1) Dans le cadre d'un contentieux opposant une banque à l'Autorité de contrôle prudentiel et de résolution (ACPR), si la décision par laquelle la commission des sanctions de l'ACPR rend publique la sanction prononcée a le caractère d'une sanction complémentaire, elle n'a pas à faire l'objet d'une motivation spécifique, distincte de la motivation d'ensemble de la sanction principale.

2) Les modalités de publication sont susceptibles d'avoir un impact sur la perception qu'aura le public de la décision de la commission des sanctions. Il y a en conséquence lieu pour le Conseil d'État de vérifier que ces modalités respectent un équilibre entre les exigences d'intérêt général citées au point précédent et les intérêts de la personne sanctionnée. Il y a lieu, dans les circonstances de l'espèce, de faire droit à la demande de la société sanctionnée et d'ordonner l'ajout, dans la version publiée, de membres de phrase susceptibles d'atténuer, aux yeux du public, la responsabilité de la société dans les griefs retenus (en l'espèce, une mention que les opérations étaient effectuées à l'initiative et sous la surveillance des pouvoirs publics).

Il résulte de art. 82 de la loi du 6 janvier 1978 que toute opération de recueil ou de dépôt d'informations stockées dans le terminal d'un utilisateur doit faire l'objet d'une information préalable, claire et complète relative à la finalité des traceurs de connexion (« cookies ») ou autres traceurs et aux moyens dont les utilisateurs disposent pour s'y opposer.

La CNIL a, par une délibération en date du 4 juillet 2019, postérieure à l'entrée en application, le 25 mai 2018, du règlement (UE) 2016/679 du 27 avril 2016 (RGPD), adopté des lignes directrices relatives à l'application de art. 82 de la loi du 6 janvier 1978 aux opérations de lecture ou écriture dans le terminal d'un utilisateur et abrogé sa recommandation antérieure du 5 décembre 2013. Ces nouvelles lignes directrices du 4 juillet 2019, destinées à adapter le cadre de référence du consentement compte tenu de la modification de la loi Informatique et Libertés par l'ordonnance n° 2018‑1125 du 12 décembre 2018 en conséquence du RGPD, n'ont pas remis en cause le régime préexistant, prévu au II de l'article 32 de cette même loi, lequel posait déjà le principe d'un consentement préalable au dépôt des cookies, celui d'une information claire et complète de l'utilisateur, ainsi que d'un droit d'opposition. Il s'ensuit, dès lors que la procédure engagée par la CNIL ne portait que sur des règles antérieures au RGPD et encadrées par la CNIL depuis 2013, que la formation restreinte de la CNIL a pu, sans méconnaître le principe de légalité des délits et des peines, engager une procédure de contrôle et de sanction quant au respect, par des sociétés, des obligations prévues à art. 82 de la loi du 6 janvier 1978, dont la portée n'a pas été modifiée à cet égard par la mise en conformité de la loi du 6 janvier 1978 avec le RGPD, s'agissant en particulier du caractère préalable du consentement.