par : Térence Cabot & Victoria Priest
La société CRITEO est une société française de technologie publicitaire (ad tech) mettant en œuvre des traitements de données dits de « reciblage publicitaire ». Concrètement, cette pratique consiste à suivre les habitudes de navigation des internautes pour leur afficher des publicités personnalisées au moyen de cookies déposés dans les terminaux des utilisateurs.
À la fin de l’année 2018, la CNIL a reçu une plainte de l’ONG britannique Privacy International, ainsi qu’une réclamation de l’association None of Your Business (ci-après « NOYB »). Ces deux organisations, œuvrant pour la protection de la vie privée, ont été à l’origine de plusieurs décisions de la CNIL, notamment la délibération du 11 mai 2023 concernant la société Doctissimo pour Privacy International, et la décision du 10 février 2022 concernant l’affaire Google Analytics pour NOYB.
A la suite de plusieurs contrôles, la CNIL a rendu sa décision jeudi 15 juin. Dans cette délibération, la CNIL a retenu cinq manquements au RGPD à l’encontre de CRITEO :
- Un manquement à l’obligation de démontrer que la personne a donné son consentement (article 7.1 du RGPD).
- Un manquement à l’obligation d’information et de transparence (articles 12 et 13 du RGPD).
- Un manquement au respect du droit d’accès (article 15.1 du RGPD).
- Un manquement au respect du droit de retrait du consentement et de l’effacement de ses données (articles 7.3 et 17.1 du RGPD).
- Un manquement à l’obligation de prévoir un accord entre responsables conjoints de traitement (article 26 du RGPD).
En conséquence, la CNIL a prononcé une amende de 40 millions d’euros à l’encontre de CRITEO.
La société a déclaré vouloir faire appel de cette décision, considérant la sanction disproportionnée au vu des manquements allégués. De leur côté, les associations à l’origine des plaintes ont salué un « signal fort adressé à l’industrie de la technologie publicitaire ».
