Le 16 octobre 2026, le Conseil d’État a rejeté le recours formé par la société Orange contre une délibération par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés lui avait infligé une amende administrative de 50 millions d’euros, assortie d’une injonction de mise en conformité sous astreinte de 100 000 euros par jour (Conseil d’État, 16 octobre 2026, n° 501268). Au cœur du dossier, un grief simple à comprendre pour tout internaute : des cookies restaient lisibles sur le terminal des visiteurs du site après le retrait de leur consentement, par la société comme par ses partenaires. La haute juridiction a confirmé que ce constat suffit à caractériser le manquement. Les développements qui suivent sont de portée générale : ils décrivent les vérifications et les recours utiles dans toute situation comparable et ne décrivent pas la situation d’une autre société, sur laquelle l’article ne formule aucun constat.
Cette décision donne à une question quotidienne une réponse de référence. Vous avez accepté les cookies à la première visite, puis changé d’avis et cliqué sur « retirer mon consentement » ou « tout refuser ». Pourtant, les contenus ciblés continuent, les identifiants persistent et les requêtes vers des serveurs publicitaires se poursuivent. Le retrait a-t-il produit un effet réel, et que faire quand la lecture des traceurs continue malgré ce retrait ? Le droit applicable tient en trois propositions : la lecture d’informations stockées sur votre terminal exige un consentement préalable, sauf deux exceptions étroites ; le retrait doit produire un effet technique, et l’absence d’exploitation ultérieure des données ne change rien au manquement ; plusieurs chemins existent alors, du constat à l’effacement, de la plainte devant la Commission à l’action en réparation devant le juge. Cet article les décrit, à partir des textes et des décisions qui les fondent.
I. Lire des traceurs après le retrait du consentement constitue un manquement, même sans exploitation ultérieure
A. La lecture sur le terminal exige un consentement préalable, sauf deux exceptions étroites
Le principe est posé par l’article 82 de la loi du 6 janvier 1978, dite loi Informatique et Libertés, dans sa version en vigueur depuis le 1er juin 2019, qui transpose en droit français les règles européennes sur la vie privée et les communications électroniques. La Commission nationale de l’informatique et des libertés rappelle que l’article 82 constitue la transposition française de ces règles européennes (CNIL, cookies et traceurs : que dit la loi). Concrètement, avant d’inscrire un traceur publicitaire, un pixel de suivi ou un témoin de mesure d’audience non exempté sur votre téléphone ou votre ordinateur, ou de lire les informations qui s’y trouvent, le site doit obtenir votre accord préalable. Seules deux situations échappent à cette exigence, et le Conseil d’État vient en rappeler les termes exacts : l’opération « a pour finalité exclusive de permettre ou faciliter la communication par voie électronique » ou « est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur » (Conseil d’État, 16 octobre 2026, n° 501268). Tout le reste, et en particulier le suivi publicitaire, le partage avec des régies et la constitution de profils, relève du consentement.
Ce consentement n’est pas une notion propre aux cookies : il renvoie à la définition générale du règlement, que le Conseil d’État rappelle en ces termes (Conseil d’État, 19 juin 2020, n° 434684) : « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement » (article 4, paragraphe 11, du RGPD). Chaque adjectif compte. Libre signifie sans contrainte ni pression : le considérant 42 du même règlement précise qu’un consentement ne peut être regardé comme librement donné quand la personne ne dispose pas d’une véritable liberté de choix ou ne peut refuser ou retirer sans subir de préjudice (considérant 42 du RGPD). Spécifique signifie un accord donné pour chaque finalité : accepter la mesure d’audience ne vaut pas accepter le ciblage publicitaire ni la transmission à des partenaires. Éclairé suppose une information claire sur qui dépose quoi, pour quoi faire et pendant combien de temps, avant le choix. Univoque exige un acte positif clair : cocher, cliquer sur accepter, paramétrer ses choix. Le silence, une case pré-cochée ou la simple poursuite de la navigation ne répondent pas à cette définition.
