La PRADA de la CNIL protège Qwant : du contrôle sous Léandri à la régularisation sous Ghinozzi📋

Avertissement méthodologique et juridique

Cette page distingue les faits établis de l'inférence. Les sources établissent qu'Éric Léandri dirigeait Qwant pendant les contrôles de 2019, que Jean-Claude Ghinozzi lui a succédé en janvier 2020 et que la cellule PRADA de la CNIL refuse de communiquer le projet initial comme sa version finale afin de ne pas porter préjudice à la « personne intéressée ». Elles établissent aussi que, dans la doctrine CADA invoquée, cette personne intéressée est d'abord la société contrôlée, donc Qwant. En revanche, les documents disponibles ne permettent pas d'affirmer que les projets occultés imputent personnellement un comportement à l'un des deux dirigeants, ni que le parcours antérieur de Jean-Claude Ghinozzi chez Microsoft aurait influencé la procédure.

1. Réponse synthétique📋

En 2019, Éric Léandri était le dirigeant de Qwant.

Le Sénat le présente comme « président-directeur général » de Qwant↗ (ouvre dans une nouvelle fenêtre) lors d'une audition du 8 janvier 2019. Le 12 juin 2019, au moment où la plainte CNIL était déjà enregistrée et quelques semaines avant le premier contrôle sur place, une commission d'enquête du Sénat le présente encore comme le fondateur et « l'actuel président de Qwant »↗ (ouvre dans une nouvelle fenêtre).

Qwant a ensuite annoncé que Jean-Claude Ghinozzi deviendrait président de Qwant SAS à compter du 15 janvier 2020, Éric Léandri prenant alors la présidence d'un comité stratégique et scientifique. Le communiqué de gouvernance de Qwant↗ (ouvre dans une nouvelle fenêtre) confirme donc qu'Éric Léandri occupait toujours la présidence pendant les contrôles de juillet, août et septembre 2019.

Jean-Claude Ghinozzi venait lui-même de l'écosystème Microsoft : avant de rejoindre Qwant en 2017, il avait dirigé la division Retail Sales & Marketing de Microsoft France. Cette fonction est documentée par le communiqué de Microsoft annonçant sa nomination↗ (ouvre dans une nouvelle fenêtre). Ce parcours est pertinent puisque Microsoft Ireland Operations Limited était le destinataire des données au cœur du contrôle. Il ne constitue toutefois pas, à lui seul, la preuve d'un conflit d'intérêts ou d'une intervention de Microsoft dans la procédure.

Le 6 mai 2026, la cellule PRADA de la CNIL a refusé de communiquer le projet de décision initial et sa version finale en écrivant qu'ils faisaient apparaître un comportement dont la divulgation pourrait porter préjudice à la personne intéressée.

La conclusion documentaire comporte trois niveaux :

1. fait établi : la PRADA protège Qwant, société contrôlée, contre la divulgation d'un comportement susceptible de lui porter préjudice ;
2. inférence fortement étayée : le projet initial porte sur les constats effectués sous la gouvernance d'Éric Léandri, tandis que la version finale intègre la réponse et la régularisation opérées sous Jean-Claude Ghinozzi ;
3. effet du refus : l'impossibilité de comparer ces deux versions protège Qwant sur les deux périodes et soustrait au regard public la manière dont l'analyse a évolué entre les deux gouvernances.

La chronologie des deux phases est établie, mais leur contenu demeure occulté. Le refus ne prouve donc pas que le projet initial visait Éric Léandri personnellement, que la version finale protégeait Jean-Claude Ghinozzi personnellement ou que son passé chez Microsoft a joué un rôle dans l'issue.

2. Chronologie de la gouvernance et du contrôle📋

Cette chronologie interdit trois raccourcis :

• il serait inexact de détacher Éric Léandri de la période contrôlée : il présidait bien Qwant en 2019 ;
• il serait également inexact de dater le projet initial de 2019 : l'entrée IMI qui en établit l'existence date du 16 mars 2020, après l'arrivée de Jean-Claude Ghinozzi, même si son objet est le comportement constaté sous la gouvernance précédente ;
• enfin, la « version finale » ne peut pas être réduite à un document de 2020 : elle intègre la régularisation engagée cette année-là sous Ghinozzi, mais l'issue rendue publique par la CNIL date de 2025.

