Cabinet Kohen Avocats · Paris

Pisté après avoir cliqué sur « tout refuser » : pixels et traceurs tiers, prouver, faire cesser, saisir la CNIL et obtenir réparation (2026)

Maître Reda KOHEN intervient en droit immobilier, droit des sociétés et droit des affaires à Paris. Première analyse : 80 € TTC, réponse personnelle sous 24 heures.

100 % confidentiel · Secret professionnel · Sans engagement

Article généré par une intelligence artificielle, selon un processus conçu et contrôlé par le cabinet

Source : Cour de cassation – Base Open Data « Judilibre » & « Légifrance ».

Barreau de Paris Immobilier, sociétés, affaires Fiche CNB avocat.fr
Maître Reda KOHEN, avocat au Barreau de Paris
Maître Reda KOHEN
Avocat au Barreau de Paris
Pisté après avoir cliqué sur « tout refuser » : pixels et traceurs tiers, prouver, faire cesser, saisir la CNIL et obtenir réparation (2026)

Vous avez cliqué sur « tout refuser » et le site s’affiche normalement. Pourtant, des traceurs tiers continuent de transmettre vos données de navigation à des sociétés que vous n’avez jamais choisies : c’est ce que révèlent régulièrement les analyses de trafic, qui montrent des appels vers des pixels de mesure d’audience ou des modules publicitaires alors même que l’internaute a refusé tout dépôt. La question n’est pas théorique : le refus que vous exprimez sur un bandeau cookies doit produire un effet réel, et lorsqu’il reste sans effet, le droit français et européen ouvre des voies d’action précises, de la demande d’effacement jusqu’à la plainte devant la Commission nationale de l’informatique et des libertés et au recours devant le juge.

Le 1er septembre 2025, la CNIL a sanctionné deux sociétés du groupe Google d’une amende totale de 325 millions d’euros, notamment pour avoir déposé des traceurs lors de la création de comptes sans consentement valide des utilisateurs français, selon le communiqué de la CNIL. Le 28 janvier 2022, le Conseil d’État a rejeté le recours formé contre une précédente sanction de 60 et 40 millions d’euros prononcée pour manquement à l’article 82 de la loi du 6 janvier 1978, dans sa décision n° 449209. Ces décisions rappellent que le consentement au pistage n’est pas une formalité : son absence vicie la collecte, et sa violation exposent l’éditeur du site à des sanctions comme à des demandes de réparation. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne décrivent pas la situation des sociétés sanctionnées par ces décisions, sur laquelle l’article ne formule aucun constat.

I. Ce qu’un refus exprimé aurait dû empêcher : le verrou du consentement préalable

A. Aucun dépôt ni lecture de traceur non nécessaire sans votre accord préalable

Le principe est posé par l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dans sa rédaction en vigueur depuis le 1er juin 2019, consultable sur Legifrance. Ce texte dispose que tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant, de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal, ou à inscrire des informations dans cet équipement, ainsi que des moyens dont il dispose pour s’y opposer. Le même article ajoute :

«Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.» (article 82 sur Legifrance)

Seules deux exceptions dispensent de ce consentement, et elles sont étroites : l’accès ou l’inscription doit avoir pour finalité exclusive de permettre ou faciliter la communication par voie électronique, ou être strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. Un pixel de mesure d’audience, un traceur publicitaire ou un module social tiers ne relèvent d’aucune de ces deux exceptions : ils nécessitent donc votre consentement préalable, et un clic sur « tout refuser » leur interdit tout dépôt comme toute lecture.

La CNIL, dans sa page « que dit la loi », explicite cette exigence : les internautes doivent être informés et donner leur consentement préalablement au dépôt et à la lecture de certains traceurs, tandis que d’autres sont dispensés du recueil de ce consentement. Elle précise que le consentement prévu par ces dispositions renvoie à la définition et aux conditions prévues aux articles 4(11) et 7 du règlement général sur la protection des données, et qu’il doit donc être libre, spécifique, éclairé, univoque, l’utilisateur devant être en mesure de le retirer, à tout moment, avec la même simplicité qu’il l’a accordé. Le consentement doit en outre se manifester par une action positive de la personne préalablement informée, notamment, des conséquences de son choix et disposant des moyens d’accepter, de refuser et de retirer son consentement. Autrement dit, poursuivre votre navigation, garder le silence ou fermer le bandeau ne vaut jamais acceptation : seul un geste positif, donné après une information claire, constitue un consentement valable.

