Le Conseil d'État a confirmé la sanction de 40 000 000 € prononcée par la Commission nationale de l'informatique et des libertés (CNIL) à l'encontre de la société Criteo pour plusieurs manquements au RGPD.

La décision fait suite à des plaintes déposées en décembre 2018 par les associations noyb et Vie Privée Internationale. L'enquête de la CNIL a révélé que Criteo, spécialisée dans le reciblage comportemental et traitant les données d'environ 370 millions de personnes en Europe, n'était pas en mesure de prouver l'obtention d'un consentement valide des personnes concernées. D'autres manquements ont été constatés, notamment un manque de transparence et le non-respect du droit d'accès et du droit à l'effacement. La sanction a été approuvée par l'ensemble des autorités de protection des données européennes.

Saisi d'un recours par Criteo, le Conseil d'État a rejeté l'appel en mars 2026. La société contestait notamment la qualification de données à caractère personnel pour les identifiants pseudonymes qu'elle attribue, arguant ne pas disposer des moyens de ré-identifier directement les personnes. La haute juridiction a estimé que des données ne peuvent être considérées comme anonymes que si le risque de ré-identification est "insignifiant, une telle identification étant impossible en pratique". Constatant que la finalité publicitaire permet de croiser de nombreuses informations et que Criteo avait admis que l'identification n'était pas techniquement impossible, le Conseil d'État a conclu que ces identifiants constituaient bien des données à caractère personnel.