Vu la procédure suivante :

Par une requête et un mémoire en réplique, enregistrés les 11 février et 11 avril 2025 au secrétariat du contentieux du Conseil d’Etat, l’association « Pour un RGPD Respecté » (PURR), M. D… B…, M. F… A… et M. C… E… demandent au Conseil d’Etat :

1°) d’annuler pour excès de pouvoir la décision du 12 décembre 2024 par laquelle la Commission nationale de l’informatique et des libertés (CNIL) a refusé de faire droit à leur demande d’abrogation partielle de sa délibération n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux « cookies et autres traceurs » ;

2°) d’enjoindre à la CNIL, sous astreinte, d’abroger la figure 5 de cette délibération et de publier cette décision sur l’ensemble de ses moyens de diffusion et de communication usuels ;

3°) de mettre à la charge de la CNIL la somme de 3 000 euros au titre de l’article L. 761-1 du code de justice administrative.

Ils soutiennent que la délibération du 17 septembre 2020 est entachée :

 – d’insuffisance de motivation ;

 – d’erreur manifeste d’appréciation en ce que la figure 5 présente un exemple de bannière de cookies dans laquelle les actions d’acceptation et de refus n’ont pas le même degré de simplicité, mettant ainsi en œuvre une conception trompeuse, en contradiction avec les propres positions de la CNIL et celle du Comité européen pour la protection des données (CEPD), ainsi qu’avec les prises de position de l’autorité belge de protection des données, contribuant ainsi au maintien de manquements à la législation par les responsables de traitement.

Par un mémoire en défense, enregistré le 30 juillet 2025, la CNIL conclut au rejet de la requête. Elle soutient, à titre principal, que la requête n’est pas recevable et, à titre subsidiaire, que les moyens soulevés ne sont pas fondés.

Vu les autres pièces du dossier ;

Vu :

 – le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

 – le code des relations entre le public et l’administration ;

 – la loi n° 78-17 du 6 janvier 1978 ;

 – le code de justice administrative ;

Après avoir entendu en séance publique :

— le rapport de M. Bruno Delsol, conseiller d’Etat,

— les conclusions de M^me Charline Nicolas rapporteure publique ;

Vu la note en délibéré, enregistrée le 17 avril 2025, présentée par l’association Pour un RGPD respecté et ses corequérants ;

Considérant ce qui suit :

1. Il ressort des pièces du dossier que l’association « Pour un RGPD respectueux » (PURR), M. D… B…, M. F… A… et M. C… E… demandent l’annulation de la décision du 12 décembre 2024 par laquelle la présidente de la CNIL a rejeté leur demande tendant à l’abrogation partielle de la délibération du 17 septembre 2020 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux « cookies et autres traceurs », en tant qu’elle présente une illustration, intitulée « figure 5 », d’une bannière de « cookies » présentée comme correcte, sur laquelle la formule « continuer sans accepter » se situe en haut à droite de la bannière sous forme de lien.

2. Aux termes du b) du 2° du I de l’article 8 de la loi du 6 janvier 1978 à l’informatique, aux fichiers et aux libertés, la Commission nationale de l’informatique et des libertés (CNIL) « établit et publie des lignes directrices, recommandations ou référentiels destinés à faciliter la mise en conformité des traitements de données à caractère personnel avec les textes relatifs à la protection des données à caractère personnel et à procéder à l’évaluation préalable des risques par les responsables de traitement et leurs sous-traitants. »

3. En premier lieu, la décision contestée n’est pas au nombre de celles qui doivent être motivées en application des dispositions de l’article L. 211-2 du code des relations entre le public et l’administration.

4. En second lieu, les requérants soutiennent que la figure 5 illustrant la recommandation de la CNIL relative aux modalités de recueil du consentement des utilisateurs au dépôt et à la lecture de traceurs sur leur terminal méconnaîtrait le principe selon lequel le refus des opérations de lecture ou d’écriture sur un terminal de l’utilisateur doit être aussi facile à exprimer que son consentement à de telles opérations. Il ressort toutefois des pièces du dossier que cette illustration présente un cas dans lequel la possibilité de refuser est accessible sur le même écran et avec la même facilité que le mécanisme permettant d’exprimer le consentement et avec une taille comparable, que les termes figurant sur le lien sont clairs et explicites et que le lien est placé en haut à droite dans un espace immédiatement accessible. Elle n’est par ailleurs en contradiction ni avec la doctrine de la CNIL elle-même, ni avec celle du Comité européen pour la protection des données (CEPD), ni, en tout état de cause, avec celle de l’autorité belge de protection des données. Par suite, le moyen tiré de ce que le refus de modifier la recommandation contestée serait entachée d’erreur manifeste d’appréciation ne peut qu’être être écarté.

5. Il résulte de tout ce qui précède, sans qu’il soit besoin de se prononcer sur la fin de non-recevoir soulevée par la CNIL, que l’association Pour un RGPD respecté et autres ne sont pas fondés à demander l’annulation de la décision qu’ils attaquent. Par suite, leurs conclusions aux fins d’injonction et celles présentées au titre de l’article L. 761-1 du code de justice administrative ne peuvent qu’être également rejetées.

D E C I D E :

--------------

Article 1er : La requête de l’association Pour un RGPD respecté et autres est rejetée.

Article 2 : La présente décision sera notifiée à l’association Pour un RGPD respecté, première dénommée pour l’ensemble des requérants, et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 16 avril 2026 où siégeaient : M. Bertrand Dacosta, président de chambre, présidant ; M. Olivier Yeznikian, conseiller d’Etat et M. Bruno Delsol, conseiller d’Etat-rapporteur.

Rendu le 19 juin 2026.

Le président :

Signé : M. Bertrand Dacosta

Le rapporteur :

Signé : M. Bruno Delsol

La secrétaire :

Signé : M^me Marie-Léandre Monnerville

La République mande et ordonne au Premier ministre en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.

Pour expédition conforme,

Pour la secrétaire du contentieux, par délégation :

No 501417- 2 -