Sanction CNIL de 150 millions d'euros : ce qu'elle dit de vos données et ce que vous pouvez régler

Une amende à neuf chiffres fait un bon titre et une mauvaise information : on retient le montant, on oublie ce qui était reproché, et on ne sait toujours pas quoi faire de son propre compte. Cette décision-là mérite mieux, parce qu’elle porte sur un mécanisme que vous croisez tous les jours.

Voici ce qu’elle dit exactement, ce qu’elle ne dit pas, et les trois réglages qu’elle laisse entre vos mains.

Ce que la CNIL a décidé, et quand

Le 1er septembre 2025, la formation restreinte de la CNIL a prononcé une amende de 150 millions d’euros contre Infinite Styles Services Co. Ltd, société de droit irlandais du groupe Shein qui exploite le site shein.com. Le fondement est l’article 82 de la loi Informatique et Libertés, celui qui encadre le dépôt de traceurs sur l’appareil des internautes.

La procédure part d’un contrôle en ligne mené en août 2023 sur le site. Deux ans se sont écoulés entre ce contrôle et la décision : c’est le rythme normal d’une instruction contradictoire, pas un signe particulier.

Deux précisions valent la peine, parce qu’on les voit souvent tordues. Il s’agit d’une amende prononcée, pas d’une amende demandée ou requise. Et le dossier relève du volet cookies du droit français, ce qui explique que la CNIL ait été compétente directement, sans passer par le mécanisme de coopération européen qui s’applique au reste du règlement général sur la protection des données.

Ce qui était reproché, point par point

Selon la communication de la CNIL sur cette décision, quatre manquements ont été retenus.

D’abord, des cookies, dont des cookies publicitaires, étaient déposés dès l’arrivée sur le site, avant toute interaction de l’internaute avec le bandeau. Ensuite, l’information donnée dans ce bandeau était incomplète : la finalité publicitaire n’était pas explicitée. Troisièmement, l’identité des tiers qui déposaient des traceurs n’était pas portée à la connaissance des visiteurs. Enfin, le mécanisme de refus et de retrait ne produisait pas l’effet attendu, de nouveaux cookies continuant d’être déposés malgré l’expression d’un refus.

Le montant, lui, s’explique par l’échelle : l’autorité relève un traitement massif, avec de l’ordre de douze millions de visiteurs français par mois sur le site concerné. La CNIL indique par ailleurs n’avoir pas assorti sa décision d’une injonction, la société ayant fait évoluer son dispositif pendant la procédure.

Ce que la décision ne dit pas

C’est la partie que les résumés sautent. La décision porte sur les traceurs déposés par un site web. Elle ne dit rien de la qualité des vêtements, rien des conditions de fabrication, rien de la sécurité des produits : ce sont des sujets distincts, instruits par d’autres autorités et sur d’autres fondements.

Elle ne dit pas non plus que vos données ont été revendues, ni que votre compte a été compromis. Le manquement porte sur le consentement au dépôt de traceurs, ce qui est déjà sérieux, mais qui n’est pas la même chose. Tenir la nuance évite de se rassurer à tort ailleurs, ou de s’alarmer sans motif.

Les trois réglages qui restent de votre côté

Une amende ne reconfigure pas votre navigateur. Ce qui change quelque chose pour vous tient en trois gestes.

Le premier concerne les traceurs, et il se joue à chaque visite, dans le bandeau : c’est un parcours court que nous détaillons écran par écran, avec ses pièges, notamment l’onglet « intérêt légitime » activé par défaut.

Le deuxième est dans le compte lui-même. Dans les rubriques de confidentialité ou de préférences de communication, la plupart des marchands proposent de couper la publicité personnalisée, les courriels promotionnels et les notifications marketing. Le droit d’opposition à la prospection s’exerce sans avoir à se justifier.

Le troisième est sur votre téléphone. Une application n’utilise pas de cookies mais l’identifiant publicitaire du système, qui se désactive dans les réglages iOS ou Android. Refuser dans le navigateur ne règle pas ce point.

Demander ses données, ou leur effacement

Au-delà des réglages, le règlement général sur la protection des données ouvre deux demandes utiles. L’article 15 vous permet d’obtenir une copie des données détenues sur vous. L’article 17 vous permet d’en demander l’effacement, sous réserve des données que l’entreprise doit conserver pour des raisons légales, une facture par exemple.

La demande s’adresse au délégué à la protection des données, par écrit, avec une preuve d’identité. Le délai de réponse est d’un mois, prolongeable à trois mois pour les demandes complexes, et le silence n’est pas une réponse valable. Sans retour, une plainte se dépose en ligne sur le site de la CNIL, gratuitement. Elle ne vous rapporte rien à titre personnel, mais elle alimente les contrôles, et c’est exactement de ce matériau qu’est née la décision de septembre 2025.

En résumé

Le 1er septembre 2025, la CNIL a sanctionné Infinite Styles Services Co. Ltd de 150 millions d’euros pour des cookies déposés sans consentement valable sur shein.com, à la suite d’un contrôle d’août 2023. Le reproche est précis : dépôt avant tout choix, information incomplète, tiers non identifiés, refus inopérant. Il ne dit rien des produits eux-mêmes. Ce qui dépend de vous se règle en cinq minutes : le bandeau à chaque visite, les préférences publicitaires du compte, l’identifiant publicitaire du téléphone. Et si une demande d’accès ou d’effacement reste sans réponse, la plainte auprès de l’autorité est gratuite.

Ce guide décrit la procédure générale prévue par le règlement général sur la protection des données ; il ne remplace pas un conseil juridique personnalisé.