La CNIL a récemment prononcé une nouvelle sanction en matière de cookies et autres traceurs, qui s’inscrit dans le cadre de son plan d’action lancé après la publication, en octobre 2020, de ses nouvelles lignes directrices. Bien qu’une période de transition avait été accordée aux éditeurs de sites internet pour se conformer aux exigences de la CNIL, celle-ci intensifie depuis avril 2021 ses actions répressives à l’encontre des contrevenants.
La société objet de la sanction est la société Les Publications Condé Nast, acteur majeur de la presse française, publiant des magazines tels que Vanity Fair, Vogue, GQ ou encore AD, en versions papier et numérique. Selon les données publiques, son chiffre d’affaires net s’élevait, en 2022, à 47 millions d’euros pour un résultat net de 3,6 millions et, en 2023, à 26,4 millions d’euros pour un résultat net de 855.000 euros.
L’affaire trouve son origine dans une plainte déposée en décembre 2019 par l’association NOYB qui dénonçait le dépôt de cookies publicitaires sur vanityfair.fr sans consentement préalable des utilisateurs. Entre 2020 et 2021, la CNIL avait mené plusieurs contrôles en ligne ainsi qu’une audition de la société, ce qui a conduit, après une mise en demeure, à la clôture de la procédure en juillet 2022, laissant ainsi supposer que la non-conformité de la société avait été régularisée.
Une nouvelle plainte de NOYB a toutefois relancé les contrôles de la CNIL, et les inspections de 2023 et 2025 ont révélé plusieurs manquements à savoir :
- Dépôt de cookies sans consentement préalable : la CNIL a constaté que des cookies publicitaires étaient déposés sur le terminal des utilisateurs dès leur arrivée sur le site, avant toute interaction avec le bandeau de consentement.
- Information trompeuse sur la finalité des cookies : certains cookies étaient présentés comme « strictement nécessaires », alors qu’ils servaient en réalité à des finalités publicitaires ou de suivi, sans que les utilisateurs soient correctement informés.
- Mécanismes de refus et de retrait du consentement défaillants : même après avoir cliqué sur « Tout refuser » ou retiré leur consentement, des cookies continuaient d’être déposés ou lus sur le terminal des utilisateurs.
Face à l’accumulation de ces manquements et malgré une mise en demeure antérieure, la formation restreinte de la CNIL a estimé que les obligations légales n’avaient pas été respectées et a prononcé une sanction de 750.000 euros à l’encontre de la société Condé Nast.
Le montant de l’amende a été déterminé en tenant compte de :
- La mise en demeure précédente de 2021, qui aurait dû inciter la société à se mettre en conformité ;
- La multiplicité des manquements constatés ; et
- Le nombre important d’utilisateurs concernés, compte tenu de la popularité du site internet.
Cette décision s’inscrit dans une stratégie plus large de fermeté menée par la CNIL envers les éditeurs de sites internet et plateformes de grande audience.
Pour les éditeurs de sites web, cette amende rappelle que la CNIL adopte désormais une politique stricte et proactive. Le non-respect des recommandations ou obligations relatives aux cookies expose à des sanctions importantes et rendues publiques, ce qui constitue un facteur supplémentaire que la CNIL prend en compte pour justifier ses décisions. Dans sa décision, la CNIL a en effet précisé que la société Condé Nast ne pouvait ignorer les sanctions précédemment prononcées, notamment les Délibérations SAN-2020-012 et SAN-2020-013 du 7 décembre 2020.