C’est un verdict qui sonne comme un avertissement définitif pour toute l’industrie de la publicité en ligne. Le 4 mars 2026, le Conseil d’État a rejeté le recours d’un leader européen du ciblage publicitaire (Critéo), confirmant une sanction de 40 millions d’euros infligée par la CNIL.
En validant les griefs portant sur la gestion du consentement et la qualification des données pseudonymisées, la haute juridiction ne se contente pas de punir un leader du secteur : elle redéfinit les règles de responsabilité pour l’ensemble de l’écosystème publicitaire européen.
Le droit à l’épreuve des algorithmes
La décision rendue par la plus haute juridiction administrative française clarifie trois piliers fondamentaux du RGPD qui impactent directement le modèle économique de la publicité programmatique.
1. La fin de l’illusion de l’anonymat technique
L’entreprise requérante soutenait que les identifiants techniques utilisés (liés aux cookies et aux adresses IP) ne constituaient pas des données personnelles, faute de pouvoir identifier directement l’état civil des internautes.
- Le rappel du Conseil : Dès lors qu’un acteur peut recouper des faisceaux d’indices (achats, navigation, géolocalisation) pour individualiser un utilisateur sans effort démesuré, il traite des données à caractère personnel. La pseudonymisation n’est pas une dispense de responsabilité.
2. Le consentement : une obligation non délégable
Dans le secteur de l’Ad’tech, il est fréquent que les prestataires comptent sur les éditeurs de sites web pour recueillir le consentement des visiteurs.
- La règle confirmée : Le Conseil d’État rappelle qu’un responsable de traitement doit être en mesure de prouver à tout moment la validité du consentement. Un accord contractuel entre deux entreprises ne suffit pas à exonérer le prestataire de sa responsabilité légale vis-à-vis des autorités de contrôle.
3. Un droit à l’effacement « réel » et non partiel
L’enquête avait révélé que lorsqu’un internaute retirait son consentement, la société cessait d’afficher des publicités ciblées, mais conservait les identifiants pour affiner ses algorithmes de prédiction.
- La sanction : Le retrait du consentement ou la demande d’effacement impose une suppression totale des données de la base, et non une simple désactivation de la fonction d’affichage publicitaire.
Une sanction proportionnée
Malgré la coopération de la société incriminée durant la procédure, le montant de 40 millions d’euros (soit environ 2 % de son chiffre d’affaires mondial) a été jugé justifié au regard de plusieurs critères aggravants :
| Critère de gravité | Constat du Conseil d’État |
| Ampleur du traitement | Plus de 50 millions d’utilisateurs concernés sur le seul territoire français. |
| Modèle économique | Gain direct tiré du traitement de données sans consentement valide. |
| Transparence | Information jugée insuffisante sur les finalités réelles de l’utilisation des données (notamment pour l’amélioration des algorithmes). |
Quel avenir pour les acteurs du RTB ?
Cette décision fait désormais jurisprudence. Elle impose aux acteurs de la publicité numérique une révision profonde de leurs relations contractuelles et techniques. Désormais, « l’intérêt légitime » ou la complexité des chaînes de sous-traitance ne pourront plus servir de bouclier juridique face à des manquements avérés au RGPD.
Pour les professionnels du secteur, le message est limpide : la traçabilité du consentement et la gestion stricte du cycle de vie de la donnée sont les nouvelles conditions de survie du modèle publicitaire européen.
