Cookies, consentement et données pseudonymisées : le Conseil d'État confirme une sanction CNIL de 40 M€
Le Conseil d'État, par un arrêt du 4 mars 2026 (n° 482872), rejette le recours d'une société de publicité ciblée contre la sanction de 40 millions d'euros prononcée par la CNIL le 15 juin 2023. L'arrêt fixe des principes clairs : pseudonymiser un identifiant lié à une adresse IP ne l'anonymise pas, et retirer son consentement interdit à l'opérateur de recycler les données au nom de l'intérêt légitime.
Pseudonyme ≠ anonyme. Une donnée n'est anonyme que si le risque de réidentification est insignifiant — un effort démesuré en temps, coût et main-d'œuvre serait nécessaire pour retrouver la personne. En l'espèce, l'identifiant pseudonymisé était associé à l'adresse IP, à la géolocalisation, à l'identifiant du terminal, aux identifiants des partenaires et à l'historique de navigation.
Les faits
L'affaire concerne une société spécialisée dans la publicité personnalisée sur internet. Son modèle économique repose sur le reciblage publicitaire (retargeting) : des cookies déposés sur les sites partenaires permettent de suivre le parcours des internautes et de leur afficher des publicités correspondant à leurs centres d'intérêt supposés.
Le modèle du reciblage publicitaire
Lorsqu'un internaute visite un site e-commerce et consulte un produit sans l'acheter, un cookie enregistre cette visite. Quand l'internaute se rend ensuite sur un autre site du réseau, le système le reconnaît grâce au cookie et lui affiche une publicité pour le produit consulté. C'est le principe du reciblage.
Ce modèle repose sur une collecte massive de données : plus de 370 millions d'identifiants étaient traités dans l'Union européenne. Chaque identifiant était associé à de nombreuses informations : adresse IP, géolocalisation approximative, identifiant du terminal (ordinateur, smartphone, tablette), identifiants des sites partenaires, historique de navigation.
La procédure devant la CNIL
La formation restreinte de la CNIL, organe de sanction de l'autorité, a rendu sa délibération le 15 juin 2023. Elle a constaté des manquements à six articles du RGPD et prononcé une amende de 40 millions d'euros, représentant environ 2 % du chiffre d'affaires mondial de l'entreprise pour l'exercice 2022.
La délibération a également ordonné la publication de la décision pendant deux ans, ce qui constitue une sanction complémentaire en termes d'image.
Le recours devant le Conseil d'État
La société a formé un recours devant le Conseil d'État, juridiction compétente pour contrôler les décisions de la CNIL. Elle contestait la qualification de données personnelles, la caractérisation des manquements et le montant de l'amende.
Le Conseil d'État, statuant en chambres réunies — ce qui témoigne de l'importance de l'affaire — a rejeté le recours le 4 mars 2026.
Ce que le Conseil d'État fixe
L'arrêt du 4 mars 2026 apporte des précisions importantes sur plusieurs points du RGPD, notamment la distinction entre pseudonymisation et anonymisation, les conditions du consentement et l'articulation entre les différentes bases légales de traitement.
La qualification des données : pseudonyme n'est pas anonyme
Le premier argument de la société était que les données traitées n'étaient pas des données personnelles. L'identifiant utilisé était en effet un code alphanumérique, sans nom ni prénom. La société soutenait que cette pseudonymisation rendait les données anonymes et donc hors du champ du RGPD.
Le Conseil d'État écarte cet argument en rappelant la définition des données personnelles (article 4, 1° du RGPD) : toute information se rapportant à une personne physique identifiée ou identifiable. Une personne est identifiable dès lors qu'elle peut être identifiée, directement ou indirectement, notamment par référence à un identifiant.
Le critère de l'effort de réidentification. Une donnée n'est véritablement anonyme que si le risque de réidentification est insignifiant, c'est-à-dire si identifier la personne derrière la donnée nécessiterait un effort démesuré en temps, en coût et en main-d'œuvre. Ce n'était manifestement pas le cas ici.
