Chiffre d’affaires et bénéfice : rappel des règles de calcul des amendes par la CNIL à propos de l’affaire CRITEO

Le 15 juin 2023, la CNIL a sanctionné la société CRITEO, spécialisée dans la publicité en ligne, d’une amende de 40 millions d’euros, notamment pour ne pas avoir vérifié que les personnes dont elle traite les données avaient donné leur consentement.

La société CRITEO opposait que la proposition d’amende du rapporteur représente 50 % de son résultat et près de 3 % de son chiffre d’affaires mondial, ce qui est proche du maximum légal prévu à l’article 83 du RGPD. Par comparaison, elle mettait en avant les précédentes décisions prononcées par la CNIL à l’encontre de Google (CNIL, FR, 31 décembre 2021, délibération de sanction n° SAN-2021-023) et de Facebook (CNIL, FR, 31 décembre 2021, délibération de sanction n° SAN-2021-024) en matière de cookies, dont le montant atteignait respectivement 0,07 % et 0,06 % de leur chiffre d’affaires global.

La CNIL va cependant indiquer que ;

1. 1. pour évaluer l’opportunité de prononcer une amende et déterminer son montant, elle doit tenir compte des critères précisés à l’article 83 du RGPD tels que la nature, la gravité et la durée de la violation, le nombre de personnes concernées, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle, les catégories de données à caractère personnel concernées par la violation et les avantages financiers obtenus du fait du manquement.

1. 2. si ce montant constitue près de 2 % du chiffre d’affaires mondial de la société, il n’en demeure pas moins inférieur au plafond légal de 4 % prévu à l’article 83, paragraphe 5 du RGPD et à l’article 20, paragraphe III, 7°) de la loi Informatique et Libertés.

1. 3. le montant de l’amende peut être supérieur au bénéfice généré par le responsable de traitement, dans la mesure où cela serait nécessaire afin d’assurer le caractère dissuasif de la sanction (voir, en ce sens, CE, 1er mars 2021, Société Futura Internationale, n° 437808, pt. 6).

Mathieu MARTIN