CNIL – Criteo – SAN-2023-009

Le 8 novembre 2018, la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a été saisie d’une plainte adressée par l’association " Privacy International ", qui soulignait notamment que la société ne traitait pas les données des internautes conformément aux principes fixés à l’article 5, paragraphe 1, du RGPD. Le 4 décembre 2018, la CNIL a été saisie d’une réclamation adressée par l'association " None of Your Business " (ci-après " NOYB ") mandatée par […], qui dénonçait le formalisme imposé par la société auprès de laquelle il avait souhaité retirer son consentement et s’opposer au traitement de ses données (ci-après " le plaignant "). Le plaignant faisait état de ce que, malgré l’envoi d’un courrier électronique en ce sens à la société, cette dernière l’avait redirigé vers diverses procédures en ligne consacrées à l'exercice des droits.

Le 3 août 2022, à l’issue de l'enquête qui a été menée, le rapporteur a fait notifier à la société un rapport détaillant les manquements aux articles 7, 12, 13, 15, 17 et 26 du RGPD qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer une amende administrative à l’encontre de la société d’un montant qui ne saurait être inférieur à soixante millions d’euros.