, alors même qu'ils ne sont pas soumis à l'ensemble des obligations qui s'imposent au tiers qui a émis le " cookie ", notamment lorsque ce dernier conserve seul la maitrise du respect de sa finalité ou de sa durée de conservation. Au titre des obligations qui pèsent sur l'éditeur de site dans une telle hypothèse, figurent celle de s'assurer auprès de ses partenaires qu'ils n'émettent pas, par l'intermédiaire de son site, des " cookies " qui ne respectent pas la règlementation applicable en France et celle d'effectuer toute démarche utile auprès d'eux pour mettre fin à des manquements " (CE, 10ème et 9ème CR, 6 juin 2018, n° 412589, Rec.). Ainsi, même si la société n’avait pas la possibilité d’assurer elle-même la suppression des cookies tiers, il lui appartenait de mettre en œuvre les mesures nécessaires afin de s’assurer de l’arrêt de réalisation de nouvelles requêtes à des domaines tiers depuis le site web " shein.com ", une fois le consentement de l’utilisateur retiré et de porter à la connaissance de ses partenaires le fait qu’une fois son consentement retiré par l’utilisateur, les cookies qu’ils avaient déposés sur son terminal à l’occasion de sa
visite sur le site " shein.com " devaient être retirés. La formation restreinte rappelle avoir déjà sanctionné un organisme qui n’avait pas effectué ces vérifications auprès de ses partenaires (délibération SAN-2024-019 du 14 novembre 2024 §99 et 100).
148. Il résulte de ce qui précède qu’en continuant à réaliser, sur le terminal de l’utilisateur, des opérations de lecture et d’écriture soumises au consentement de l’intéressé, malgré le retrait de ce consentement, la société a commis un manquement aux dispositions de l’article 82 de la loi Informatique et Libertés.
149. La formation restreinte prend toutefois acte du fait que la société a cessé en cours de procédure d’envoyer des requêtes contenant l’identifiant des cookies vers des domaines tiers ne permettant plus leur lecture depuis son site et que le manquement n’est plus en cours au jour de la présente délibération. Si la société n’est responsable que des opérations de lecture effectuées depuis son site, la formation restreinte considère qu’il conviendrait que la société appelle l’attention de ses partenaires sur le fait que le consentement aux cookies dont ils sont responsables a été retiré.
III. Sur les mesures correctrices et leur publicité
150. Aux termes de l’article 20-IV de la loi n° 78-17 du 6 janvier 1978 modifiée, " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
151. 2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans les cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 euros par jour de retard à compter de la date fixée par la formation restreinte ;
152. 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
153. L’article 83 du RGPD prévoit en outre que " chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
154. L’article 22, alinéa 2 de la loi Informatique et Libertés dispose ensuite que " la formation restreinte peut rendre publique les mesures qu’elle prend ".
155. Le considérant 150 du RGPD prévoit que " lorsque des amendes administratives sont imposées à une entreprise, ce terme doit, à cette fin, être compris comme une entreprise conformément aux articles 101 et 102 du traité sur le fonctionnement de l'Union européenne ".
156. Les lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement 2016/679 précisent que la notion d’entreprise doit s’entendre comme " une unité économique pouvant être formée par la société mère et toutes les filiales concernées. Conformément au droit et à la jurisprudence de l’Union, il y a lieu d’entendre par entreprise l’unité économique engagée dans des activités commerciales ou économiques, quelle que soit la personne morale impliquée ".
157. Dans un arrêt du 5 décembre 2023 (CJUE, grande chambre, C-807/21), la CUJE a considéré, s’agissant de la notion d’ " entreprise " qu’" ainsi que l’a relevé M. l’avocat général au point 45 de ses conclusions, c’est dans ce contexte spécifique du calcul des amendes administratives imposées pour des violations visées à l’article 83, paragraphes 4 à 6, du RGPD qu’il y a lieu d’appréhender le renvoi, effectué au considérant 150 de ce règlement, à la notion d’" entreprise ", au sens des articles 101 et 102 TFUE. À cet égard, il convient de souligner que, aux fins de l’application des règles de la concurrence, visées par les articles 101 et 102 TFUE, cette notion comprend toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement. Elle désigne ainsi une unité économique même si, du point de vue juridique, cette unité économique est constituée de plusieurs personnes physiques ou morales. Cette unité économique consiste en une organisation unitaire d’éléments personnels, matériels et immatériels poursuivant de façon durable un but économique déterminé (arrêt du 6 octobre 2021, Sumal, C 882/19, EU:C:2021:800, point 41 et jurisprudence citée). Ainsi, il ressort de l’article 83, paragraphes 4 à 6, du RGPD, qui vise le calcul des amendes administratives pour les violations énumérées dans ces paragraphes, que, dans le cas où le destinataire de l’amende administrative est ou fait partie d’une entreprise, au sens des