Cette lecture est confirmée au niveau européen par l’article 5, paragraphe 3, de la directive 2002/58/CE du 12 juillet 2002, dite directive ePrivacy, consultable sur EUR-Lex. Ce texte garantit que l’utilisation des réseaux de communications électroniques en vue de stocker des informations ou d’accéder à des informations stockées dans l’équipement terminal d’un abonné ou d’un utilisateur ne soit permise qu’à condition que l’abonné ou l’utilisateur soit muni, dans le respect de la directive 95/46/CE, d’une information claire et complète, entre autres sur les finalités du traitement, et que l’abonné ou l’utilisateur ait le droit de refuser un tel traitement par le responsable du traitement des données. La même disposition réserve les seuls stockages techniques visant exclusivement à effectuer ou à faciliter la transmission d’une communication, ou strictement nécessaires à la fourniture d’un service expressément demandé. Le considérant 25 de cette directive range d’ailleurs expressément les témoins de connexion parmi les dispositifs dont l’utilisation suppose que les utilisateurs se voient donner des informations claires et précises sur leur finalité et disposent de la possibilité de refuser leur installation sur leur équipement terminal.

Le règlement (UE) 2016/679 du 27 avril 2016, dit RGPD, consultable sur EUR-Lex, verrouille à son tour la notion de consentement. Son article 6, paragraphe 1, point a), n’autorise le traitement que si la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques. Son article 7 ajoute trois garanties décisives pour les litiges de pistage : dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant ; la personne concernée a le droit de retirer son consentement à tout moment, le retrait du consentement ne compromettant pas la licéité du traitement fondé sur le consentement effectué avant ce retrait ; et il est aussi simple de retirer que de donner son consentement. Concrètement, face à un site qui vous piste après votre refus, c’est à l’éditeur de prouver qu’il a recueilli un consentement valable, et non à vous de prouver que vous avez refusé : l’absence de preuve de son côté suffit à établir l’irrégularité de la collecte.

La CNIL en déduit des règles pratiques dont la méconnaissance caractérise le manquement : l’utilisateur doit pouvoir accepter ou refuser le dépôt ou la lecture des cookies avec le même degré de simplicité, et il doit être aussi simple de retirer son consentement que de le donner, des solutions de retrait devant rester accessibles à tout moment. Un bandeau qui rend le refus plus compliqué que l’acceptation, un paramétrage qui réactive des traceurs après un refus, ou un pixel tiers qui se déclenche quoi que vous cliquiez, heurtent directement ces exigences.

B. Le site qui intègre un traceur tiers répond de la collecte qu’il déclenche

Beaucoup d’éditeurs se retranchent derrière l’argument du tiers : le pixel appartiendrait à une régie ou à un réseau social, et le site ne ferait que l’héberger. La Cour de justice de l’Union européenne a écarté cette défense dans un arrêt de référence, rendu le 29 juillet 2019 dans l’affaire C-40/17, dite Fashion ID, dont le texte intégral figure sur CURIA. Une entreprise de vente en ligne avait inséré sur son site le bouton « j’aime » d’un réseau social. La Cour constate qu’en raison de cette insertion, des données à caractère personnel des visiteurs sont transmises au fournisseur du module sans que le visiteur en soit conscient et indépendamment du fait qu’il soit membre du réseau social ou qu’il ait cliqué sur le bouton. Elle juge que, en ayant inséré ce bouton, l’entreprise semble avoir ménagé au fournisseur la possibilité d’obtenir des données des visiteurs, possibilité déclenchée dès la consultation du site, et ce indépendamment du fait que ces visiteurs soient membres du réseau social ou qu’ils aient cliqué sur le bouton ou encore qu’ils aient connaissance d’une telle opération.

