Conseil d'État, 10ème et 9ème chambres réunies, 7 octobre 2025, n° 494300

Vu la procédure suivante : Par une requête sommaire, un mémoire complémentaire et un nouveau mémoire, enregistrés les 16 mai et 14 août 2024 et le 11 mars 2025 au secrétariat du contentieux du Conseil d'Etat, la société Yahoo EMEA Limited demande au Conseil d'Etat : 1°) d’annuler la délibération n° SAN-2023-024 du 29 décembre 2023 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé à son encontre une amende administrative d’un montant de 10 millions d’euros ; 2°) à titre subsidiaire, de réformer cette délibération en réduisant le montant de l’amende qui lui a été infligée ; 3°) de surseoir à statuer et de saisir la Cour de justice de l’Union européenne de la question préjudicielle suivante : « Les dispositions de l’article 15 bis de la directive 2002/58/CE du 12 juillet 2002 modifiée (directive ePrivacy), combinées au considérant 173 du règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et aux dispositions de l’article 56 du même règlement doivent-elles s’interpréter comme imposant l’application du mécanisme du guichet unique au contrôle de l’application des dispositions de l’article 5 (3) de la directive ePrivacy en présence d’un traitement de données à caractère personnel transfrontalier entrant dans le champ d’application matériel du RGPD et de la directive ePrivacy ? ». 4°) de mettre à la charge de l’Etat la somme de 10 000 euros au titre de l’article L. 761-1 du code de justice administrative. Vu les autres pièces du dossier ; Vu : - la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 ; - le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; - la loi n° 78-17 du 6 janvier 1978 ; - le code de justice administrative ; Après avoir entendu en séance publique : - le rapport de Mme Alexandra Poirson, auditrice, - les conclusions de M. Frédéric Puigserver, rapporteur public ; La parole ayant été donnée, après les conclusions, à la SARL Matuchansky, Poupot, Valdelièvre, Rameix, avocat de la société Yahoo Emea Limited ; Vu la note en délibéré, enregistrée le 5 septembre 2025, présentée par la société Yahoo EMEA Limited ; Considérant ce qui suit : 1. La société Yahoo EMEA Limited demande l’annulation de la délibération du 29 décembre 2023 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé à son encontre une amende administrative d’un montant de 10 millions d’euros pour des manquements à l’article 82 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés tenant, d’une part, à des pratiques de lecture et d’écriture de données par le biais de cookies à des fins publicitaires sans recueil préalable du consentement et, d’autre part, à des modalités de retrait du consentement aux cookies, et a décidé de rendre publique sa délibération, en l’assortissant d’une procédure d’anonymisation à l’expiration d’un délai de deux ans. Sur la compétence de la CNIL : En ce qui concerne la compétence matérielle de la CNIL : 2. En vertu des dispositions du I de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la CNIL, autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données (RGPD), est notamment chargée d’informer toutes les personnes concernées et tous les responsables de traitements de leurs droits et obligations et de veiller à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la loi du 6 janvier 1978 et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France. 3. A ce titre, en particulier, le premier alinéa de l’article 16 de la loi du 6 janvier 1978 prévoit que la formation restreinte de la CNIL « prend les mesures et prononce les sanctions à l'encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant du règlement (UE) 2016/679 du 27 avril 2016 et de la présente loi dans les conditions prévues à la section 3 du présent chapitre. » 4. Aux termes de l’article 82 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, qui a procédé à la transposition du paragraphe 3 de l’article 5 de la directive 2002/58/CE : « Tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant : 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; / 2° Des moyens dont il dispose pour s'y opposer. / Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. / Ces dispositions ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur : / 1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; / 2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur. » 5. Il résulte de l'économie générale de la loi du 6 janvier 1978 que la CNIL est chargée de veiller à la conformité de tout traitement de données relevant de son champ d'application, qu'il concerne ou non des données à caractère personnel, à ses dispositions ainsi qu'aux obligations résultant du RGPD. Par suite, la circonstance que l’opération de dépôt et de lecture d’informations dans l’équipement terminal des utilisateurs en cause ne constitue pas un traitement de données à caractère personnel est sans incidence sur la compétence de la CNIL pour mettre en œuvre ses prérogatives au titre de l’article 82 de la loi. En ce qui concerne la compétence territoriale de la CNIL : 6. Aux termes du premier alinéa de l’article 3 de la loi du 6 janvier 1978 : « Sans préjudice, en ce qui concerne les traitements entrant dans le champ du règlement (UE) 2016/679 du 27 avril 2016, des critères prévus par l'article 3 de ce règlement, l'ensemble des dispositions de la présente loi s'appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d'un établissement d'un responsable du traitement ou d'un sous-traitant sur le territoire français, que le traitement ait lieu ou non en France. » 7. Le paragraphe 1 de l’article 4 de la directive 95/46/CE disposait que : « Chaque État membre applique les dispositions nationales qu'il arrête en vertu de la présente directive aux traitements de données à caractère personnel lorsque : / a) le traitement est effectué dans le cadre des activités d'un établissement du responsable du traitement sur le territoire de l'État membre (…) ».