Le traitement fondé sur un consentement qui ne réunit pas ces qualités manque de base légale. Le règlement n’autorise un traitement que si l’une des conditions qu’il énumère est remplie, au premier rang desquelles figure le consentement de la personne concernée (article 6 du RGPD). Un site qui dépose des traceurs publicitaires en se prévalant d’un accord arraché par un parcours trompeur, d’un bouton de refus introuvable ou d’une absence de choix réel traite donc des données sans fondement valable. La Commission en tire la règle applicable : un consentement libre, spécifique, éclairé et univoque, que l’utilisateur doit pouvoir retirer à tout moment avec la même simplicité que celle avec laquelle il l’a accordé (CNIL, cookies et traceurs : que dit la loi). Le consentement se donne librement, se refuse simplement et se retire à tout moment, avec effet.
L’obligation ne pèse pas seulement sur l’éditeur du site visible à l’écran. La Commission précise qu’elle s’impose aux responsables des traitements qui déposent des traceurs soumis au consentement en application de l’article 82 de la loi Informatique et Libertés, y compris lorsque les éditeurs autorisent le dépôt de cookies qui sont ensuite lus par des régies publicitaires, ces acteurs étant regardés comme responsables conjoints quand ils déterminent ensemble les finalités et les moyens des opérations de lecture et d’écriture sur le terminal. Sont notamment visés les éditeurs de sites et d’applications, les régies publicitaires et les réseaux sociaux qui fournissent des modules de partage (CNIL, cookies et traceurs : que dit la loi). Dans l’affaire jugée le 16 octobre 2026, la lecture persistante après le retrait était le fait de la société comme de ses partenaires, et c’est bien l’ensemble de cette lecture que la Commission puis le juge ont retenu. Pour la personne suivie malgré son retrait, cette analyse élargit utilement le cercle des destinataires de ses demandes : l’éditeur du site, mais aussi les tiers qui lisent les traceurs et exploitent les données collectées.
B. La décision du 16 octobre 2026 : le retrait ignoré suffit, sans exploitation ultérieure
Les faits retenus dans l’affaire tranchée le 16 octobre 2026 méritent une lecture attentive, car ils ressemblent à l’expérience de millions d’utilisateurs. La Commission avait constaté que des cookies étaient inscrits sur les terminaux des visiteurs du site, sans que le retrait du consentement fasse obstacle à ce que ces cookies soient ultérieurement lus par la société ou par ses partenaires. La société soutenait notamment que cette lecture ne conduisait pas à une exploitation ultérieure des données et que le manquement n’était donc pas caractérisé. Le Conseil d’État a écarté l’argument dans des termes que toute personne confrontée à un retrait sans effet devrait connaître : « Dès lors que la lecture de ces informations stockées dans les terminaux des utilisateurs n’est pas contestée, la circonstance qu’elles n’auraient fait l’objet d’aucun traitement ultérieur est sans incidence sur la caractérisation du manquement à l’article 82 de la loi du 6 janvier 1978. » (Conseil d’État, 16 octobre 2026, n° 501268). Autrement dit, la lecture elle-même, après le retrait, constitue le manquement. Il n’est pas nécessaire de démontrer que les données lues ont ensuite servi à vous cibler, à établir un profil ou à alimenter un fichier. Le traçage technique persistant suffit.
La décision précise également le régime de la sanction encourue. Aux termes du paragraphe 2 de l’article 83 du règlement, que le Conseil d’État cite, le montant de l’amende s’apprécie au regard notamment de la nature, de la gravité et de la durée de la violation, du nombre de personnes concernées et du niveau de dommage subi. En l’espèce, compte tenu de la gravité des manquements constatés et de l’ensemble des circonstances, la sanction de 50 millions d’euros n’a pas été jugée disproportionnée, et la requête de la société a été rejetée dans son ensemble (Conseil d’État, 16 octobre 2026, n° 501268). L’injonction de mise en conformité, assortie d’une astreinte de 100 000 euros par jour, a suivi le même sort. Pour le lecteur, l’enseignement pratique est double : d’une part, le retrait du consentement doit produire un effet technique vérifiable, la fin des lectures, et pas seulement un changement d’affichage ; d’autre part, la persistance des lectures après le retrait expose l’éditeur et ses partenaires à des sanctions dont l’ordre de grandeur n’a plus rien de symbolique.
