Vous consultez une paire de chaussures un matin sur un site marchand, sans rien acheter, et dès le soir la même paire vous suit sur un site d’information, puis dans votre application météo et jusque dans votre fil sur un réseau social. Cette persistance n’a rien d’un hasard ni d’une coïncidence : elle porte un nom, le reciblage publicitaire, et elle repose sur un suivi de votre navigation, souvent assuré par des traceurs déposés sur votre terminal ou par des identifiants générés par votre téléphone, dont les données sont ensuite croisées pour vous ranger dans des segments d’audience. La question que beaucoup de lecteurs se posent est simple : ai-je accepté ce suivi, puis-je l’arrêter, effacer ce qui a été collecté et, si un acteur a passé outre, obtenir réparation ? La réponse tient en trois temps : la loi interdit en principe tout dépôt ou toute lecture de traceur sans votre consentement préalable, le règlement européen vous donne des droits concrets d’opposition et d’effacement que les organismes doivent exécuter, et les manquements sont sanctionnés lourdement, comme l’ont montré en France trois décisions récentes du Conseil d’État confirmant des amendes de 40, 8 et 3 millions d’euros prononcées par la CNIL. Ce guide explique comment le reciblage fonctionne, ce que la loi exige exactement des sites et des régies, puis comment couper le suivi pas à pas et faire valoir vos droits devant la CNIL et le juge.
I. Le reciblage qui vous suit : comprendre le mécanisme et la règle
A. Cookies tiers, identifiants mobiles et segments : comment la publicité vous retrouve
Le reciblage consiste à reconnaître un visiteur qui n’a pas acheté pour lui présenter ensuite, sur d’autres sites ou applications, des annonces liées à ce qu’il a consulté. Techniquement, cette reconnaissance passe par plusieurs procédés qui se combinent. Sur un ordinateur, ce sont historiquement les cookies tiers : un petit fichier déposé par un domaine autre que celui du site visité, lu ensuite sur les sites partenaires de la même régie, ce qui permet de reconstituer une partie de votre parcours. Sur un téléphone, ce sont des identifiants propres à l’appareil ou au compte, comme l’identifiant publicitaire du système ou, sur les appareils d’une marque américaine, des identifiants internes relevés par le Conseil d’État dans une affaire de 2025 : un identifiant de compte, deux identifiants créés sur l’appareil lui-même, et des serveurs publicitaires capables d’associer l’utilisateur à des cohortes, c’est-à-dire à des groupes d’utilisateurs partageant certaines caractéristiques, afin de personnaliser la publicité. Sur les applications mobiles, des identifiants comme l’IDFV, l’identifiant attribué par le fournisseur aux applications d’un même éditeur sur un téléphone, servent au même usage. Les données ainsi collectées alimentent ce que le règlement européen appelle le profilage, défini comme toute forme de traitement automatisé de données personnelles visant à évaluer des aspects personnels, notamment pour analyser ou prédire les préférences ou centres d’intérêt personnels, le comportement, ou encore la localisation et les déplacements. Concrètement, une régie peut donc savoir que tel identifiant a visité telle page produit, l’associer à un segment d’amateurs de course à pied habitant telle zone, et enchérir pour afficher la chaussure devant lui pendant des semaines.
Le point décisif pour vos droits est que ces identifiants, même lorsqu’ils ressemblent à de simples numéros techniques, constituent des données personnelles dès lors qu’ils permettent de vous distinguer, directement ou indirectement. Le règlement européen retient en effet qu’une personne physique est identifiable notamment par référence à un identifiant en ligne, et les décisions rendues contre les régies confirment que les cookies et identifiants utilisés pour le reciblage sont bien des données personnelles soumises à l’ensemble des garanties du texte. Il en résulte que les acteurs de la chaîne, annonceurs, éditeurs de sites et régies intermédiaires, doivent déterminer qui fait quoi : celui qui définit les finalités et les moyens du traitement en est le responsable, et lorsque deux acteurs les définissent ensemble, ils sont responsables conjoints et doivent répartir leurs obligations dans un contrat transparent. Dans l’affaire qui a valu à une régie française de reciblage une amende de 40 millions d’euros, le Conseil d’État a ainsi validé que la société était bien responsable de traitement pour les données qu’elle collectait et combinait, et qu’elle ne pouvait se retrancher derrière ses partenaires éditeurs. Pour le lecteur, la conséquence est pratique : face à des publicités qui le suivent, il n’a pas à démêler seul cette chaîne, et il peut exercer ses droits contre l’acteur identifié tout en sachant que la CNIL, elle, contrôle l’ensemble des maillons.