En l'espèce, l'identifiant pseudonymisé était associé à de nombreux éléments permettant de retrouver la personne : l'adresse IP (qui peut être reliée à un abonnement internet), la géolocalisation, l'identifiant du terminal, les identifiants des sites partenaires et l'historique de navigation. Le croisement de ces éléments rendait la réidentification non seulement possible mais relativement aisée.
Le consentement : preuve et révocabilité
L'article 7 du RGPD impose au responsable de traitement de pouvoir démontrer que la personne concernée a donné son consentement. Le Conseil d'État confirme que cette exigence n'était pas satisfaite : la société ne disposait pas de preuves suffisantes des consentements recueillis par ses partenaires.
Plus fondamentalement, l'arrêt précise les conséquences du retrait du consentement. Lorsqu'une personne retire son consentement, le responsable de traitement ne peut pas « basculer » sur une autre base légale, notamment l'intérêt légitime, pour continuer à utiliser les données collectées sous le régime du consentement.
Pas de basculement après refus. Ce qui n'a pu être collecté que sur la base du consentement ne peut pas ensuite être traité sur une autre base légale. Le retrait du consentement coupe toute possibilité de traitement, quelle que soit la base invoquée.
L'information et l'accès aux données
Les articles 12 et 13 du RGPD imposent de fournir aux personnes concernées une information claire, compréhensible et accessible sur le traitement de leurs données. L'article 15 leur garantit un droit d'accès aux données les concernant.
Le Conseil d'État confirme les manquements constatés par la CNIL sur ces deux points. L'information fournie aux internautes était insuffisante, et les demandes d'accès n'étaient pas traitées dans les conditions prévues par le règlement.
L'effacement après retrait du consentement
L'article 17 du RGPD consacre le droit à l'effacement (« droit à l'oubli »). Lorsqu'une personne retire son consentement, le responsable de traitement doit effacer les données, sauf s'il dispose d'une autre base légale — ce qui n'était pas le cas ici.
Le Conseil d'État confirme que la société continuait à utiliser des données après le retrait du consentement, en violation de l'article 17. Le simple fait de ne plus utiliser « activement » les données ne suffit pas : elles doivent être effectivement supprimées.
La responsabilité conjointe avec les partenaires
L'article 26 du RGPD organise la responsabilité conjointe : lorsque deux responsables de traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont responsables conjoints. Ils doivent conclure un accord définissant leurs obligations respectives.
En l'espèce, la société et ses partenaires (les sites sur lesquels les cookies étaient déposés) étaient responsables conjoints. L'accord conclu entre eux ne répondait pas aux exigences de l'article 26 : il ne définissait pas clairement les obligations de chacun, notamment en matière de recueil et de gestion du consentement.
| Grief | Solution du Conseil d'État |
|---|---|
| Qualification des données | Restent personnelles malgré le pseudonyme (RGPD art. 4, 1°) |
| Consentement (art. 7) | Doit pouvoir être démontré. Le retrait coupe toute base |
| Intérêt légitime après refus | Écarté : ce qui n'a pu être collecté que par consentement ne bascule pas |
| Information (art. 12-13) et accès (art. 15) | Manquements confirmés |
| Effacement (art. 17) | Pas d'usage actif après retrait ne suffit pas |
| Responsables conjoints (art. 26) | Accord insuffisant avec les partenaires |
| Quantum 40 M€ | Jugé proportionné. Pas d'obligation de chiffrer chaque critère de l'art. 83 |
Le montant de l'amende
La société contestait le montant de l'amende, estimant qu'elle n'était pas proportionnée et que la CNIL n'avait pas suffisamment motivé sa décision au regard des critères de l'article 83 du RGPD (nature, gravité et durée de la violation, caractère intentionnel, mesures prises pour atténuer le dommage, etc.).
Le Conseil d'État rejette cet argument. Il juge que la CNIL n'est pas tenue de chiffrer l'impact de chaque critère dans le calcul de l'amende. Il suffit que la décision soit motivée et que le montant soit proportionné à la gravité des manquements et à la situation de l'entreprise.