Cette exigence d’effectivité prolonge une ligne déjà tracée par le juge et le régulateur. La Commission a adopté le 17 septembre 2020 des lignes directrices sur les cookies et autres traceurs, complétées par une recommandation proposant des exemples de modalités pratiques de recueil du consentement, et publie un guide de mise en conformité détaillant les parcours attendus (CNIL, comment mettre mon site en conformité). L’idée directrice ne varie pas : refuser doit être aussi facile qu’accepter, et revenir sur son choix doit rester possible à tout moment avec la même simplicité. Saisi par des associations de défense des libertés numériques, le Conseil d’État a eu à examiner le plan d’action de la Commission dans ce domaine, dans une affaire où les requérantes soutenaient que la poursuite de la navigation sur un site ne constitue pas un mode d’expression valable du consentement (Conseil d’État, 16 octobre 2019, n° 433069). Puis, saisi par des organisations du secteur publicitaire qui contestaient les lignes directrices du 4 juillet 2019 relatives à l’application de l’article 82, il a confirmé le rôle structurant de ces instruments pour le contrôle des bandeaux et des parcours de choix (Conseil d’État, 19 juin 2020, n° 434684).
Le règlement européen verrouille ce dispositif par le droit au retrait. Le texte ouvre à la personne concernée le droit de retirer son consentement à tout moment. Le retrait ne remet pas en cause le traitement effectué avant, mais il impose l’arrêt pour l’avenir (Conseil d’État, 19 juin 2020, n° 434684). Le juge en déduit qu’« en l’absence de consentement exprimé par un acte positif clair, l’utilisateur doit être considéré comme ayant refusé l’accès à son terminal ou l’inscription d’informations dans ce dernier » et que, « d’autre part, il peut retirer son consentement à tout moment » (Conseil d’État, 19 juin 2020, n° 434684). La Commission retient qu’il doit « être aussi facile de refuser ou de retirer son consentement que de le donner », formule que le Conseil d’État a validée (Conseil d’État, 19 juin 2020, n° 434684). Un site qui cache le retrait au fond d’un menu, qui impose de décocher manuellement des dizaines de partenaires un par un, ou qui fait réapparaître le bandeau d’acceptation à chaque visite sans tenir compte du refus enregistré, méconnaît cette règle. Depuis le 16 octobre 2026, il est établi qu’un tel comportement, quand la lecture des traceurs se poursuit malgré le retrait, caractérise un manquement à l’article 82 de la loi Informatique et Libertés, que les données lues soient ou non exploitées ensuite. La contrainte documentée, mur conditionnant l’accès ou parcours dissuasif, fragilise en outre la validité du consentement invoqué : conservez-en la preuve, car elle devient une pièce du dossier au même titre que les relevés techniques décrits dans la seconde partie de cet article.
II. Quand le retrait ne produit aucun effet : preuves, effacement, CNIL et juge
A. Constater la lecture persistante puis exiger l’arrêt et l’effacement
Un dossier solide commence par des preuves simples, datées et conservées. Photographiez le bandeau tel qu’il se présente, avec la présence ou l’absence d’un bouton de refus, puis l’écran de paramétrage et la page de retrait du consentement si elle existe. Enregistrez une courte vidéo montrant votre retrait suivi de la persistance du suivi : contenus ciblés identiques sur d’autres sites, préférences non mémorisées, bandeau qui réapparaît. Les outils de développement des navigateurs permettent de visualiser les cookies présents et les requêtes émises vers des domaines tiers après le retrait ; une copie d’écran horodatée de ces requêtes vaut constat technique utile, et c’est précisément ce type de lecture persistante, par la société comme par ses partenaires, qui a fondé la sanction confirmée le 16 octobre 2026. Notez les noms des partenaires ou régies qui apparaissent, les identifiants qui persistent après suppression, et les dates de chaque vérification. Ces éléments serviront à chaque étape suivante, de la demande adressée à l’éditeur jusqu’à la plainte et à l’action en justice.