B. Le consentement préalable et prouvé : ce que sites et régies doivent respecter avant tout suivi
Avant de déposer ou de lire un traceur à finalité publicitaire sur votre téléphone ou votre ordinateur, le site ou la régie doit obtenir votre consentement, et il doit le faire avant toute opération, pas après. C’est l’exigence centrale de l’article 82 de la loi du 6 janvier 1978, qui transpose en droit français la règle européenne sur les communications électroniques : tout abonné ou utilisateur doit être informé de manière claire et complète, sauf s’il l’a été au préalable, de la finalité de toute action tendant à accéder à des informations déjà stockées dans son équipement ou à y inscrire des informations, ainsi que des moyens dont il dispose pour s’y opposer. Et le même texte ajoute une formule couperet, citée mot à mot par le Conseil d’État : « Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement ». Autrement dit, un bandeau qui dépose les traceurs avant votre clic, une case pré-cochée, un bouton « tout accepter » sans équivalent réel pour refuser, ou une information vague sur « l’amélioration de votre expérience » sans mentionner le suivi publicitaire, ne valent pas consentement. L’information préalable doit elle-même être complète pour que le consentement soit éclairé : l’utilisateur doit connaître l’identité du responsable du traitement, chacune des finalités poursuivies, présentées séparément pour permettre un choix par finalité, les catégories de partenaires destinataires des données, à commencer par les régies de reciblage, la durée de conservation des traceurs et des données, ainsi que les droits dont il dispose et les moyens de les exercer, y compris le droit d’introduire une réclamation auprès de la CNIL. C’est précisément l’absence ou l’insuffisance de ces mentions qui a fondé une partie des manquements sanctionnés dans l’affaire de la régie de reciblage, où la formation restreinte a relevé des manquements aux obligations d’information et à l’exercice des droits d’accès et d’effacement, en plus du défaut de preuve du consentement. La CNIL le rappelle dans ses pages d’information : le consentement doit être préalable au dépôt ou à la lecture, libre, spécifique, univoque et éclairé, lié à la qualité de l’information reçue, et il doit pouvoir être retiré simplement et à tout moment (voir la page de la CNIL sur ce que dit la loi).
À cette règle française s’ajoute le règlement européen, qui verrouille la preuve : « Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant ». C’est donc au site ou à la régie de prouver, et non à vous de prouver que vous n’avez pas consenti. En outre, le traitement n’est licite que s’il repose sur l’une des bases prévues par le texte, dont la première est que « la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques » : le reciblage ne peut pas se fonder sur un intérêt légitime flou quand un consentement spécifique était requis, et il ne peut pas recycler un consentement donné pour une autre finalité, par exemple la création d’un compte ou la réception d’une lettre d’information. À noter pour éviter toute confusion : le démarchage téléphonique sans consentement préalable relève d’un autre régime, celui de l’article L. 223-1 du code de la consommation, qui interdit de démarcher par téléphone un consommateur n’ayant pas exprimé son consentement, tandis que la prospection par SMS ou courriel obéit à l’article L. 34-5 du code des postes et des communications électroniques ; le reciblage par traceurs, lui, relève de l’article 82 de la loi du 6 janvier 1978 et du règlement européen, et c’est ce régime qui s’applique aux publicités qui vous suivent après une visite. Les décisions récentes illustrent ces principes cas par cas : la formation restreinte de la CNIL a sanctionné en décembre 2022 un éditeur de jeux mobiles à hauteur de 3 millions d’euros pour avoir utilisé l’identifiant de l’appareil sans recueillir le consentement requis, puis un fabricant de téléphones à hauteur de 8 millions d’euros pour des pratiques de lecture et d’écriture à des fins publicitaires, et en juin 2023 une régie de reciblage à hauteur de 40 millions d’euros pour des manquements portant notamment sur le consentement, l’information et l’exercice des droits. Le Conseil d’État a rejeté les recours contre ces trois sanctions, le 14 mai 2024, le 15 octobre 2025 et le 4 mars 2026. Si les publicités vous suivent alors que vous aviez cliqué sur « tout refuser », ou si vous n’avez jamais vu le moindre bandeau sur les sites concernés, vous vous trouvez dans le cas de figure que ces décisions sanctionnent, et les démarches décrites dans la seconde partie ont de sérieuses chances d’aboutir.