3. Ce qu'écrit exactement la cellule PRADA📋

La demande portait notamment sur :

« Le projet de décision initial communiqué aux autorités concernées, les objections reçues, et le projet de décision révisé, ainsi que tout document de synthèse relatif aux objections, retraits d'objections ou arbitrages intervenus. »

La cellule PRADA répond :

« S'agissant du projet de décision initial ou dans sa version finale, conformément à l'article L.311-6 du CRPA, ces documents ne sont pas communicables car ils font apparaître un comportement dont la divulgation pourrait porter préjudice à la personne intéressée. »

Cette phrase figure dans le courriel PRADA du 6 mai 2026, et non dans le PDF « Docs contrôles biffés ». Le même courriel énumère séparément les trois dossiers communiqués après occultation :

• Docs contrôles biffés.pdf ;
• Docs plainte_biffés.pdf ;
• PV et annexes_biffés.pdf.

Le refus ne porte donc pas seulement sur quelques noms ou mentions isolées. Pour le projet initial comme pour sa version finale, la PRADA oppose une non-communication intégrale. Cette formulation empêche précisément de comparer :

• l'évaluation initiale des constats effectués en 2019 sous la présidence d'Éric Léandri ;
• les objections formulées par les autres autorités européennes ;
• la version révisée après le changement de gouvernance ;
• la prise en compte des corrections opérées en 2020 sous Jean-Claude Ghinozzi ;
• la mesure finale, limitée à un rappel aux obligations légales.

4. Qui est juridiquement la « personne intéressée » ?📋

L'article L.311-6 du CRPA↗ (ouvre dans une nouvelle fenêtre) réserve à l'intéressé les documents faisant apparaître le comportement d'une personne lorsque sa divulgation pourrait lui porter préjudice.

Le courriel PRADA cite expressément le conseil CADA n° 20213252 du 8 juillet 2021. Cette référence est déterminante. Dans son rapport d'activité 2021, pages 77 et 78↗ (ouvre dans une nouvelle fenêtre), la CADA examine précisément le cas d'un courrier adressé par la CNIL à un responsable de traitement après une plainte.

La CADA considère alors que :

• la société contrôlée est la personne intéressée ;
• la qualification des faits au regard du RGPD révèle un comportement susceptible de nuire à cette société ;
• même les salariés à l'origine de la plainte ne deviennent pas, pour autant, les personnes intéressées ;
• en matière de comportement, la personne intéressée est son auteur et non son éventuelle victime.

Appliquée au dossier présent, la lecture la plus directe est donc :

La « personne intéressée » protégée par le refus de la PRADA est Qwant, en sa qualité de société contrôlée.

Il ne s'agit pas d'une simple supposition fondée sur le nom du dossier. C'est la logique de la doctrine CADA que la PRADA a elle-même choisie pour motiver son refus.

Cette protection n'est pas nécessairement irrégulière : elle correspond à une exception prévue par le CRPA. Mais son effet concret est clair. Le plaignant et le public ne peuvent pas connaître les comportements décrits dans les projets, alors que leur divulgation est jugée susceptible de nuire à la société contrôlée.

5. Projet initial et version finale : deux périodes de gouvernance📋

Le rapprochement proposé par la demande est pertinent à condition de distinguer la date du document de la période des comportements qu'il examine.

5.1. Le projet initial : les constats de 2019 sous Éric Léandri📋

Les contrôles ont été effectués en juillet, août et septembre 2019. Éric Léandri présidait alors Qwant. En novembre 2019, la société contestait encore la qualification de l'AUID comme donnée personnelle et les positions respectives étaient décrites comme « plutôt tranchées ».

L'entrée IMI attestant l'existence d'un projet de décision date du 16 mars 2020. Ce projet a donc été formalisé après le changement de président, mais son matériau principal — les constats, les explications données pendant le contrôle et la position défendue par Qwant — appartient à la période Léandri.

La formulation rigoureuse est :

Le projet initial de 2020 porte sur le comportement de Qwant constaté en 2019 sous la présidence d'Éric Léandri.