La première démarche s’adresse à l’éditeur du site, par écrit, de préférence par un canal qui laisse une trace. Rappelez votre retrait, décrivez les faits constatés avec leurs dates, et demandez l’arrêt des lectures non consenties, l’effacement des données collectées sans base valable et la liste des tiers destinataires de ces données. Le règlement reconnaît à toute personne un droit d’obtenir du responsable du traitement l’effacement de données la concernant dans plusieurs situations, notamment quand elles ont été traitées de manière illicite ou quand le consentement est retiré sans autre fondement, ainsi qu’un droit d’opposition que le responsable ne peut écarter qu’en démontrant des motifs légitimes et impérieux (droits à l’effacement et d’opposition, chapitre III du RGPD). Formulez ces demandes séparément et nettement : retrait du consentement pour chaque finalité, opposition au suivi publicitaire, effacement des données déjà collectées, information sur les destinataires. Un message groupé et précis évite les réponses dilatoires qui traitent une partie de la demande en ignorant le reste.
N’arrêtez pas la démarche à l’éditeur visible. Quand les relevés techniques montrent des transmissions vers des régies, des plateformes de mesure ou des réseaux sociaux, adressez à chacun de ces tiers la même demande d’arrêt et d’effacement pour ce qui le concerne, en joignant les preuves de la transmission. La Commission considère que l’obligation de consentement peut peser sur ces acteurs lorsqu’ils déterminent avec l’éditeur les finalités et les moyens du traçage (CNIL, cookies et traceurs : que dit la loi). En pratique, les plateformes publicitaires proposent des formulaires de confidentialité et des pages de paramètres ; utilisez-les tout en conservant des copies de chaque envoi. Si le site propose un module de gestion des consentements, testez-le après vos demandes et constatez par écrit son fonctionnement réel : un module qui affiche un retrait tout en continuant d’émettre des requêtes devient lui-même une pièce du dossier, au sens exact de la décision du 16 octobre 2026.
Pensez aussi à purger votre propre terminal, sans y voir une solution juridique mais un geste d’hygiène utile : suppression des cookies et des données de site, révocation des autorisations accordées aux applications liées, désactivation des modules sociaux intégrés aux pages. Cette purge ne répare pas le manquement du site et ne prive pas vos demandes de leur objet, car les données déjà transmises aux serveurs de l’éditeur et de ses partenaires subsistent. Elle limite en revanche la collecte future pendant le traitement de votre dossier. Pour les lecteurs qui gèrent aussi un compte client sur le même site, une analyse voisine a été consacrée aux comptes conservés et à la prospection qui continue après la fermeture, avec les mêmes leviers d’effacement et de réparation (compte fermé, données conservées et prospection qui continue). Les deux situations se combinent souvent : retrait ignoré d’un côté, conservation abusive de l’autre.
Quand l’éditeur ne répond pas, répond à côté ou affirme que tout est normal sans preuve technique, passez à l’étape suivante sans attendre. Joignez à votre plainte l’ensemble des pièces dans l’ordre chronologique : bandeau initial, paramétrage, retrait enregistré, relevés techniques postérieurs au retrait, demandes adressées et réponses reçues. Un dossier ordonné, avec des faits datés et des captures lisibles, se traite plus vite et se défend mieux, devant l’autorité de contrôle comme devant le juge.
B. Saisir la CNIL, agir devant le juge et demander réparation du préjudice
La plainte devant la Commission constitue la voie naturelle quand la lecture des traceurs persiste malgré le retrait. Le règlement ouvre à toute personne le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre de sa résidence habituelle, de son lieu de travail ou du lieu de la violation alléguée (droit de réclamation, chapitre VIII du RGPD). La plainte s’effectue en ligne sur le site de la Commission, avec le récit chronologique des faits et l’ensemble des pièces réunies. Décrivez précisément le parcours imposé : absence de refus au premier niveau, retrait sans effet technique, partenaires destinataires des données. Une plainte individuelle bien documentée peut déclencher un contrôle, rejoindre une procédure en cours contre le même acteur ou alimenter une action coordonnée au niveau européen. La Commission dispose de pouvoirs d’enquête et de correction, y compris en matière répressive (Conseil d’État, 16 octobre 2019, n° 433069), et l’affaire tranchée le 16 octobre 2026 montre l’échelle des sanctions prononcées dans ce domaine : 50 millions d’euros d’amende et injonction sous astreinte de 100 000 euros par jour. Votre plainte n’exige aucun formalisme d’avocat et n’empêche pas les autres actions.