II. Couper le suivi et faire valoir vos droits : la méthode complète
A. Refuser, retirer, effacer : les gestes qui arrêtent le reciblage
La première action consiste à retirer ou à refuser le consentement là où il a été capté, puis à couper le suivi à la source. Sur chaque site qui vous suit, rouvrez le module de gestion des cookies, généralement accessible par un lien « choix de confidentialité », « cookies » ou « vie privée » en bas de page, et refusez les finalités publicitaires, de mesure liées à la publicité et de partage avec des partenaires. Ce retrait vaut pour l’avenir et doit être pris en compte simplement, sans parcours d’obstacles, comme l’explique le guide consacré au site qui bloque l’accès en cas de refus des cookies et aux moyens de le contester : si le site rend le refus nettement plus compliqué que l’acceptation, conservez des captures d’écran datées, car cette asymétrie fait partie des indices que la CNIL retient. Ensuite, agissez au niveau de vos appareils. Sur téléphone, limitez le suivi publicitaire dans les réglages de confidentialité du système, réinitialisez l’identifiant publicitaire, et désactivez la personnalisation des annonces dans les paramètres de votre compte chez les grands fournisseurs, qui proposent une page dédiée permettant de désactiver la collecte à des fins publicitaires personnalisées. Sur ordinateur, paramétrez votre navigateur pour bloquer les cookies tiers, activez l’option de suppression des cookies à la fermeture, et utilisez le mode de navigation privée pour les visites que vous ne souhaitez pas voir exploitées. Ces réglages ne remplacent pas l’exercice de vos droits contre les organismes, mais ils tarissent immédiatement le flux de données nouvelles pendant que vos demandes sont traitées.
La deuxième action consiste à exercer vos droits par écrit contre les acteurs identifiés : l’annonceur dont les publicités vous suivent, l’éditeur du site où le traceur a été déposé, et la régie de reciblage quand vous parvenez à l’identifier, par exemple depuis la mention d’information ou le module de cookies du site. Le règlement européen vous ouvre dans cet ordre l’accès, la rectification, l’effacement et l’opposition. Demandez d’abord la copie de vos données : finalités du traitement, catégories de données, destinataires auxquels elles ont été communiquées, durée de conservation et source des données, car cette réponse révèle l’ampleur du suivi et prépare la suite. Puis exigez l’effacement des données collectées sans consentement valable, en visant chaque identifiant que l’organisme détient sur vous, y compris les segments d’audience qui vous sont associés. Le texte européen vous donne à cet égard un droit d’opposition absolu en matière de prospection : « Lorsque les données à caractère personnel sont traitées à des fins de prospection, la personne concernée a le droit de s’opposer à tout moment au traitement des données à caractère personnel la concernant », et plus largement, « La personne concernée a le droit de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement des données à caractère personnel la concernant » lorsqu’il est fondé sur l’intérêt légitime. Envoyez ces demandes par un moyen qui laisse une trace, courrier recommandé ou courriel conservé, en joignant la copie d’un justificatif d’identité si l’organisme ne peut pas vous identifier autrement, et en décrivant précisément les faits : dates et heures des publicités suivies, captures montrant le bandeau cookies et votre choix, adresses des pages visitées. L’organisme doit répondre dans les meilleurs délais et au plus tard dans un délai d’un mois, et motiver un éventuel refus ; l’absence de réponse dans ce délai ouvre la voie du recours devant la CNIL puis devant le juge, et chaque échange conservé devient une preuve. Si le suivi persiste malgré votre opposition, relevez-le : nouvelles captures datées, journal des annonces reçues, enregistrement du module de cookies, car la poursuite du traitement après opposition caractérise un manquement distinct et aggrave la situation de l’organisme.
Un cas particulier mérite un traitement séparé : le reciblage subi par un mineur ou décidé à partir de ses données. Les paramètres par défaut des comptes d’enfants doivent être protecteurs, et un suivi publicitaire construit sur la navigation d’un enfant de moins de quinze ans sans l’accord du titulaire de l’autorité parentale cumule les violations. Les parents peuvent exercer les droits d’accès, d’opposition et d’effacement pour le compte de l’enfant, signaler les faits à la CNIL en précisant l’âge, et saisir le juge pour faire cesser le traitement et obtenir réparation du préjudice propre de l’enfant. De même, si les publicités qui vous suivent révèlent une donnée sensible, par exemple des annonces liées à une maladie, à des opinions ou à des convictions déduites de votre navigation, mentionnez-le expressément dans vos demandes et vos plaintes : le traitement de telles données est en principe interdit sauf exception étroite, et sa mise en évidence renforce considérablement le dossier.