La portée de cette solution dépasse le seul bouton social : tout gestionnaire qui intègre volontairement un module tiers, en sachant qu’il sert d’outil de collecte et de transmission de données des visiteurs, détermine avec le fournisseur les finalités et les moyens de cette phase de collecte. Il en devient responsable, au moins conjointement avec le fournisseur, pour l’opération de collecte et de transmission qu’il déclenche. Surtout, la Cour précise à qui incombe le recueil du consentement : celui-ci doit être donné préalablement à la collecte et à la communication par transmission des données, et il incombe au gestionnaire du site internet, et non au fournisseur du module social, de recueillir ce consentement, dans la mesure où c’est le fait pour un visiteur de consulter ce site qui déclenche le processus de traitement. Le consentement devant être donné au gestionnaire concerne toutefois uniquement l’opération ou l’ensemble des opérations de traitement dont ce gestionnaire détermine effectivement les finalités et les moyens.

Cette analyse éclaire directement le cas du pistage malgré un refus. Lorsque vous cliquez sur « tout refuser » puis que le site transmet quand même votre adresse IP, votre identifiant de terminal ou votre parcours au fournisseur du pixel, l’éditeur ne peut pas renvoyer la responsabilité sur ce fournisseur : c’est l’intégration du traceur à ses pages qui déclenche la transmission, et c’est à lui qu’il appartenait de subordonner ce déclenchement à votre accord préalable. Le RGPD organise d’ailleurs cette pluralité d’acteurs : son article 82, paragraphe 2, prévoit que tout responsable du traitement ayant participé au traitement est responsable du dommage causé par le traitement qui constitue une violation du règlement, et son paragraphe 4 ajoute que lorsque plusieurs responsables participent au même traitement, chacun est tenu responsable du dommage dans sa totalité afin de garantir à la personne concernée une réparation effective. Vous pouvez donc diriger vos demandes contre l’éditeur du site que vous avez visité, sans avoir à identifier au préalable l’ensemble de la chaîne des destinataires tiers.

Reste à qualifier les données en cause. L’adresse IP de votre terminal, les identifiants publicitaires, les informations techniques de votre navigateur et l’historique des pages consultées constituent des données à caractère personnel dès lors qu’elles permettent de vous identifier directement ou indirectement, ce qui est le cas lorsque le fournisseur tiers est en mesure de les rapprocher d’un compte, d’un terminal ou d’un profil. C’est précisément cette qualification qui fait entrer le pistage par pixels dans le champ du RGPD et de l’article 82 de la loi française, et qui ouvre les droits et recours décrits ci-après. Avant d’examiner ces recours, il faut lever une confusion fréquente avec un contentieux voisin : celui du site qui bloque l’accès tant que vous n’acceptez pas les traceurs, dit cookie wall, qui soulève des questions distinctes de liberté du consentement et fait l’objet d’une analyse dédiée sur ce site. Ici, le site reste accessible et affiche un choix apparemment respecté : la difficulté tient à l’écart entre le refus enregistré et la collecte qui se poursuit.

II. Agir lorsque le refus n’a pas été respecté : preuves, CNIL et juge

A. Constater le pistage, exiger la cessation et saisir la CNIL

Tout recours commence par la preuve. Le pistage illicite laisse des traces techniques que vous pouvez figer avant toute démarche : conservez une copie datée du bandeau affiché et du choix que vous avez exprimé, par capture d’écran horodatée montrant le clic sur « tout refuser » ou le paramétrage équivalent, ainsi que l’adresse exacte des pages visitées et les dates de visite. Les outils d’analyse du trafic de votre navigateur permettent de visualiser les requêtes émises vers des domaines tiers après votre refus et les identifiants qui y transitent ; une copie de ces journaux, conservée avec leur date, constitue un commencement de preuve utile. Si vous disposez de compétences limitées en la matière, un constat d’huissier de justice, aujourd’hui commissaire de justice, dressé selon un protocole rigoureux, fige ces éléments avec une force probante renforcée. Mentionnez également tout indice comportemental postérieur : publicités ciblées en lien direct avec les pages visitées, messages de reciblage ou recommandations personnalisées apparus après votre refus.