En l'espèce, 40 millions d'euros représentaient environ 2 % du chiffre d'affaires mondial, soit un niveau significatif mais conforme aux plafonds du RGPD (4 % du CA mondial ou 20 millions d'euros pour les violations les plus graves).
Ce que cela change pour une TPE ou un site vitrine
L'affaire concerne un acteur majeur de la publicité en ligne, avec des centaines de millions d'identifiants traités. Mais les principes posés par le Conseil d'État s'appliquent à toute entreprise, quelle que soit sa taille.
La même grille pour tous
Le RGPD ne distingue pas selon la taille de l'entreprise. Les obligations sont les mêmes pour une multinationale et pour un artisan avec un site vitrine. Ce qui change, c'est le risque encouru : le plafond de l'amende est un pourcentage du chiffre d'affaires, donc une TPE ne risque pas 40 millions d'euros.
En revanche, le principe reste identique : un identifiant interne associé à une adresse IP est une donnée personnelle. Google Analytics, les pixels Meta, les régies publicitaires suivent la même logique : si le consentement est la seule base légale possible, son retrait met fin au traitement.
Ce qui reste une donnée personnelle
Un identifiant pseudonymisé associé à une IP, un identifiant de terminal, un historique de navigation, une géolocalisation approximative. Le croisement de ces éléments permet la réidentification.
Ce qui n'est pas une donnée personnelle
Des statistiques agrégées véritablement anonymisées (nombre de visites par jour, répartition géographique par région sans détail), des données techniques brutes sans possibilité de relier à un individu.
Les points de vigilance pour un site classique
L'arrêt du Conseil d'État rappelle des exigences que tout responsable de traitement doit respecter, y compris une TPE avec un site vitrine :
- Le bandeau cookies — pas de dépôt de traceurs publicitaires avant le « oui » explicite de l'internaute. Le refus doit être aussi simple que l'acceptation
- La preuve du consentement — le responsable de traitement doit pouvoir démontrer que l'internaute a consenti. Un registre des consentements est recommandé
- L'arrêt réel après le « non » — si l'internaute refuse ou retire son consentement, plus aucun traceur publicitaire ne doit fonctionner. Les données déjà collectées doivent être supprimées
- Le contrat avec l'agence ou la régie — si un prestataire dépose des cookies au nom du site, un accord écrit doit définir les responsabilités de chacun (article 26 RGPD)
Google Analytics, pixels Meta et régies publicitaires
Ces outils déposent des cookies et collectent des données personnelles. Si le seul fondement juridique possible est le consentement (ce qui est généralement le cas pour les traceurs publicitaires), les principes de l'arrêt s'appliquent :
- Pas de traceur avant consentement — le script ne doit pas s'exécuter tant que l'internaute n'a pas cliqué sur « accepter »
- Désactivation immédiate en cas de refus — si l'internaute refuse ou retire son consentement, le traceur doit cesser de fonctionner
- Pas de basculement vers l'intérêt légitime — si le consentement est retiré, le site ne peut pas invoquer son « intérêt légitime » pour continuer le tracking
RGPD et facturation électronique : deux régimes distincts. Les recommandations de la CNIL sur la protection des données dans le cadre de la facturation électronique répondent à une problématique différente. Les données de facturation sont traitées sur la base d'une obligation légale, pas du consentement. Les principes de l'arrêt sur les cookies ne s'y transposent pas directement.
Questions fréquentes
Les cookies strictement nécessaires au fonctionnement du site (authentification, panier d'achat, préférences de langue) ne nécessitent pas de consentement. En revanche, il faut documenter pourquoi ils sont strictement nécessaires et ne pas les utiliser à d'autres fins (analyse, publicité).
La responsabilité conjointe de l'article 26 du RGPD peut s'appliquer. Le site et le prestataire déterminent ensemble les finalités et les moyens du traitement. Un accord écrit définissant les obligations de chacun n'est pas un luxe, c'est une obligation. Sans cet accord, le site est co-responsable des manquements du prestataire.
Non. Le plafond des amendes RGPD est un pourcentage du chiffre d'affaires mondial (4 % pour les violations les plus graves) ou un montant fixe (20 millions d'euros), le plus élevé étant retenu. Pour une PME, le pourcentage sera souvent plus pénalisant que le montant fixe. La CNIL module l'amende en fonction de la gravité et de la situation de l'entreprise. Le principe, lui, est le même quelle que soit la taille.