B. Plainte à la CNIL, sanction et réparation devant le juge : faire payer les manquements
Lorsque l’organisme ne répond pas, répond à côté ou poursuit le suivi, la plainte devant la CNIL est l’étape suivante. Déposez-la en ligne sur le site de la Commission en joignant l’ensemble du dossier : demandes exercées et preuves d’envoi, captures du bandeau et de votre refus, relevés datés des publicités persistantes, réponses éventuelles de l’organisme. La CNIL peut contrôler, mettre en demeure, prononcer une injonction de mise en conformité sous astreinte et infliger une amende, dont elle ordonne fréquemment la publication. Les montants prononcés dans le domaine du suivi publicitaire donnent la mesure de ce risque pour les professionnels : 3 millions d’euros contre un éditeur d’applications mobiles en décembre 2022 pour usage d’un identifiant sans consentement, 8 millions contre un fabricant de téléphones à la même date pour lecture et écriture publicitaires sur le terminal, et 40 millions contre une régie de reciblage en juin 2023 pour des manquements touchant au consentement, à l’information des personnes, à l’exercice des droits d’accès, d’effacement et d’opposition, et au contrat encadrant les responsabilités conjointes. Le Conseil d’État, saisi par les trois sociétés, a confirmé les trois sanctions : le 14 mai 2024 pour l’éditeur de jeux, décision n° 472221, le 15 octobre 2025 pour le fabricant, décision n° 473833, et le 4 mars 2026 pour la régie, décision n° 482872. Dans cette dernière affaire, la haute juridiction a notamment jugé que la CNIL, autorité chef de file pour une société établie principalement en France, pouvait sanctionner des manquements commis en France comme à l’étranger après en avoir informé les autorités européennes, et que la société, qui collectait et combinait elle-même les données, avait bien la qualité de responsable de traitement sans pouvoir se retrancher derrière ses partenaires. Ces décisions confirment aussi que l’information des personnes et la preuve du consentement sont contrôlées traceur par traceur : un site qui dépose des cookies publicitaires avant le clic de l’utilisateur, ou une régie qui ne peut pas démontrer un consentement libre, spécifique et éclairé pour chaque finalité, s’expose à la sanction, à l’injonction sous astreinte journalière et à la publication de la décision. Pour éclairer le cadre applicable aux professionnels comme aux particuliers, on peut utilement se reporter à l’analyse des sanctions prononcées contre les entreprises, des mises en demeure aux amendes et astreintes, qui détaille la gradation des mesures et les voies de contestation.
La sanction administrative n’épuise pas vos recours : vous pouvez aussi demander au juge la cessation du suivi et la réparation de votre préjudice. Le règlement européen ouvre le droit à réparation : « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi », et cette action se porte devant le tribunal judiciaire, seul ou après une plainte à la CNIL dont la décision, si elle constate des manquements, pèse lourd dans le débat. Le préjudice réparable ne se limite pas à une perte d’argent : la doctrine des juridictions admet l’indemnisation du préjudice moral résultant de la perte de contrôle sur ses données, de l’exposition publicitaire intrusive et durable, du temps passé à faire cesser le suivi et de l’inquiétude liée à l’exploitation de sa navigation, dès lors que ces éléments sont établis par pièces. Chiffrez concrètement : nombre de semaines de suivi avéré, démarches accomplies et temps consacré, persistance après opposition, éventuelle révélation de données sensibles, et produisez le dossier constitué depuis le début, demandes, captures, réponses, plainte à la CNIL et suites données. Le juge peut ordonner la suppression des données et interdire la poursuite du traitement sous astreinte, en plus des dommages et intérêts, et les frais de procédure peuvent être mis à la charge de la partie perdante. Deux textes du code civil fondent ces demandes : d’une part, chacun a droit au respect de sa vie privée, et les juges peuvent prescrire toutes mesures propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée, ce qui couvre la cessation du suivi intrusif ; d’autre part, tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer, ce qui fonde l’indemnisation du préjudice moral lié à la perte de contrôle sur ses données, y compris lorsque le règlement européen est invoqué en parallèle. Enfin, si le suivi vous a conduit à un achat non désiré ou si vos données ont circulé vers des partenaires inconnus, étendez vos demandes d’accès et d’effacement à ces partenaires identifiés dans la réponse de l’organisme, et signalez à la CNIL toute revente de fichiers sans information préalable : la chaîne du reciblage ne s’arrête pas au premier acteur, et vos droits la suivent jusqu’au bout.
Conclusion
Des publicités qui vous suivent de site en site après une simple visite ne sont ni une fatalité ni la contrepartie normale d’internet : en France, aucun traceur publicitaire ne peut être déposé ou lu sur votre terminal sans votre consentement préalable, ce consentement doit être prouvé par celui qui s’en prévaut, et vous pouvez à tout moment vous opposer au suivi, exiger l’effacement et saisir la CNIL puis le juge. La méthode tient en quatre réflexes : refuser la publicité dans les modules de cookies et couper le suivi dans les réglages de vos appareils, exercer vos droits par écrit avec des preuves datées, déposer une plainte complète à la CNIL en cas d’échec, et demander en justice la cessation sous astreinte et la réparation du préjudice moral. Les sanctions de 40, 8 et 3 millions d’euros confirmées par le Conseil d’État en 2024, 2025 et 2026 montrent que les manquements se paient, et un dossier précis, constitué dès les premières publicités persistantes, reste votre meilleure arme. Si le suivi persiste malgré un refus explicite ou s’il touche un enfant, n’attendez pas : chaque semaine de reciblage documentée renforce la plainte et l’action en réparation.