158. Cette position a été confirmée par la Cour dans son arrêt du 13 février 2025 (CJUE, cinquième chambre, C-383/23).
A. Sur le prononcé d’une amende administrative et son montant
1.  Sur le prononcé d’une amende administrative
159. Le rapporteur propose à la formation restreinte de prononcer à l’encontre de la société une amende administrative au regard du manquement constitué à l’article 82 de la loi Informatique et Libertés.
160. En défense, la société soutient que l’ensemble des critères énoncés à l’article 83 du RGPD doit être apprécié pour déterminer s’il y a lieu de prononcer une amende. Elle fait valoir que le rapporteur a uniquement pris en compte trois de ces critères et estime qu’il les a appréciés de manière erronée. Elle conteste la volumétrie de 20 millions de visites en provenance du territoire français entre janvier et juillet 2023, retenue par le rapporteur, au motif que plusieurs visites ont été effectuées par un même utilisateur. Elle considère, qu’en moyenne, ce sont 12 millions de visiteurs uniques localisés en France qui ont visités le site web " shein.com " chaque mois, entre janvier et juillet 2023. Elle considère également que le manquement allégué n’a causé aucun dommage aux utilisateurs. Elle rappelle avoir procédé à une mise en conformité avant même la réception du rapport du rapporteur. Elle considère enfin que le rapporteur n’a pas démontré qu’elle avait tiré un avantage financier du manquement allégué.
161. A titre liminaire, la formation restreinte rappelle que l’exigence de motivation d’une sanction administrative n’impose ni à la formation restreinte, ni au rapporteur de se prononcer sur l’ensemble des critères prévus à l’article 83 du RGPD, et qu’elle n’implique pas non plus que soient indiqués les éléments chiffrés relatifs au mode de détermination du montant de la sanction proposée ou prononcée (CE, 10e/9e, 19 juin 2020, n° 430810 ; CE, 10e/9e, 14 mai 2024, n° 472221).
162. La formation restreinte considère qu’en l’espèce, le rapporteur a fait apparaître de façon claire et détaillée les éléments lui ayant permis d’apprécier la gravité avérée du manquement retenu. La société a pu se défendre au regard de ces éléments.
163. Ceci étant rappelé, la formation restreinte considère qu’il convient, en l’espèce, d’examiner les critères pertinents de l’article 83 du RGPD pour décider s’il y a lieu d’imposer une amende administrative aux sociétés et, le cas échéant, pour déterminer son montant.
164. En premier lieu, la formation restreinte considère qu’il y a lieu de tenir compte, en application de l’article 83, paragraphe 2, a) du RGPD, de la nature, de la gravité et de la durée des violations, compte tenu de la nature, de la portée ou de la finalité des traitements concernés, ainsi que du nombre de personnes concernées affectées.
165. La formation restreinte rappelle qu’au jour du contrôle, la société traitait les données de ses utilisateurs à leur insu, en déposant sur leurs terminaux, et ce sans leur consentement, des cookies pourtant soumis au recueil préalable du consentement. Elle rappelle également l’absence d’effectivité, au jour du contrôle, des mécanismes de refus et de retrait du consentement proposés par la société à ses utilisateurs, ceux-ci n’empêchant pas les opérations d’écriture et de lecture de cookies sur les terminaux. Ainsi, même lorsque les utilisateurs effectuaient un choix sur les cookies, celui-ci n’était pas respecté. La formation restreinte rappelle également que lorsque la société recueillait le consentement des utilisateurs au dépôt de cookies sur leurs terminaux, celui-ci n’était pas libre et éclairé, notamment parce qu’ils n’étaient pas informés de l’identité des sociétés qui déposaient des cookies publicitaires sur leurs terminaux. La formation restreinte considère, qu’au jour du contrôle en ligne, les pratiques de la société constituaient une atteinte substantielle au droit au respect à la vie privée des personnes concernées.
166. Il en résulte pour la formation restreinte que les carences de la société en matière de recueil, de refus et de retrait du consentement, ne permettaient pas à l’utilisateur de comprendre raisonnablement l’ampleur des opérations qui étaient effectuées sur son terminal.