Dossier de plainte CNIL communiqué après occultation : synthèse et analyse critique des 272 pages📋

Version publique minimisée

Cette page synthétise une archive de 272 pages communiquée par la CNIL après occultation, dans le contexte d'une démarche d'accès CADA. Elle ne republie ni cette archive complète, ni sa galerie intégrale, ni ses pièces médicales, correspondances privées ou éléments techniques internes.

À la demande expresse de leur auteur, les deux plaintes autonomes P08a et P08b sont toutefois publiées intégralement sous forme de 23 fac-similés PNG dans la page documentaire liée ci-dessous.

Les numéros cités sont les pages de l'archive complète, non publiée dans son intégralité, et non les numéros imprimés dans les documents reproduits. Les occultations ne sont pas interprétées comme des preuves : lorsqu'un motif ou un constat est masqué, il est traité comme inconnu.

L'auteur de cette page est le plaignant. Il s'agit donc d'une synthèse documentaire de partie, et non d'une expertise indépendante. Dans cette analyse, « établi » signifie qu'un constat figure dans le corpus ou dans une publication officielle citée ; le terme ne vaut pas constat judiciaire général.

Accès aux deux plaintes publiées📋

• P08a - plainte technique initiale, 9 pages PNG
• P08b - plainte formalisée, 14 pages PNG

Chaque page est affichée dans l'article documentaire et peut être ouverte à sa résolution d'origine. Cette publication concerne uniquement ces 23 PNG ; elle ne s'étend pas aux trois autres corpus CNIL/CADA.

1. Résumé exécutif📋

La partie lisible du dossier établit directement que :

1. une plainte formalisée le 12 mars 2019 a été enregistrée par la CNIL le 15 mars 2019 sous le numéro 19005268 ;
2. la plainte portait sur la transmission alléguée à Microsoft de l'adresse IPv4/24, du User-Agent et des termes de recherche, ainsi que sur l'information fournie aux utilisateurs de Qwant ;
3. cette plainte a conduit la CNIL à effectuer deux contrôles sur place en juillet et septembre 2019, ainsi qu'un contrôle en ligne en août ; le courrier non daté des pp. 236-238 les situe précisément aux 10 juillet, 29 août et 26 septembre ;
4. l'instruction a été traitée comme transfrontalière, avec la CNIL comme autorité cheffe de file, un projet de décision au titre de l'article 60 du RGPD, une assistance mutuelle et, après plusieurs objections européennes, une saisine du CEPD au titre de l'article 65 ;
5. la lettre finale du 10 février 2025 indique que les investigations ont établi que Qwant transmettait à Microsoft Ireland Operations Limited des données techniques, notamment un identifiant et une adresse IP tronquée, pour fournir des résultats de recherche et des publicités contextuelles ;
6. la CNIL a clos la plainte en estimant que son action avait apporté une réponse appropriée.

La copie communiquée occulte toutefois l'essentiel des constats du contrôle, de la qualification juridique et de la motivation de la décision finale. Le PDF seul ne permet donc pas de connaître avec certitude les manquements retenus, la mesure corrective adoptée, le contenu des objections européennes ou le raisonnement ayant conduit à la clôture.

Une notice publique de la CNIL du 11 février 2025↗ (ouvre dans une nouvelle fenêtre), extérieure au PDF, fournit séparément les principaux éléments de résultat absents de la version lisible : les données ont été considérées comme personnelles et seulement pseudonymisées, l'information fournie en 2019 comme inexacte et incomplète au regard des articles 12 et 13 du RGPD, et la mesure finale comme un rappel aux obligations légales, non comme une sanction. Les OCR précisent la chronologie de la correction : en novembre 2019, Qwant contestait encore la qualification personnelle de l'AUID, tandis que la CNIL retenait son caractère de donnée personnelle indirectement identifiante (DPI), et les positions étaient « plutôt tranchées » ; ce n'est qu'après le changement de gouvernance de 2020 que Qwant a déclaré réévaluer intégralement sa politique et prendre pleinement en compte les conclusions de la CNIL. La notice indique enfin que la CNIL n'a pas retenu d'intention de se soustraire au RGPD.