Adressez ensuite vos demandes directement à l’éditeur du site, en identifiant précisément le traitement en cause. Le RGPD vous arme de trois droits complémentaires. D’abord, le droit d’accès, qui vous permet d’obtenir la confirmation qu’un traitement de vos données a lieu et d’en recevoir copie. Ensuite, le droit à l’effacement, prévu par l’article 17 du règlement : la personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant lorsque l’un des motifs énumérés s’applique, au nombre desquels figurent le retrait du consentement sans autre fondement juridique au traitement et le caractère illicite du traitement. Un pistage poursuivi malgré votre refus cumule ces deux motifs : le consentement fait défaut et la collecte méconnaît l’article 82 de la loi française, ce qui caractérise un traitement illicite. Enfin, le droit d’opposition de l’article 21 : lorsque les données sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données la concernant à de telles fins, y compris au profilage dans la mesure où il est lié à une telle prospection, et lorsque la personne s’oppose au traitement à des fins de prospection, les données ne sont plus traitées à ces fins. Votre courrier doit donc exiger à la fois la cessation immédiate de toute collecte par les traceurs tiers, la suppression des données déjà collectées sans consentement, et la justification des mesures prises pour empêcher toute réactivation du pistage.

Le considérant 59 du RGPD rappelle que le responsable du traitement devrait être tenu de répondre aux demandes émanant de la personne concernée dans les meilleurs délais et au plus tard dans un délai d’un mois, et de motiver sa réponse lorsqu’il a l’intention de ne pas donner suite à de telles demandes. En pratique, laissez à l’éditeur un temps raisonnable pour traiter votre demande, puis tirez les conséquences de son silence ou de son refus : c’est ce silence qui justifiera la saisine de l’autorité de contrôle et, le cas échéant, du juge.

La plainte devant la CNIL constitue la voie naturelle lorsque l’éditeur ne répond pas ou persiste. L’article 77 du RGPD garantit que, sans préjudice de tout autre recours administratif ou juridictionnel, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise, si elle considère que le traitement de données la concernant constitue une violation du règlement. Pour un internaute situé en France et un site qui y est accessible, la CNIL est l’autorité compétente. Votre plainte doit être précise : identité de l’éditeur, adresses des pages concernées, date et contenu de votre refus, description des traceurs constatés après ce refus, copie de vos demandes restées sans effet et de leurs preuves. L’autorité de contrôle auprès de laquelle la réclamation a été introduite informe l’auteur de la réclamation de l’état d’avancement et de l’issue de la réclamation, y compris de la possibilité d’un recours juridictionnel.

L’expérience des sanctions prononcées montre que la CNIL traite ces manquements avec sévérité. Dans sa délibération du 7 décembre 2020, sa formation restreinte avait prononcé une amende de 60 millions d’euros contre une société et de 40 millions d’euros contre une autre société du même groupe, pour manquement à l’article 82 de la loi du 6 janvier 1978, en leur enjoignant de mettre le traitement en conformité sous astreinte de 100 000 euros par jour de retard à l’issue d’un délai de trois mois. Les sociétés concernées avaient demandé au Conseil d’État d’annuler cette sanction et, à titre subsidiaire, de saisir la Cour de justice de l’Union européenne de questions préjudicielles sur l’application du mécanisme dit de guichet unique aux traitements relevant de la directive ePrivacy. Par sa décision du 28 janvier 2022, le Conseil d’État a écarté ces demandes : il résulte de tout ce qui précède, sans qu’il y ait lieu de saisir la Cour de justice de l’Union européenne à titre préjudiciel, que les sociétés requérantes ne sont pas fondées à demander l’annulation de la délibération attaquée, et la requête est rejetée. L’enseignement est double : l’autorité nationale reste pleinement compétente pour sanctionner les manquements aux règles sur les traceurs, et les montants prononcés résistent au contrôle du juge dès lors qu’ils sont proportionnés à la gravité et à l’ampleur des manquements.

