Conseil d'État, 10ème et 9ème chambres réunies, 4 mars 2026, n° 482872

Vu la procédure suivante : Par une requête sommaire, un mémoire complémentaire et sept nouveaux mémoires, enregistrés les 14 août et 13 novembre 2023, les 29 avril et 16 septembre 2024 et les 5 février, 3 mars, 7 avril, 30 mai et 12 septembre 2025 au secrétariat du contentieux du Conseil d’État, la société Criteo demande au Conseil d’État : 1°) d’annuler la délibération de la formation restreinte de la commission nationale de l’informatique et des libertés (CNIL) en date du 15 juin 2023 mettant à sa charge une amende administrative d’un montant de 40 millions d’euros pour des manquements au règlement général sur la protection des données (RGPD) et ordonnant la publication de sa délibération dans des conditions permettant d’identifier la société requérante pendant deux ans à compter de cette publication ; 2°) à titre subsidiaire, de réformer la délibération attaquée en réduisant le montant de l’amende administrative infligée ; 3°) d’enjoindre à la CNIL de restituer la somme versée, assortie des intérêts au taux légal courant depuis le paiement de l’amende ; 4°) de mettre à la charge de la CNIL la somme de 25 000 euros au titre de l’article L. 761-1 du code de justice administrative. Vu les autres pièces du dossier ; Vu : la Constitution, notamment son Préambule ; la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ; le traité sur l’Union européenne ; la charte des droits fondamentaux de l’Union européenne ; le traité sur le fonctionnement de l’Union européenne ; le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 ; la loi n° 78-17 du 6 janvier 1978 ; la décision du Conseil constitutionnel n° 2025-1154 QPC du 8 août 2025 ; le code de justice administrative ; Après avoir entendu en séance publique : - le rapport de M. Jean de L'Hermite, conseiller d'Etat, - les conclusions de M. Frédéric Puigserver, rapporteur public ; La parole ayant été donnée, après les conclusions, à la SCP Gatineau, Fattaccini, Rebeyrol, avocat de la société Criteo ; Vu la note en délibéré, enregistrée le 11 février 2026, présentée par la CNIL ; Vu la note en délibéré, enregistrée le 12 février 2026, présentée par la société Criteo ; Considérant ce qui suit : 1. Il résulte de l’instruction que la société Criteo, dont l’établissement principal est situé en France, exerce l’activité d’affichage de publicités ciblées sur des sites internet gérés et hébergés par des tiers. A cette fin, elle collecte et traite, à l’aide de traceurs de connexion (« cookies »), les données de navigation des personnes situées en France ou dans d’autres Etats membres de l’Union européenne, visitant des sites internet dont les gestionnaires ou les hébergeurs ont conclu des accords de partenariat rémunérés avec elle. Elle demande l’annulation de la délibération du 15 juin 2023 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé à son encontre une amende administrative de 40 millions d’euros pour des manquements aux articles 7, 12, 13, 15, 17 et 26 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données (RGPD) et a décidé de rendre publique sa délibération, en l’assortissant d’une procédure d’anonymisation à l’expiration d’un délai de deux ans. Sur la compétence de la CNIL : 2. En vertu des dispositions du I de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la CNIL, autorité de contrôle nationale au sens et pour l’application du RGPD, est notamment chargée d’informer toutes les personnes concernées et tous les responsables de traitements de leurs droits et obligations et de veiller à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la loi du 6 janvier 1978 et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France. 3. En particulier, le premier alinéa de l’article 16 de la loi du 6 janvier 1978 prévoit que la formation restreinte de la CNIL « prend les mesures et prononce les sanctions à l'encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant du règlement (UE) 2016/679 du 27 avril 2016 et de la présente loi dans les conditions prévues à la section 3 du présent chapitre ». 4. Aux termes du paragraphe 1 de l’article 55 du RGPD : « Chaque autorité de contrôle est compétente pour exercer les missions et les pouvoirs dont elle est investie conformément au présent règlement sur le territoire de l'État membre dont elle relève ». Aux termes du paragraphe 1 de l’article 56 : « Sans préjudice de l'article 55, l'autorité de contrôle de l'établissement principal ou de l'établissement unique du responsable du traitement ou du sous-traitant est compétente pour agir en tant qu'autorité de contrôle chef de file concernant le traitement transfrontalier effectué par ce responsable du traitement ou ce sous-traitant, conformément à la procédure prévue à l'article 60 ». 5. Il résulte des termes mêmes de la délibération attaquée que la formation restreinte de la CNIL a sanctionné la société Criteo, d’une part, pour divers manquements au RGPD, commis en France comme à l’étranger, après avoir informé, conformément aux dispositions de l’article 56 du RGPD citées au point 5, l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle chef de file concernant des traitements mis en œuvre par une société ayant son établissement principal en France et d’autre part, pour des manquements aux obligations d’information des abonnés ou utilisateurs, situés en France, d’un service de communications électroniques, portant sur la finalité du dépôt de « cookies » sur leurs terminaux. Par suite, le moyen tiré de ce que la CNIL aurait été territorialement incompétente pour sanctionner ces manquements s’agissant de faits survenus, pour certains d’entre eux, hors du territoire français, doit être écarté. Sur la régularité de la procédure de sanction : 6. Aux termes de l’article 9 de la Déclaration des droits de l’homme et du citoyen du 26 août 1789 : « Tout homme étant présumé innocent jusqu’à ce qu’il ait été déclaré coupable, s’il est jugé indispensable de l’arrêter, toute rigueur qui ne serait pas nécessaire pour s’assurer de sa personne doit être sévèrement réprimée par la loi. » Il en résulte le principe selon lequel nul n’est tenu de s’accuser, dont découle le droit de se taire. Ces exigences s’appliquent non seulement aux peines prononcées par les juridictions répressives mais aussi à toute sanction ayant le caractère d’une punition. Au nombre de ces sanctions figurent notamment celles susceptibles d’être prononcées par la formation restreinte de la CNIL. 7. Toutefois, le droit de se taire ne s’applique pas lors des contrôles ou enquêtes, tels que, s’agissant de la CNIL, les vérifications prévues au g) du 2° de l’article 8 de la loi du 6 janvier 1978, diligentées antérieurement à la notification des griefs. Ne saurait ainsi constituer une méconnaissance des exigences découlant de l’article 9 de la Déclaration de 1789 le fait que, dans le cadre d’un tel contrôle ou d’une telle enquête, les agents de la CNIL auraient recueilli des éléments portant sur des faits susceptibles d’être ultérieurement reprochés au responsable de traitement.