Sanction CNIL - Publicité & réseaux sociaux
Publié le 15 septembre 2026
CONTEXTE DE LA DÉCISION
La CNIL a sanctionné une grande enseigne de distribution principalement pour ses campagnes de publicité ciblée sur un réseau social, faute de consentement valable et d’information claire de ses clients.
Chaque semaine, la société transmettait au réseau social les adresses email et les numéros de téléphone des adhérents à son programme de fidélité ayant accepté la prospection par email et SMS, pour mise en correspondance avec les utilisateurs du réseau social et ciblage de profils similaires (environ 10,5M de membres en France).
La CNIL qualifie la société de responsable du traitement de publicité ciblée sur le réseau social car elle collecte et transmet activement les données personnelles de ses clients à ce réseau, pour y afficher auprès de ces personnes concernées ou profils similaires des publicités sur ses produits.
MANQUEMENTS PRINCIPAUX
La CNIL reproche à la société d’avoir transmis les données de 10,5M de membres de son programme de fidélité à un réseau social pour de la publicité ciblée, sans consentement valable ni information claire.
Les pratiques de la société :
- Transmettre les données sur la base du consentement à la prospection par SMS et/ou email recueilli sur le formulaire d’adhésion au programme de fidélité.
- S’appuyer sur le consentement des utilisateurs lors de leur inscription sur le réseau social pour afficher des publicités ciblées.
- Indiquer la « mise en correspondance des données des adhérents » avec le réseau social dans la politique des données personnelles, les CGV, et les CG de programme de fidélité.
La position retenue par la CNIL :
- Absence de consentement spécifique pour l’opération de transmission à une autre société, car finalité différente de la prospection par email/SMS.
- Absence de consentement, car celui recueilli par le réseau social ne peut pallier celui qu’aurait dû recueillir la société pour permettre la transmission.
- Absence de consentement éclairé, car le contenu de l’information est insuffisant pour permettre aux personnes concernées de comprendre la portée réelle de leur consentement.
Critères complémentaires d’appréciation retenus :
- Le nombre de personnes ayant effectivement été exposées aux publicités sur le réseau social (1,6M) : la CNIL retient le volume de personnes dont les données ont été transmises (10,5M).
- Le nombre de personnes ayant effectivement été exposées aux publicités sur le réseau social (1,6M) : la CNIL retient le volume de personnes dont les données ont été transmises (10,5M).
AUTRES MANQUEMENTS
La décision ne se limite pas à l’absence de consentement valide pour le ciblage publicitaire. La CNIL sanctionne également les manquements suivants :
- Absence d’AIPD : aucune analyse d’impact sur la protection des données n’a été réalisée par la société alors que le traitement remplissait au moins 2 des 9 critères rendant une telle analyse obligatoire : collecte de données à large échelle et croisement de données.
- Défaut de sécurité : insuffisance de la politique de mot de passe des comptes clients et stockage des mots de passe de manière non conforme à l’état de l’art : mot de passe de 8 caractères avec 1 chiffre, SHA256 + sel de 60 caractères.
- Absence de consentement aux cookies : utilisation de cookies non strictement nécessaires ni exclusivement destinés à la communication électronique avant tout consentement, et maintien malgré le refus : cookie de personnalisation du chat (iadvize) et cookies de personnalisation de contenus et de demande de satisfaction (t2s et wizville).
ENSEIGNEMENTS DE LA DÉLIBÉRATION
Le consentement ne se « déduit » pas.
Un consentement à la prospection par email / SMS ne suffit pas à couvrir un traitement distinct de ciblage publicitaire impliquant une transmission de données à un partenaire. Il vous faut un consentement spécifique.
L’information doit être claire et structurée – 1 finalité = 1 base légale.
Les politiques de protection des données en ligne qui listent bases légales et finalités sans les relier ne permettent pas aux personnes de comprendre quels traitements reposent sur leur consentement ni comment le retirer.
Les traitements marketing à grande échelle nécessitent une AIPD.
Un ciblage publicitaire croisant les données de millions de clients avec celles d’un réseau social doit faire l’objet d’une AIPD préalable.
La sécurité des mots de passe reste un « basique » très contrôlé.
Des mots de passe à entropie insuffisante et un stockage via SHA256, même salé, ne sont pas conformes à l’état de l’art.
Les cookies non nécessaires doivent respecter le consentement.
Les cookies de chat, de personnalisation de contenus ou de questionnaires de satisfaction ne sont pas « nécessaires » : ils exigent un consentement préalable, et ne doivent plus être utilisés après un refus.