Cette ligne s’est confirmée depuis. Le 19 juin 2020, le Conseil d’État avait déjà rejeté le recours formé contre une sanction de 50 millions d’euros, en jugeant qu’eu égard notamment à la gravité et à la durée pendant laquelle les manquements ont perduré, aux plafonds prévus par le règlement et à la situation financière de la société, la sanction pécuniaire de 50 millions d’euros ne revêtait pas un caractère disproportionné, dans sa décision n° 430810. Le 14 mai 2024, il a rejeté le recours formé contre une sanction pécuniaire de 3 millions d’euros prononcée pour manquement à l’article 82 de la loi du 6 janvier 1978, assortie d’une injonction de mise en conformité dans un délai de trois mois sous astreinte de 20 000 euros par jour de retard, dans sa décision n° 472221. Le 7 octobre 2025, il a rejeté le recours formé contre une amende administrative de 10 millions d’euros prononcée par la formation restreinte, dans sa décision n° 494300. Et le 1er septembre 2025, la formation restreinte a prononcé deux amendes d’un montant total de 325 millions d’euros en retenant notamment le dépôt de traceurs sans consentement valide, pour un manquement concernant plus de 74 millions de comptes, selon le communiqué de la CNIL : le consentement y est rappelé au sens de l’article 4, paragraphe 11, du règlement européen, qui définit le «consentement» de la personne concernée comme toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement. Le montant comme la motivation de ces sanctions montrent que le non-respect du refus de l’internaute compte parmi les manquements les plus lourdement sanctionnés du droit des données personnelles. Le 4 mars 2026, le Conseil d’État a également rejeté le recours formé contre une amende de 40 millions d’euros prononcée le 15 juin 2023 pour des manquements au règlement européen en matière de publicité ciblée, avec publication de la décision permettant d’identifier la société sanctionnée pendant deux ans, dans sa décision n° 482872. Surtout, le juge administratif s’est déjà prononcé sur une plainte visant précisément des pixels de suivi : le 31 juillet 2025, le Conseil d’État a statué sur les recours formés contre la clôture par la CNIL d’une plainte relative à l’utilisation de pixels de suivi et de liens traçants dans des courriels adressés par un organisme public à ses usagers, dans sa décision n° 490189. Cette décision rappelle qu’en application de l’article 77 du règlement européen, toute personne concernée a le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle considère que le traitement de données la concernant constitue une violation de ce règlement, et que cette autorité informe l’auteur de la réclamation de l’état d’avancement et de l’issue de sa réclamation, y compris de la possibilité d’un recours juridictionnel lorsque l’autorité ne traite pas sa réclamation ou ne l’informe pas dans un délai de trois mois. Elle précise en outre qu’en application de la loi française, la CNIL traite les réclamations, examine ou enquête sur leur objet dans la mesure nécessaire, et informe leur auteur de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, tandis que le silence gardé pendant trois mois sur une réclamation vaut décision de rejet. En l’espèce, la CNIL avait poursuivi l’instruction au-delà du délai de trois mois, était intervenue auprès du responsable de traitement, puis avait explicitement clôturé la plainte, ce qui rendait sans objet la demande d’annulation : cet exemple montre qu’une plainte documentée déclenche une instruction réelle, y compris une intervention directe de la CNIL auprès de l’organisme mis en cause, même lorsqu’elle s’achève par une clôture. Pour votre dossier individuel, une sanction de la CNIL ne vous indemnise pas directement, mais elle établit publiquement l’illicéité du comportement et pèse dans la suite du contentieux indemnitaire.

B. Obtenir du juge la cessation et la réparation de votre préjudice

La saisine du juge reste ouverte à tout moment, indépendamment de la plainte devant la CNIL. L’article 79 du RGPD garantit que, sans préjudice de tout recours administratif ou extrajudiciaire qui lui est ouvert, chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le règlement ont été violés du fait d’un traitement de ses données effectué en violation du règlement. Le même article précise que l’action peut être intentée devant les juridictions de l’État membre dans lequel la personne concernée a sa résidence habituelle, sauf cas particulier des autorités publiques agissant dans l’exercice de leurs prérogatives de puissance publique. Un internaute résidant en France, notamment en Île-de-France où siègent la CNIL et de nombreuses juridictions saisies de ce contentieux, peut donc agir devant le tribunal judiciaire de son domicile, y compris le tribunal judiciaire de Paris pour les résidents parisiens, sans avoir à poursuivre l’éditeur devant les tribunaux de son pays d’établissement.

