Conseil d'État, 10ème et 9ème chambres réunies, 15 octobre 2025, n° 473833

Vu la procédure suivante : Par une requête sommaire, un mémoire complémentaire et six nouveaux mémoires, enregistrés les 4 mai 2023, 4 août 2023, 23 mai, 28 juin, 20 septembre et 14 octobre 2024, 16 janvier et 12 septembre 2025 au secrétariat du contentieux du Conseil d'Etat, la société Apple Distribution International Limited demande au Conseil d'Etat : 1°) d’annuler la délibération n° SAN-2022-025 du 29 décembre 2022 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé à son encontre une amende administrative d’un montant de 8 millions d’euros ; 2°) le cas échéant, de saisir à titre préjudiciel la Cour de justice de l’Union européenne des questions suivantes : « 1) Les dispositions du paragraphe 3 de l’article 5 de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, qui imposent au responsable de traitement d'obtenir le consentement des utilisateurs ou des abonnés d'un service lorsqu’il utilise des réseaux de communications électroniques pour stocker des informations ou accéder à des informations stockées dans leur équipement terminal, doivent-elles être interprétées, notamment à la lumière de l'avis 5/2019 du 12 mars 2019 du Comité européen de la protection des données et du champ d'application du RGPD, comme incluant dans leur champ d'application matériel tout traitement ultérieur au sein d'un univers authentifié qui n'implique pas le stockage ou l'accès à des informations sur l'appareil d'un utilisateur mais qui ne pourrait pas avoir lieu si n'étaient pas d'abord réalisées des opérations de lecture ou d’écriture d’informations sur l'équipement terminal de l'utilisateur à des fins de sécurité ? « 2) Les dispositions du paragraphe 3 de l'article 5 de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, doivent-elles être interprétées, compte tenu notamment du considérant 9 de la directive ePrivacy et des dispositions de l'article 25 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, comme exigeant le recueil du consentement des utilisateurs ou des abonnés à l’occasion de l’utilisation des réseaux de communications électroniques en vue de stocker des informations ou d’accéder à des informations stockées dans leur équipement terminal, lorsque ce stockage ou cet accès technique est strictement nécessaire pour assurer les fonctionnalités protectrices de leur vie privée et de la sécurité de leurs données, selon une approche fondée sur la prise en compte du respect de la vie privée dès la conception (privacy by design) ? » 3°) de mettre à la charge de la CNIL la somme de 6 000 euros au titre de l’article L. 761-1 du code de justice administrative. Vu les autres pièces du dossier ; Vu : - la Constitution, notamment son Préambule ; - la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ; - le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; - la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 ; - la loi n° 78-17 du 6 janvier 1978 ; - le code de justice administrative ; Après avoir entendu en séance publique : - le rapport de Mme Alexandra Poirson, auditrice, - les conclusions de Mme Leila Derouich, rapporteure publique ; La parole ayant été donnée, après les conclusions, à la SCP Piwnica & Molinié, avocat de la société Apple Distribution International Limited ; Considérant ce qui suit : 1. La société Apple Distribution International Limited demande l’annulation de la délibération du 29 décembre 2022 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé à son encontre une amende administrative d’un montant de 8 millions d’euros pour manquement à l’article 82 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés en raison de pratiques de lecture et d’écriture de données à des fins publicitaires et a décidé de rendre publique sa délibération, en l’assortissant d’une procédure d’anonymisation à l’expiration d’un délai de deux ans. Sur la compétence de la CNIL : 2. En vertu des dispositions du I de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la CNIL, autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données (RGPD), est notamment chargée d’informer toutes les personnes concernées et tous les responsables de traitements de leurs droits et obligations et de veiller à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la loi du 6 janvier 1978 et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France. 3. En particulier, le premier alinéa de l’article 16 de la loi du 6 janvier 1978 prévoit que la formation restreinte de la CNIL « prend les mesures et prononce les sanctions à l'encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant du règlement (UE) 2016/679 du 27 avril 2016 et de la présente loi dans les conditions prévues à la section 3 du présent chapitre ». En ce qui concerne la compétence matérielle de la CNIL : 4. Aux termes de l’article 82 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, qui a procédé à la transposition du paragraphe 3 de l’article 5 de la directive 2002/58/CE concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques : « Tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant : 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; / 2° Des moyens dont il dispose pour s'y opposer. / Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. / Ces dispositions ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur : / 1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; / 2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur ». 5. Il résulte de l’instruction que l’utilisateur d’appareils de la marque Apple doit, pour utiliser les services associés, se créer un compte Apple (Apple ID), ce qui entraîne l’attribution au compte utilisateur d’un identifiant qualifié de DSID (« directory services identifier »).