2. Identification et provenance de l'archive📋

Les métadonnées techniques du dérivé OCR sont postérieures aux actes reproduits et ne datent donc pas ces actes. L'empreinte fixe le fichier analysé ; elle n'authentifie pas à elle seule l'exhaustivité de ce qui a été communiqué. Le rapport IMI des pages 257 à 263 a lui-même été exporté le 28 avril 2026.

3. Méthode et niveaux de preuve📋

L'analyse combine l'extraction OCR et la vérification visuelle des pages rendues. L'OCR sert à rechercher et indexer ; l'image de la page prévaut lorsqu'un texte est dégradé, tronqué ou occulté.

Trois niveaux documentaires doivent être séparés :

• Actes et écrits de la CNIL : ils établissent les actes de procédure et les constats qui y sont formulés, sous réserve des passages masqués.
• Plainte, écritures et annexes produites par le plaignant : elles établissent ce qui a été allégué et remis à l'autorité, mais pas automatiquement la vérité de chaque allégation.
• Notice publique de la CNIL du 11 février 2025 : source officielle externe qui éclaire le résultat final, sans rendre lisible le contenu occulté du PDF.

Les articles de presse, captures de sites et publications sociales donnent du contexte. Ils n'ont pas la même force qu'un constat de contrôle, un journal technique authentifié ou une décision.

4. Cartographie des 272 pages📋

Plusieurs pages sont des versos, intercalaires ou scans presque vides. L'agrégat contient aussi des doublons et des documents périphériques qui expliquent son volume sans ajouter autant d'éléments au fond.

L'ordre n'est pas strictement chronologique : un courriel de mai 2019 apparaît p. 235 au milieu de documents de 2024, et l'accusé de réception initial se trouve après la décision de 2025. La proximité de deux pages ne suffit donc pas à établir qu'elles formaient une même pièce jointe ou une même séquence administrative.

5. La thèse de la plainte📋

5.1. Les faits allégués📋

La plainte soutient que Qwant transmettait à Microsoft, pour l'affichage publicitaire :

• l'adresse IPv4 tronquée au format IPv4/24 ;
• le User-Agent, décrivant notamment le navigateur et le système ;
• les termes saisis dans la recherche.

Elle affirme que la combinaison de ces éléments restait susceptible de se rapporter indirectement à une personne et ne pouvait donc pas être présentée comme anonyme. Elle oppose cette pratique aux formulations alors visibles sur le site de Qwant, centrées sur l'absence de collecte et le respect de la vie privée (pp. 3-14 et 23-31).

Le raisonnement juridique de la plainte mobilise principalement les articles 12 et 13 du RGPD : si les données sont personnelles, l'utilisateur doit recevoir une information transparente sur le traitement, ses finalités, sa base légale et ses destinataires.

5.2. Une erreur documentaire périphérique📋

La plainte présente l'étude TNS Sofres comme datant de 2018, alors que sa couverture et sa méthodologie la datent de mai 2010 (pp. 33-35). Cette erreur n'invalide pas le grief technique, mais elle doit être corrigée dans toute réutilisation du dossier.

6. Analyse des annexes techniques📋

6.1. Historique de code📋

Les extraits versés au dossier aux pages 116 à 183 présentent cinq commits datés du 22 juin au 8 juillet 2016 et des versions successives d'un routage entre WebBrain et Bing. Le tableau produit dans le dossier décrit notamment :

• l'ajout d'une liste de locales utilisant WebBrain ;
• le vidage de cette liste, qui réoriente alors le fonctionnement vers Bing ;
• le rétablissement des locales française et allemande ;
• leur mise en commentaire dans un commit intitulé « ads configuration for production ».

