Le 16 octobre 2026, le Conseil d’État a rendu trois décisions qui confirment des sanctions prononcées par la CNIL en 2024. Les sociétés de voyance Cosmospace et Télémaque contestaient des amendes de 250 000 euros et 150 000 euros ; Orange contestait une amende de 50 millions d’euros. Les trois requêtes sont rejetées. Les deux premières décisions portent principalement sur la durée de conservation des données et sur les données sensibles, la troisième sur la publicité dans une messagerie et le retrait du consentement aux cookies.
Voyance : une durée de conservation de six ans jugée injustifiée
Dans les décisions n° 499596 (Cosmospace) et n° 499597 (Télémaque), le juge valide l’analyse de la formation restreinte. Les deux sociétés conservaient des données de clients pendant six ans. Le Conseil d’État relève que cette durée s’écarte nettement des trois ans recommandés par la CNIL, qu’elle s’applique notamment à des données sensibles et qu’aucune justification ne l’appuie.
Le deuxième grief concerne les données sensibles. Au cours des consultations, les clients confiaient des informations intimes, dont certaines relèvent des catégories sensibles de l’article 9. Aucun consentement explicite n’était recueilli. Les sociétés faisaient valoir que les clients livraient ces informations d’eux-mêmes et qu’ils étaient informés du traitement. Le juge écarte l’argument : une divulgation spontanée et une information générale ne remplacent pas le consentement explicite exigé par l’article 9 du RGPD.
Pour Cosmospace, le Conseil d’État confirme aussi le manquement à la minimisation : l’enregistrement de la totalité des appels n’était pas justifié par les finalités invoquées. Dans les deux affaires, la prospection pour le compte du partenaire reposait sur un consentement insuffisamment éclairé, la mention de ce partenaire étant difficile d’accès.
Les sociétés invoquaient enfin le droit de se taire, faute d’en avoir été informées pendant la procédure. Le Conseil constitutionnel avait jugé les dispositions en cause contraires à la Constitution en 2025, mais avait reporté leur abrogation au 1er octobre 2026 et exclu la remise en cause des mesures antérieures. Le juge ajoute que les sanctions ne reposaient pas de manière déterminante sur les déclarations des sociétés.
Orange : publicités déguisées et cookies après retrait
La décision n° 501268 confirme la sanction de 50 millions d’euros prononcée le 14 novembre 2024, avec une injonction sous astreinte de 100 000 euros par jour. Premier manquement : des publicités affichées dans la boîte de réception de Mail Orange sous l’apparence de courriels. Reprenant l’arrêt de la Cour de justice de l’Union du 25 novembre 2021 (C-102/20), le Conseil d’État juge qu’il s’agit de prospection par courrier électronique, soumise au consentement préalable.
Second manquement : des cookies continuaient d’être lus sur le site après que l’utilisateur avait retiré son consentement. Orange soutenait que les données n’étaient pas exploitées ensuite. Le juge répond que la simple lecture suffit à caractériser l’infraction à l’article 82 de la loi Informatique et Libertés. Le montant, soit 0,11 % du chiffre d’affaires mondial, n’est pas jugé disproportionné.
Ce que l’organisme doit vérifier
Ces décisions donnent du poids aux référentiels de la CNIL. S’en écarter reste possible, à condition de pouvoir l’expliquer. Pour un responsable de traitement, plusieurs contrôles en découlent.
- Tenir un tableau des durées de conservation par catégorie de données, avec la source de chaque durée : texte légal, référentiel CNIL, prescription, besoin métier argumenté.
- Rédiger une justification écrite pour toute durée plus longue que celle du référentiel applicable, et la joindre à la fiche de registre.
- Vérifier que la purge fonctionne réellement, dans l’application comme dans les sauvegardes et les exports.
- Repérer les données sensibles collectées sans les chercher : enregistrements d’appels, champs de commentaire, courriels. Si elles sont conservées, une exception de l’article 9 doit couvrir ce traitement.
- Tester le retrait du consentement sur le site : après un refus ou un retrait, aucun cookie soumis à consentement ne doit être déposé ni lu. Un contrôle avec les outils de développement du navigateur suffit souvent à le constater.
- Rendre la liste des partenaires destinataires de prospection accessible au moment où le consentement est demandé.
Les décisions précisent aussi la portée de la publicité des sanctions. Dans les trois affaires, la publication de la décision sur le site de la CNIL est jugée proportionnée, avec une limite : passé deux ans, la société n’y est plus identifiée nommément. Pour un organisme sanctionné, l’atteinte à l’image dure donc au moins ce temps, ce qui pèse souvent plus lourd que le montant de l’amende dans les structures de petite taille.
Dans les audits que je conduis, la durée de conservation est souvent fixée une fois, au moment de créer la fiche de registre, puis jamais rapprochée de ce que fait réellement le logiciel. Les trois décisions du 16 octobre montrent que l’écart entre la règle affichée et la pratique se paie, et que le juge administratif suit la CNIL sur ce terrain.
Le réseau DPO FRANCE regroupe des DPO indépendants qui auditent les durées de conservation, les bandeaux cookies et les parcours de consentement de leurs clients. Le logiciel DPO SUITE rattache à chaque traitement sa durée de conservation, sa justification et les preuves de purge, et conserve l’historique des vérifications.
