Le dépôt de cookies non strictement nécessaires à la fourniture du service par le responsable de traitement, ou par ses intermédiaires, est subordonné au recueil préalable du consentement de l’utilisateur, quelle que soit la nature des données collectées. Le retrait du consentement doit pouvoir s’exercer de manière simple, libre et effective, sans que l’utilisateur ne soit contraint de renoncer à l’accès ou à l’usage du service.
Après plusieurs plaintes relatives au dépôt de cookies, sans consentement préalable des utilisateurs sur le site Yahoo et le service de messagerie Yahoo Mail, la CNIL a infligé une amende de 10 millions d’euros. Peu surprenante, la décision du Conseil d’État du 7 octobre 2025 confirme cette analyse.
La société requérante, à l’appui de sa demande d’annulation ou de réduction de l’amende, développe un pourvoi particulièrement vigoureux : elle invoque l’incompétence matérielle et territoriale de la CNIL, griefs rapidement écartés avant que le juge statue sur les manquements constatés au cours de l’instruction.
Sur la compétence de la CNIL, le contentieux repose sur la loi Informatique et Libertés transposant la directive ePrivacy applicable aux traitements de données réalisés au moyen de cookies dans le secteur des communications électroniques (CJUE, gr. ch.,