Vie des affaires

Date: 2026-02-17

Vie des affaires,Vie des affaires

TRANSMETTRE DES DONNÉES PERSONNELLES À UN RÉSEAU SOCIAL POUR CRÉER DES PUBLICITÉS CIBLÉES PEUT COÛTER CHER !

Une société transmettait à un réseau social des adresses électroniques et/ou des numéros de téléphone des membres d'un programme de fidélité qu'elle proposait. Ces données permettaient de créer sur ledit réseau social des publicités ciblées visant à promouvoir des articles vendus par la société.

La Commission nationale de l'informatique et des libertés (CNIL) a considéré que la transmission de données personnelles des clients de la société, adhérant à un programme de fidélité, servait à la création de publicités ciblées n'ayant aucune base légale (art. 6 du RGPD). Le consentement des clients n'était pas valablement recueilli car rien ne mentionnait leur transmission à un réseau social, ni l'objectif de création de publicités ciblées sur cette plateforme. Ainsi, leur consentement ne pouvait être considéré comme "éclairé". Par ailleurs, l'information que le site web fournissait aux clients dont les données personnelles étaient collectées restait trop imprécise voire incomplète (par exemple quant à la finalité du traitement des publicités ciblées ou à la durée de conservation des données des clients concernés).

La CNIL a également relevé que les mots de passe des comptes d'utilisateurs n'étaient pas suffisamment forts et que, dès lors, la société manquait à son obligation d'assurer la sécurité des données récoltées. Au regard du volume important de données personnelles concernées mais aussi du croisement de données et donc du risque pour les droits et libertés des personnes concernées, la société aurait dû réaliser une analyse d'impact sur la protection des données au préalable.

Enfin, le consentement des utilisateurs n'était pas demandé avant le dépôt de cookies facultatifs sur leurs terminaux.

Le montant de l'amende (3,5 millions d'euros), a été justifié par le nombre élevé de personnes concernées (10,5 millions) et le fait que les manquements touchent des principes fondamentaux du RGPD. Par ailleurs, la CNIL a jugé que, la publicité ciblée étant une pratique répandue, il convenait d'informer les usagers sur les règles applicables, d'où la publicité de la délibération.

Communiqué de la CNIL du 22 janvier 2026 : "Transmission de données à un réseau social à des fins publicitaires : la CNIL prononce une sanction de 3,5 millions d'euros".