L'Agence Espagnole de Protection des Données sanctionne un éditeur de site web pour le dépôt de témoins de connexion avant tout consentement et pour avoir conditionné le refus à la souscription d'un abonnement payant.

Faits et contexte

L'Agence Espagnole de Protection des Données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de CONECTA5 TELECINCO, S.A.U. (comprenant le prononcé d'une amende de 5 000 €) pour des manquements en lien avec l'utilisation de témoins de connexion sur son site web.

L'affaire trouve son origine dans une plainte déposée le 11 février 2025, alléguant que le site web mitele.es installait des témoins de connexion de suivi et publicitaires sans obtenir le consentement préalable de l'utilisateur.

Motifs de la décision

L'autorité a retenu un manquement à l'obligation d'obtenir un consentement préalable au dépôt et à la lecture de dispositifs de stockage et de récupération de données.

• Obligation d'obtenir le consentement avant le dépôt ou la lecture de témoins de connexion (article 22.2 de la Loi 34/2002 sur les services de la société de l'information et le commerce électronique) : Lors d'une inspection technique réalisée le 13 janvier 2026, l'AEPD a constaté que dès le premier accès au site, et avant toute interaction de l'utilisateur, plusieurs témoins de connexion non essentiels étaient installés. Il s'agissait notamment de témoins d'analyse (AMCV_, AMCVS_, s_cc), de personnalisation (__Secure-BUCKET, __Secure-STRP) et de publicité (NID). L'autorité a rejeté l'argument de l'entité selon lequel la preuve technique était insuffisante, affirmant que l'utilisation des outils d'inspection standards d'un navigateur est une méthode de vérification valide et que les faits constatés bénéficient d'une présomption de véracité. L'AEPD a également précisé que la responsabilité de bloquer les témoins de connexion de tiers avant le consentement incombe à l'éditeur du site, et ce, même si ces témoins proviennent de domaines tiers (comme google.com) pour lesquels l'utilisateur aurait pu donner un consentement par ailleurs. La simple existence de contrôles internes ou d'audits périodiques ne suffit pas à exonérer l'éditeur si, en pratique, le dépôt non consenti a bien eu lieu. Enfin, l'autorité a relevé que l'option de refus des témoins de connexion redirigeait vers une page imposant la souscription à un abonnement payant, ce qui constitue un élément factuel pertinent dans l'analyse du mécanisme de consentement.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 5 000 € à CONECTA5 TELECINCO, S.A.U..

Enseignements

Cette décision confirme / précise / rappelle que :

• La responsabilité d'empêcher le dépôt ou la lecture de témoins de connexion non essentiels avant le consentement incombe à l'éditeur du site, y compris pour les témoins de tiers. Un consentement obtenu par un tiers sur une autre plateforme n'est pas valable pour le site consulté.
• Les autorités de contrôle peuvent établir la preuve d'un manquement lié aux témoins de connexion au moyen d'outils d'inspection standards intégrés aux navigateurs. La charge de la preuve contraire, par des éléments techniques probants, revient à l'entité mise en cause.
• Un témoin de connexion ayant des finalités multiples, dont certaines ne sont pas strictement nécessaires au fonctionnement du service, est soumis dans son ensemble à l'obligation de recueil du consentement préalable.
• La mise en place de procédures de contrôle internes, bien que relevant d'une bonne pratique, ne constitue pas une circonstance atténuante ni une défense valable si l'infraction matérielle, à savoir le dépôt de témoins sans consentement, est avérée.
• La responsabilité pour ce type d'infraction est objective : l'absence d'intentionnalité n'exonère pas l'éditeur de sa responsabilité dès lors que le résultat prohibé par la loi s'est produit.