Devant le juge, vous pouvez cumuler plusieurs demandes. D’abord, l’injonction de cesser : interdiction de tout dépôt ou lecture de traceur non nécessaire sans consentement préalable valable, sous astreinte, et suppression des données irrégulièrement collectées. Ensuite, la réparation de votre préjudice, sur le fondement de l’article 82, paragraphe 1, du RGPD : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Le dommage matériel recouvre les conséquences mesurables du pistage, comme des achats déclenchés par un reciblage non sollicité ou des frais engagés pour faire valoir vos droits. Le dommage moral recouvre l’atteinte à votre vie privée et la perte de contrôle sur vos données : le sentiment d’être surveillé malgré un refus explicite, l’exploitation de vos habitudes de navigation à des fins publicitaires, l’anxiété liée à la diffusion de vos données auprès de tiers inconnus.

Sur ce point, une mise au point récente de la Cour de cassation mérite toute votre attention pour calibrer vos demandes. Par un arrêt du 24 juin 2026, publié au Bulletin, la chambre sociale a cassé une décision qui avait indemnisé un salarié au seul motif que le non-respect du RGPD lui aurait nécessairement causé un préjudice, alors qu’il ne démontrait ni son existence ni son étendue. Au visa de l’article 82, paragraphe 1, du règlement, la Cour rappelle, dans le sillage de la Cour de justice, que la simple violation des dispositions du règlement ne suffit pas pour conférer un droit à réparation : le demandeur doit établir un dommage réel, matériel ou moral, et son étendue. La décision, consultable sur le site de la Cour de cassation, précise en contrepartie qu’aucun seuil de gravité n’est exigé pour le dommage moral : la Cour de justice s’oppose à une règle subordonnant la réparation du dommage moral à la condition que le préjudice ait atteint un certain degré de gravité. Concrètement, vous n’avez pas à démontrer un préjudice spectaculaire, mais vous devez décrire et documenter un préjudice concret : relatez précisément ce que le pistage a changé pour vous, produisez les publicités ciblées reçues, les relevés de traces, les échanges avec l’éditeur et le temps consacré à vos démarches, et chiffrez chaque poste avec mesure.

L’articulation avec la procédure CNIL mérite une dernière précision. La plainte devant l’autorité et l’action devant le juge sont indépendantes : vous pouvez agir en justice sans attendre l’issue de la plainte, et une décision de sanction rendue entre-temps renforce votre démonstration de l’illicéité sans dispenser de la preuve de votre préjudice propre. Inversement, l’absence de sanction ne fait pas obstacle à votre action : le juge apprécie lui-même la violation et le dommage. Dans les dossiers où le pistage s’accompagne d’une prospection non sollicitée, pensez à invoquer ensemble le manquement à l’article 82 de la loi française, la violation des articles 6 et 7 du RGPD sur le consentement, et l’atteinte à vos droits d’effacement et d’opposition : cette combinaison couvre à la fois la collecte initiale, la conservation des données et leur exploitation ultérieure, et elle permet au juge de prononcer des injonctions adaptées à chaque stade du traitement.

En définitive, le clic sur « tout refuser » n’est ni un vœu pieux ni une simple préférence : c’est l’exercice d’un droit dont la méconnaissance engage la responsabilité de l’éditeur du site, exposé aux sanctions de la CNIL comme aux condamnations du juge. La méthode qui protège vos intérêts tient en quatre temps : figer les preuves du pistage postérieur à votre refus, exiger par écrit la cessation et l’effacement sur le fondement des droits que le RGPD vous reconnaît, saisir la CNIL d’une plainte documentée si l’éditeur persiste, et porter devant le juge une demande chiffrée et étayée en réparation de votre préjudice réel. Menée avec rigueur, cette démarche transforme un refus ignoré en un dossier solide, adossé à des textes précis et à une jurisprudence qui ne cesse de se renforcer.

Source : Cour de cassation – Base Open Data « Judilibre » & « Légifrance ».