Ces extraits sont compatibles avec des bascules de configuration autour de la période de l'audit. Ils ne démontrent pas seuls :

• quelle version a réellement été déployée en production ;
• combien de temps chaque version a été active ;
• quelles données accompagnaient chaque appel ;
• quelle version a été effectivement montrée aux auditeurs.

Pour transformer cet indice en preuve de fonctionnement réel, il faudrait les dépôts Git natifs, les signatures ou journaux d'intégrité, la CI/CD, les configurations de déploiement et des journaux d'exécution.

6.2. Pièces relatives à l'audit📋

Les courriels reproduits aux pages 184 et 185 évoquent la sélection des projets à présenter, la manière de montrer le code et la préparation d'une branche distincte dans le contexte de l'audit. Un message indique que l'appel à Bing y a été retiré et remplacé par ce que son auteur décrit comme un appel « fake ».

Cet ensemble constitue un indice sérieux justifiant une vérification contradictoire du périmètre de l'audit. Il ne prouve toutefois pas, à lui seul, que :

• cette branche a effectivement été présentée ;
• les auditeurs ignoraient son caractère spécifique ;
• un rapport d'audit a repris une représentation fausse ;
• une personne déterminée avait l'intention de tromper ;
• une décision d'investissement ou un versement de fonds en a résulté.

Le rapport d'audit, sa lettre de mission, les échanges directs avec les auditeurs et l'environnement effectivement consulté seraient nécessaires pour franchir ces étapes probatoires.

6.3. Démonstration IPv4/24📋

Les pages 187 à 193 montrent qu'une base tierce a permis, dans l'exemple choisi, d'associer une plage IPv4/24 à une zone géographique approximative. La démonstration établit une possibilité d'inférence géographique pour cet exemple.

Elle ne suffit pas à démontrer une identification individuelle, la précision générale de la méthode, la base disponible pour Microsoft à la date des faits, ni l'usage effectif de cette information par Microsoft. Le risque de réidentification dépend de la combinaison des données, des moyens disponibles, du coût et du contexte.

6.4. Captures et déclarations publiques📋

Les pages 194 à 201 documentent une controverse publique sur l'IP tronquée, la publicité géographiquement adaptée et l'usage de Bing. Elles montrent que la question portait autant sur la qualification des informations comme anonymes ou personnelles que sur l'existence matérielle d'un flux.

Ces captures sont partielles et ne remplacent ni les politiques complètes datées, ni les contrats techniques, ni les constatations de la CNIL.

7. Chronologie procédurale consolidée📋

La procédure a duré près de six ans entre l'enregistrement et la clôture. Le dossier attribue une partie du délai au mécanisme de coopération européenne, aux divergences entre autorités et, en 2020, au contexte sanitaire. Il ne permet pas à lui seul de qualifier juridiquement la durée comme normale ou excessive.

8. Ce que les écrits de la CNIL établissent directement📋

8.1. Le lien entre la plainte et les contrôles📋

Le mini-compte rendu du 8 août 2019 indique que le contrôle fait suite à la réclamation étudiée (p. 203). La lettre finale confirme que plusieurs opérations de contrôle ont été effectuées « sur la base de cette plainte » (p. 250).

Le lien causal procédural entre la saisine et l'intervention de la CNIL est donc établi par l'autorité elle-même.

8.2. L'existence de transmissions à Microsoft📋

La première page lisible de la lettre finale ne reprend plus seulement une allégation. Elle indique que les investigations ont permis d'établir la transmission à Microsoft Ireland Operations Limited de données essentiellement techniques, notamment un identifiant et une adresse IP tronquée, afin d'obtenir :

• des résultats correspondant aux recherches ;
• des publicités contextuelles ne reposant pas sur le suivi de la navigation de l'utilisateur.

Ce passage confirme un flux de données. L'expression « données techniques » ne constitue cependant pas, à elle seule, une qualification juridique d'anonymat ou d'absence de caractère personnel.