L’action en justice suit une logique distincte et complémentaire. Le règlement prévoit que toute personne peut former un recours juridictionnel effectif contre un responsable du traitement ou un sous-traitant quand elle estime que les droits que lui confère le règlement ont été violés du fait d’un traitement non conforme (recours juridictionnel, chapitre VIII du RGPD). Concrètement, vous pouvez demander au juge d’ordonner l’arrêt des lectures illicites et l’effacement des données, selon les règles de procédure applicables. Cette action se distingue de la plainte : la Commission sanctionne et ordonne dans l’intérêt de la conformité générale, tandis que le juge tranche votre litige et ordonne les mesures propres à votre situation. Les deux voies peuvent avancer en parallèle, et les constatations de l’une nourrissent l’autre. La décision du 16 octobre 2026, qui confirme le manquement dès la lecture persistante après le retrait, fournit aux demandeurs un fondement net : il n’est plus nécessaire de démontrer l’usage ultérieur des données lues pour établir la violation.
La réparation du préjudice obéit à un texte clair : le règlement ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation le droit d’obtenir du responsable du traitement ou du sous-traitant la réparation du préjudice subi (droit à réparation, chapitre VIII du RGPD). Trois éléments structurent la demande : une violation établie, un dommage concret et un lien entre les deux. La violation se prouve par les relevés et les échanges décrits plus haut : lecture sans consentement valable, retrait sans effet, partenaires toujours destinataires des données. Le dommage s’établit par des éléments tangibles : exposition publicitaire ciblée persistante et documentée, temps consacré à des démarches répétées et restées sans effet, sentiment d’être suivi en ligne malgré un retrait exprès, utilisation de vos données de navigation par des tiers que vous n’avez jamais choisis. Le lien se déduit de la chronologie : les lectures constatées après le retrait proviennent du dispositif mis en cause. Le responsable ne s’exonère qu’en prouvant que le fait à l’origine du dommage ne lui est nullement imputable, ce qui suppose de sa part une démonstration technique précise, non une simple affirmation de conformité.
Préparez la demande de réparation comme un dossier chiffré et sobre. Listez les postes invoqués séparément, avec une pièce pour chacun : captures du ciblage persistant, copies des demandes et des relances, relevés des transmissions aux partenaires, attestation des démarches accomplies. Évitez les montants déclaratifs sans support et les qualifications excessives : un juge indemnise un préjudice démontré, non une indignation. Quand le traçage s’accompagne d’autres manquements du même acteur, par exemple une conservation abusive après fermeture de compte ou une prospection qui continue malgré l’opposition, regroupez les griefs dans une présentation ordonnée plutôt que dans des procédures dispersées. La cohérence du dossier renforce chaque grief, car elle dessine une pratique plutôt qu’un incident isolé.
Deux précautions ferment cette partie. D’abord, ne confondez pas les rôles : la Commission contrôle et sanctionne, le juge ordonne et indemnise, et ni l’un ni l’autre ne se substitue à votre travail de preuve. Ensuite, conservez tout jusqu’à l’issue complète du litige : bandeaux, relevés, courriers, réponses, constats. Les opérateurs modifient leurs parcours au fil des mises en conformité, et seule votre documentation fige l’état des faits au jour du manquement. Un dossier conservé dans l’ordre reste exploitable bien après les faits, quand les interfaces ont changé et que les souvenirs se sont effacés.
Depuis le 16 octobre 2026, un site qui continue de lire des traceurs après votre retrait ne commet pas une simple maladresse ergonomique : il manque à l’article 82 de la loi Informatique et Libertés, et l’absence d’exploitation ultérieure des données lues ne change rien à ce constat. Le retrait que vous avez exprimé doit produire un effet technique réel, pour l’éditeur comme pour ses partenaires, et la poursuite de la navigation ne vaut jamais accord. Quand ces règles sont ignorées, la méthode tient en quatre gestes : constater par des preuves datées, exiger par écrit l’arrêt et l’effacement auprès de l’éditeur et des tiers, saisir la Commission d’une plainte documentée, puis demander au juge l’arrêt des lectures et la réparation du préjudice subi. Menée dans cet ordre, avec des pièces conservées à chaque étape, l’action transforme un retrait ignoré en dossier gagnable.