Le Conseil d'État a rejeté le recours d'une société sanctionnée à 40 millions d'euros par la CNIL. Le dossier touche à la publicité ciblée, avec trois sujets au cœur de la décision : le dépôt de cookies, le recueil du consentement et le traitement de données dites pseudonymisées. La juridiction confirme aussi la compétence de la CNIL comme autorité chef de file, pour des manquements commis en France comme à l'étranger. 40 millions d'euros. Confirmés. La pseudonymisation n'est pas une sortie du RGPD C'est l'argument qui revient le plus souvent dans l'adtech. Les identifiants sont hachés, les noms ne circulent pas, donc le règlement s'appliquerait moins. Sauf que non. Une donnée pseudonymisée reste une donnée personnelle dès lors qu'une réidentification est possible, par l'organisme lui-même ou par un tiers qui détient la clé. La pseudonymisation est une mesure de sécurité, utile, recommandée même. Elle ne change pas la nature de la donnée. Base légale, information, consentement : tout reste dû. Cookies et CNIL : la preuve doit suivre la donnée Sur les cookies, le RGPD et les lignes directrices de la CNIL attendent un consentement recueilli avant tout dépôt de traceur non essentiel, libre, éclairé et surtout démontrable. Le point faible se situe rarement dans le bandeau. Il se situe dans la chaîne, quand le signal de consentement part vers des partenaires publicitaires dont personne ne vérifie qu'ils le respectent. Ça n'est pas seulement un sujet technique, c'est un sujet contractuel. Ce que les organisations doivent vérifier Le premier chantier, c'est l'inventaire des flux d'identifiants qui sortent vers des tiers, avec leur finalité réelle. Vient ensuite la preuve du consentement pour chacun de ces flux, conservée et exploitable le jour d'un contrôle. Et les contrats avec les partenaires, qui doivent dire clairement qui répond de quoi. Une sanction de cette ampleur validée par le Conseil d'État, c'est une décision CNIL qui tient face au contentieux. Miser sur une annulation relève du pari.