Le responsable de traitement doit pouvoir démontrer que la personne a consenti. En pratique : enregistrer la date et l'heure du consentement, l'identifiant de la session, les choix effectués (quels traceurs acceptés ou refusés), la version du bandeau présentée. Les solutions de gestion des cookies (CMP) proposent généralement cette fonctionnalité.
Conseil d'État, 4 mars 2026, n° 482872. Les conclusions sont disponibles sur le site du Conseil d'État. La délibération de la CNIL du 15 juin 2023 est publiée sur le site de la CNIL.
Le pseudonyme n'éteint pas le RGPD
L'enseignement central de l'arrêt : pseudonymiser n'est pas anonymiser. Tant que la réidentification reste possible sans effort démesuré, les données restent personnelles et le RGPD s'applique intégralement. Le seul moyen de sortir du champ du règlement est l'anonymisation véritable, c'est-à-dire une impossibilité pratique de retrouver la personne.
Les implications pour la conformité
L'arrêt du Conseil d'État vient renforcer la jurisprudence sur la protection des données. Il s'inscrit dans un mouvement plus large de durcissement du contrôle des traceurs publicitaires, tant au niveau français qu'européen.
La chaîne de responsabilité
L'affaire met en lumière la complexité des écosystèmes publicitaires en ligne. Entre l'éditeur du site, la régie publicitaire, les partenaires technologiques et les annonceurs, la chaîne de responsabilité est parfois difficile à établir.
L'article 26 du RGPD impose aux responsables conjoints de conclure un accord transparent. En cas de manquement, chacun peut être sanctionné pour sa part de responsabilité. Le site qui laisse un prestataire déposer des cookies sans accord formalisé prend un risque.
L'audit de conformité
À la lumière de cet arrêt, tout responsable de site devrait vérifier :
- Le bandeau cookies — est-il conforme aux recommandations de la CNIL (refus aussi simple qu'acceptation, pas de « continuer sans accepter » qui valide les cookies) ?
- Le registre des consentements — les preuves de consentement sont-elles conservées et exploitables ?
- Les contrats prestataires — les accords de responsabilité conjointe sont-ils en place avec les régies, les solutions de mesure d'audience, les outils marketing ?
- La politique de confidentialité — l'information fournie est-elle claire, complète et accessible ?
- Les procédures d'exercice des droits — les demandes d'accès, de rectification, d'effacement sont-elles traitées dans les délais ?
L'essentiel à retenir
Le Conseil d'État confirme la sanction de 40 millions d'euros prononcée par la CNIL contre une société de publicité ciblée. L'arrêt fixe des principes applicables à tous les responsables de traitement : un pseudonyme n'est pas un anonymat, le retrait du consentement interdit tout traitement ultérieur, et les responsables conjoints doivent formaliser leurs obligations.
- CE, 4 mars 2026, n° 482872 — recours rejeté
- Pseudonyme + IP + géolocalisation + historique = donnée personnelle
- Retrait du consentement = fin de tout traitement
- Pas de basculement vers l'intérêt légitime après refus
- Accord article 26 obligatoire entre responsables conjoints
- 40 M€ jugés proportionnés (2 % du CA mondial)
Références
- Conseil d'État — conclusions n° 482872 (4 mars 2026)
- CNIL — sanctions
- RGPD, articles 4, 7, 12, 13, 15, 17, 26, 83
Site, boutique, régie pub ?
On relit le bandeau, le registre et le contrat prestataire. Un pseudonyme n'éteint pas le RGPD.
Contact : 06 20 19 39 91 · jennyferlouison@blaec.fr
- Facturation électronique : recommandations CNIL sur la protection des données
- Piratage DGFiP : le Sénat pointe les fragilités structurelles
- Logiciel de gestion financière : revendication de fuite de données comptables
- Accessibilité produits et services : directive 2019/882
- Rapport Tracfin 2025 : déclarations de soupçon et fraude