Le texte visible ne confirme pas exhaustivement les trois catégories énumérées dans la plainte. La présence du User-Agent et des termes de recherche dans le flux final doit donc être qualifiée d'allégation initiale soutenue par les annexes, et non de constat final entièrement lisible.

La notice publique précise, hors PDF, qu'il existait plusieurs modalités techniques : selon le traitement, une adresse IP tronquée était transmise ou une adresse IP hachée servait à constituer un identifiant généré par Qwant.

8.3. Une procédure européenne ayant suscité des objections📋

Le courrier du 24 octobre 2024 et l'historique IMI établissent :

1. un premier projet de décision contesté par une autorité ;
2. un projet révisé contesté par deux autorités ;
3. l'échec de la recherche de consensus ;
4. la saisine formelle du CEPD le 9 octobre 2024.

Le mécanisme de coopération décrit par la CNIL↗ (ouvre dans une nouvelle fenêtre) prévoit précisément cette recherche de consensus et, en cas d'objection persistante, un règlement du litige au titre de l'article 65 du RGPD↗ (ouvre dans une nouvelle fenêtre).

Le contenu et le sens des objections sont occultés. Elles ne permettent donc pas de dire si les autres autorités demandaient une mesure plus sévère, une mesure plus faible ou une autre qualification.

L'export IMI laisse par ailleurs le champ « Type de décision » vide. Son statut « Actif » et son indication ancienne « recours national : non » appartiennent à une fiche dont la dernière mise à jour principale affichée remonte à mars 2020. Ils ne prouvent ni une réouverture de l'instruction après la clôture de 2025, ni l'absence de tout recours contre cette clôture.

9. La clôture du 10 février 2025📋

9.1. Ce qui reste lisible dans le PDF📋

La lettre finale est reproduite deux fois, aux pages 250 à 252 puis 253 à 255. La première page expose le flux technique vers Microsoft. La fin de cette page et la totalité de la page suivante sont occultées. La dernière page indique seulement que l'action de la CNIL a apporté une réponse appropriée et que le dossier est clos.

La motivation reliant le constat technique à l'issue procédurale n'est donc pas contrôlable à partir de cette copie seule.

9.2. Ce qu'apporte la notice publique officielle📋

La notice publiée par la CNIL le lendemain de la clôture précise, en dehors du PDF, que :

• les données transmises à Microsoft n'étaient pas anonymes mais pseudonymisées ;
• la politique de confidentialité de 2019 présentait ces données comme anonymes ;
• la finalité publicitaire et la base légale n'étaient pas correctement indiquées ;
• les versions allemande et italienne présentaient aussi des informations incomplètes jusqu'en février 2020 ;
• ces insuffisances caractérisaient des manquements aux articles 12 et 13 du RGPD ;
• les flux permettaient aussi de comptabiliser les affichages publicitaires ;
• Qwant avait révisé sa politique à la suite de ses échanges avec la CNIL du 22 octobre 2020 pour mentionner la pseudonymisation, la finalité publicitaire et la base légale ;
• la mesure finalement retenue était un rappel aux obligations légales, qui n'a pas le caractère d'une sanction.

La notice publique explique la proportionnalité de cette issue par le caractère contextuel et non comportemental de la publicité, les précautions techniques limitant le risque de réidentification, la correction intervenue en 2020, la bonne foi et la coopération de Qwant « tout au long de la procédure ». Elle qualifie aussi l'origine des manquements d'« erreur d'analyse initiale », « sans intentionnalité » de se soustraire au RGPD. Ce sont les appréciations finales publiées par la CNIL ; elles ne figurent pas dans les trois pages lisibles de la lettre de clôture conservées localement.

