American Express faisait n’importe quoi avec les cookies et écope d’une amende

Condé Nast, American Express : même combat

La semaine dernière, Condé Nast (éditrice de Vanity Fair, Vogue, GQ et AD) écopait d’une amende de 750 000 euros pour exactement le même motif, à savoir « le non-respect des règles applicables en matière de traceurs (cookies) ». La société s’était remise dans le droit chemin, mais la CNIL retenait la gravité du manquement et prononçait une sanction.

L’histoire se répète, mais avec un poids lourd du secteur bancaire et une amende administrative deux fois plus importante. Il y a plusieurs similitudes entre deux affaires qui arrivent à quelques jours d'intervalle… le début d’une nouvelle série ?

• Cookies sans consentement : Condé Nast écope de 750 000 euros d’amende

La CNIL rappelle qu'American Express est le « troisième émetteur de cartes de paiement au monde ». En janvier 2023 (il y a donc presque trois ans), elle a mené des contrôles sur le site Internet et dans les locaux de l’entreprise.

En cause, American Express déposait des traceurs sans le consentement de l’utilisateur ou malgré son « refus de consentir ». De plus, la société continuait « à lire les traceurs précédemment déposés malgré le retrait de leur consentement ». La délibération est publiée, permettant d’en apprendre davantage que le communiqué sur les tenants et aboutissants.

À peine arrivé, 31 cookies déposés

Lors du contrôle le 30 janvier 2023, le rapporteur de la CNIL explique que, « dès l’arrivée de l’utilisateur sur le site web " www.americanexpress.com/fr-fr/ ", et avant toute action de sa part, huit cookies, qui ne bénéficient pas de l’exemption prévue par les textes susvisés et auraient donc dû être soumis au consentement de l’utilisateur, étaient déposés ».

American Express ne conteste pas et affirme avoir corrigé le tir en novembre 2024 afin que seuls les « cookies essentiels » soient déposés dès l’arrivée sur la page d'accueil. Lors d’un nouveau contrôle le 16 mai 2025, la CNIL confirme qu’il n’y a plus de trace du dépôt de ces cookies.

Les huit cookies ne sont que la face émergée de l’iceberg. En tout, le site déposait 31 cookies, mais les 23 autres entrent dans champ de l’exemption prévue par l’article 82 et sont donc considérés comme essentiels et non soumis au consentement.

Refusez des cookies, on vous les sert de force

Vient ensuite le cas du dépôt de cookies malgré le refus de l’utilisateur. Deux cas sont à distinguer. Sur le site principal tout d’abord. Quand un utilisateur cliquait sur « Tout refuser », six nouveaux cookies, considérés comme non essentiels par le rapporteur, étaient déposés. « Au regard des explications fournies par la société quant aux finalités poursuivies par ces cookies, le rapporteur, dans sa réponse et lors de la séance, a indiqué abandonner cette branche du manquement ».

Autre problème similaire, à partir du site email.amex-info.fr cette fois-ci. Toujours le 30 janvier 2023, la délégation de la CNIL continue de naviguer sur le site d’American Express et, au détour d’un clic et de l’ouverture d’un nouvel onglet, elle constate « le dépôt de dix nouveaux cookies. Le rapporteur considère que, parmi ces dix cookies, trois nécessitaient le recueil du consentement ». American Express ne conteste pas et affirme s’être mis en conformité par la suite.

Vous avez retiré le consentement, ok ! et… ?

Dernier grief, la lecture de cookies après retrait du consentement. Pour rappel, on doit pouvoir retirer son consentement aussi simplement qu'on l'a donné et ce à tout moment. Lors de la navigation, la CNIL a accepté les cookies, puis les a refusés. Elle a constaté « la présence sur son navigateur de l’ensemble des cookies déposés avant retrait du consentement, parmi lesquels plusieurs étaient pourtant soumis au consentement de l’utilisateur ».

En défense, l’entreprise américaine « soutient que le rapporteur n’apporte aucune preuve de ces opérations de lecture et que la seule présence des cookies sur le terminal de l’utilisateur est insuffisante pour démontrer un manquement ».

Lors des échanges avec l’entreprise américaine, le rapporteur a « produit un fichier HAR [HTTP Archive, ndlr] démontrant que les cookies précédemment déposés et toujours présents sur le navigateur continuaient, après retrait du consentement, à être lus ». American Express a fini par se mettre en conformité, mais « le manquement demeure néanmoins caractérisé pour le passé ».

Bien évidemment, American Express s’oppose à la publication de la décision et estime que le montant de l’amende proposé par le rapporteur – 1,5 million d’euros – est « disproportionné et insuffisamment motivé ». La formation restreinte de la CNIL estime au contraire que le montant est « adapté ».

De plus, la publicité de la sanction « se justifie au regard de la gravité avérée des manquements en cause, de la position de la société sur le marché et du nombre de personnes concernées, lesquelles doivent être informées ».