Par une décision du 7 octobre 2025, le Conseil d’Etat précise les pouvoirs de l’autorité nationale de contrôle en matière de gestion des traceurs informatiques. Une société de services numériques contestait une sanction pécuniaire de dix millions d’euros pour des manquements aux règles relatives aux cookies de connexion. Les services d’inspection avaient constaté en 2020 le dépôt de fichiers sans accord préalable et des difficultés manifestes pour les utilisateurs de retirer leur choix.
La formation restreinte de l’autorité administrative a prononcé cette amende par une délibération du 29 décembre 2023 après une phase d’instruction contradictoire de plusieurs mois. La société requérante a sollicité l’annulation de cet acte administratif en invoquant notamment l’incompétence de la commission et une violation du mécanisme de coopération européen.
Le litige soulève la question de l’applicabilité du système de guichet unique aux traitements transfrontaliers portant sur l’accès aux informations stockées dans les terminaux. La juridiction administrative confirme la compétence territoriale de l’organisme national et valide le montant de la sanction au regard de la particulière gravité des faits.
L’analyse de cette solution implique d’examiner d’abord la reconnaissance de la compétence de l’autorité de contrôle avant d’étudier la caractérisation des manquements relatifs au consentement.
I. L’affirmation de la compétence territoriale et matérielle de l’autorité de contrôle
A. L’extension du champ d’application de la loi nationale aux établissements locaux
Le Conseil d’Etat retient une interprétation large du critère de l’établissement pour justifier l’application de la loi nationale aux activités de la société étrangère. Il s’appuie sur le principe selon lequel un traitement est effectué « dans le cadre des activités » d’une installation stable située sur le territoire français. L’existence d’une filiale assurant la promotion de solutions publicitaires suffit à établir ce lien organique indispensable à l’exercice du pouvoir de sanction.
Cette approche fonctionnelle permet de saisir les acteurs numériques internationaux dès lors qu’ils disposent d’un relais commercial participant à la rentabilisation du service proposé. Le juge administratif s’aligne ici sur la jurisprudence européenne pour garantir une protection effective des droits fondamentaux des personnes physiques résidant en France.
B. L’éviction du mécanisme de guichet unique pour la protection des terminaux
La société requérante soutenait que seule l’autorité de contrôle irlandaise était compétente en vertu du mécanisme de guichet unique prévu par le règlement européen. Le Conseil d’Etat écarte ce moyen en soulignant que cette procédure de coopération « n’a pas été prévue pour les mesures de mise en œuvre » de la directive. Les obligations relatives aux traceurs informatiques relèvent de dispositions nationales transposant un texte européen distinct du règlement général sur la protection des données.
Le juge refuse de saisir la Cour de justice de l’Union européenne d’une question préjudicielle en raison de l’absence de doute sur l’interprétation juridique. Cette autonomie procédurale des autorités nationales assure une réaction rapide et efficace face aux violations commises sur les équipements terminaux des utilisateurs locaux.
Une fois la compétence de la commission établie, le juge administratif examine la matérialité des griefs retenus à l’encontre de la société.
II. La caractérisation des manquements aux exigences de liberté du consentement
A. Le contrôle rigoureux des modalités de recueil et de gestion des traceurs
Le bien-fondé de la sanction repose sur le constat d’un dépôt de traceurs réalisé sans que l’utilisateur n’ait pu exprimer un choix éclairé préalable. La haute juridiction rappelle que le responsable du traitement doit s’assurer que ses partenaires « n’émettent pas, par l’intermédiaire de son site, des cookies » non réglementaires. La négligence de la société est caractérisée par l’absence de démarches suffisantes auprès des tiers pour mettre fin à ces pratiques techniques illicites.
L’obligation de recueil du consentement s’applique de manière indifférente à la nature des données traitées, qu’elles présentent ou non un caractère strictement personnel. Cette rigueur juridique protège l’intégrité du terminal de l’abonné contre toute intrusion non sollicitée par des acteurs publicitaires opérant pour le compte de l’éditeur.
B. La validation d’une sanction pécuniaire dissuasive face à une négligence établie
Le Conseil d’Etat sanctionne l’existence d’obstacles dissuasifs empêchant l’utilisateur de revenir librement sur son consentement initial aux opérations de lecture et d’écriture. Il relève que le message indiquant une « impossibilité d’accéder aux produits et services » en cas de retrait constitue une pression indue sur le choix individuel. La liberté de consentir suppose que l’accès aux fonctions essentielles de messagerie ne soit pas subordonné à l’acceptation de traceurs publicitaires non nécessaires.
L’amende de dix millions d’euros est jugée proportionnée compte tenu de la gravité des manquements et du nombre important de visiteurs concernés par ces procédés. Le juge administratif valide ainsi une politique de répression ferme pour garantir le respect de la vie privée dans l’environnement numérique particulièrement complexe.