Les documents de contrôle biffés empêchent surtout de confondre coopération procédurale et adhésion au fond. Le courriel interne CNIL du 15 novembre 2019 indique que Qwant considérait encore que l'AUID n'était pas une donnée personnelle, puis conclut :

« Dans la mesure où QWANT et nous-même avons chacun des positions plutôt tranchées et pouvant chacune être entendue, une rencontre semble nécessaire, une fois que nous aurons établi clairement ce que nous souhaitons leur demander et ce que nous sommes prêt à accepter. »

La rupture de phase est ensuite explicite. Le 6 février 2020, Qwant invoque la volonté de sa « nouvelle gouvernance » de répondre aux observations complémentaires. Dans sa lettre du 16 octobre 2020, le nouveau président écrit que la gouvernance a été « profondément renouvelée », qu'il a demandé une réévaluation intégrale de la politique de protection des données et la pleine prise en compte des conclusions de la CNIL. La correction publique intervient les 22 et 23 octobre.

La formule « coopération tout au long de la procédure » ne peut donc pas être comprise comme une acceptation substantielle continue depuis 2019. Elle reste compatible avec des réponses matérielles aux contrôles pendant une opposition juridique tranchée ; elle ne démontre ni la bonne foi de l'ancienne gouvernance, ni l'absence d'intention en 2016.

De même, « erreur d'analyse initiale » est l'appréciation publiée par l'autorité ; les pages rendues accessibles ne la démontrent pas par une analyse contemporaine produite. Le dossier ne contient ni rapport Qwant daté de 2016 appliquant les trois critères de l'avis WP216 au flux requête + User-Agent + IPv4 /24, ni auteurs, jeu de données, scénarios d'attaque et résultats, ni audit CNIL des objets Git ou du code effectivement déployé en 2016. Les contrôles documentés portent sur 2019. Il n'est donc pas rigoureux de transformer l'expression « erreur d'analyse initiale » en fait technique établi pour 2016.

Cette séquence est corroborée par une publication primaire de Qwant : « Éthique et transparence : Comment Qwant respecte votre vie privée ? »↗ (ouvre dans une nouvelle fenêtre), datée du 23 octobre 2020. Qwant y rattache sa nouvelle politique et le passage d'« anonymisées » à « pseudonymisées » à ses échanges avec la CNIL, tout en indiquant que le code n'a pas été modifié. Une impression PDF de la page, réalisée le 31 juillet 2026, est conservée sous l'empreinte SHA-256 fe0e64bdde63fe9280454822405294fe1630dc71966fa5164cc90538b6e10ef0. Il s'agit d'une capture actuelle d'une page affichant une date de 2020, non d'un PDF natif de 2020.

BetterWeb ne mentionne ni les alertes de Stéphane Erard en 2016, ni la plainte du 15 mars 2019, ni l'étude NDSS de 2012, ni une analyse WP216 réalisée par Qwant en 2016, ni un audit CNIL du code historique. La page établit une correction tardive de qualification et d'information sur un code déclaré inchangé ; elle ne prouve pas l'existence ni la qualité d'une analyse initiale. Cette correction est la conséquence directe de la plainte et des contrôles de 2019 : elle est analysée pour elle-même dans le chapitre consacré à la réponse de Qwant en 2020.

Rapprochée de la plainte, des contrôles et de la formule « mise en conformité en 2020 » attribuée en 2024 à une communicante de Qwant, cette publication établit une régularisation postérieure à la plainte sur la transparence et la qualification des données concernées. Elle ne suffit pas, isolément, à établir une intention frauduleuse ou l'effet causal sur une décision d'investissement.

Ces conclusions officielles répondent à plusieurs questions laissées ouvertes par les biffures. Elles ne dévoilent pas le contenu des objections européennes ni l'éventuelle décision contraignante du CEPD.

10. Tensions et apparentes contradictions📋

11. Tableau de portée probatoire📋

12. Effet des occultations📋

Les occultations substantielles se concentrent sur les passages les plus importants pour comprendre la décision :

• p. 1 : commentaires et résultat de la fiche ; la date de clôture reste visible ;
• p. 203 et pp. 204-206 : fin puis suite entièrement occultée du mini-compte rendu, dont la nature détaillée ne peut pas être vérifiée ;
• p. 234 : état interne du dossier en février 2024 ;
• pp. 237-238 : description des deux traitements, analyse et motif du courrier non daté formulé comme une clôture ;
• pp. 250-251 : presque tout le raisonnement de la décision finale ;
• pp. 253-255 : doublon des mêmes occultations.

Le PDF ne précise pas le fondement juridique de chaque biffure. Il serait donc spéculatif de les attribuer, passage par passage, au secret des affaires, à la protection des tiers, au secret de l'instruction ou à une autre exception.

La page 251 ne comporte pas de texte OCR exploitable sous l'occultation graphique. Cette analyse ne tente ni de retirer ni de contourner les masquages.

13. Pièces nécessaires pour aller plus loin📋

Une analyse contradictoire complète demanderait notamment :

1. le texte intégral de la décision ou du rappel notifié à Qwant ;
2. les projets de décision au titre de l'article 60 ;
3. les objections pertinentes et motivées des autorités européennes ;
4. l'acte du CEPD, s'il a été déclaré recevable et adopté ;
5. les réponses de Qwant et son étude du risque de réidentification ;
6. les contrats et spécifications du flux Qwant-Microsoft, avec durées de conservation et finalités ;
7. les politiques de confidentialité archivées, langue par langue et date par date ;
8. le dépôt Git natif, la CI/CD, les configurations et les journaux de production ;
9. la lettre de mission, le rapport et les échanges de l'audit de code de 2016 ;
10. les originaux natifs des courriels et captures, avec leur chaîne de conservation.

Sans ces éléments, le dossier permet une conclusion solide sur l'existence du flux, le lien documentaire entre la plainte et les contrôles, ainsi que l'issue réglementaire publiée, mais pas sur toutes les configurations historiques, toutes les responsabilités individuelles ou l'intention des personnes concernées.

14. Conclusion📋

Le dossier documente une plainte formulant des griefs techniques précis. La CNIL indique avoir réalisé plusieurs contrôles sur la base de cette plainte et a confirmé l'existence d'un flux de données entre Qwant et Microsoft. L'autorité a finalement considéré publiquement que les données n'étaient pas anonymes mais pseudonymisées et que l'information fournie aux utilisateurs en 2019 était inexacte et incomplète.

La portée de cette conclusion doit cependant rester précise. La CNIL n'a pas décrit une publicité comportementale fondée sur un suivi dans le temps et n'a pas retenu d'intention de contourner le RGPD. Qwant n'a pas adopté la qualification de l'autorité dès 2019 : les positions restaient opposées en novembre, puis la politique a été modifiée en 2020 après le changement de gouvernance. La mesure finale a été un rappel aux obligations légales, non une sanction.

La copie occultée établit donc un lien documentaire entre la saisine et les contrôles, mais ne peut servir seule à reconstituer la motivation complète de la décision, le contenu du débat européen, la continuité technique depuis 2016, les intentions individuelles ou une qualification de fraude. Ces questions exigent les pièces contradictoires énumérées ci-dessus.

15. Sources de contrôle📋

• Source interne analysée : CNIL_Docs plainte_biffés_OCR.pdf, empreinte indiquée en section 2.
• Qwant : la CNIL estime que le moteur de recherche traite des données personnelles et lui adresse un rappel à ses obligations légales↗ (ouvre dans une nouvelle fenêtre), CNIL, 11 février 2025.
• Le mécanisme de coopération et de cohérence européen du RGPD↗ (ouvre dans une nouvelle fenêtre), CNIL.
• Règlement (UE) 2016/679, notamment articles 60 et 65↗ (ouvre dans une nouvelle fenêtre), EUR-Lex.
• Synthèse publique minimisée du corpus CNIL/CADA.

Cette page est une analyse documentaire. Elle ne remplace ni l'examen contradictoire des pièces originales, ni une expertise technique, ni un avis juridique sur une action déterminée.