Elle est plus précise que « projet initial de 2019 », qui confondrait la période contrôlée et la date documentaire.

5.2. La version finale : la réponse de Qwant sous Jean-Claude Ghinozzi📋

Jean-Claude Ghinozzi prend la présidence et la direction générale de Qwant le 15 janvier 2020. La CNIL indique que Qwant a ensuite fait évoluer sa politique de confidentialité, le 22 octobre 2020, pour reconnaître le caractère pseudonyme des données, préciser la finalité publicitaire et indiquer la base légale du traitement. Son récit public de 2025 affirme rétrospectivement que cette correction, la coopération « tout au long de la procédure » et la bonne foi de Qwant ont été prises en compte dans le choix de la mesure. Cette appréciation ne doit pas être confondue avec un accord de fond continu : le 15 novembre 2019, Qwant niait encore le caractère personnel de l'AUID et la CNIL décrivait les positions comme « plutôt tranchées ».

Il est donc fortement étayé que l'analyse finale ne porte plus seulement sur la situation héritée de 2019. Elle tient également compte :

• du changement de gouvernance ;
• des réponses adressées à la CNIL ;
• de la nouvelle politique de confidentialité ;
• des réponses procédurales de Qwant, puis de la coopération et des corrections invoquées après le changement de gouvernance ;
• des objections et échanges avec les autorités européennes ;
• des éléments finalement retenus pour préférer un rappel aux obligations légales à une autre mesure.

Jean-Claude Ghinozzi avait auparavant exercé une fonction dirigeante chez Microsoft France, entreprise liée au destinataire des données examinées. Ce fait justifie de poser la question de la transparence sur les arbitrages. Il ne permet pas de conclure que Ghinozzi représentait encore Microsoft, qu'il existait un conflit d'intérêts ou que son parcours a déterminé la décision finale.

La formulation proportionnée est :

La version finale intègre la régularisation conduite sous la présidence de Jean-Claude Ghinozzi et l'appréciation rétrospective de coopération portée par la CNIL. Les pièces contemporaines montrent toutefois une opposition substantielle encore tranchée sous la gouvernance précédente, sans permettre d'attribuer au passé de Ghinozzi chez Microsoft une influence sur la procédure.

5.3. Ce que protège la non-comparaison📋

La PRADA ne refuse pas seulement un document isolé : elle refuse les deux états nécessaires pour comprendre la transformation de la décision.

Constats de 2019 sous Léandri
             ↓
Projet initial formalisé en mars 2020
             ↓
Arrivée de Ghinozzi, réponses et régularisation de 2020
             ↓
Objections européennes et révisions
             ↓
Version finale puis simple rappel aux obligations légales

Sans les deux versions, il est impossible de savoir :

• quels griefs figuraient dans le projet initial ;
• lesquels ont été maintenus, atténués ou supprimés ;
• ce que les autorités européennes ont contesté ;
• quelle importance a été accordée au changement de gouvernance ;
• comment la régularisation de 2020 a influencé le choix final de la mesure ;
• si les responsabilités internes de 2019 étaient décrites ou seulement celles de la personne morale.

Le refus protège ainsi Qwant dans la continuité de ses deux gouvernances : la période des constats sous Léandri et celle de la réponse procédurale sous Ghinozzi.

6. L'inférence relative à Éric Léandri et Jean-Claude Ghinozzi📋

Le raisonnement peut être représenté ainsi :

Éric Léandri dirige Qwant pendant les contrôles de 2019
                              ↓
la CNIL prépare un projet initial sur les faits constatés
                              ↓
Jean-Claude Ghinozzi prend la direction de Qwant en janvier 2020
                              ↓
Qwant régularise sa politique et coopère sous sa présidence
                              ↓
le projet initial, les objections et la version finale restent secrets
                              ↓
Qwant et ses deux périodes de gouvernance échappent à la comparaison publique

Le lien avec Éric Léandri n'est donc pas inventé : il repose sur sa qualité de président et, au début de l'année, de président-directeur général de Qwant pendant la période examinée.

La non-divulgation peut indirectement protéger la gouvernance Léandri de plusieurs façons :

• elle empêche de savoir si les projets décrivaient des décisions prises au niveau de la présidence ;
• elle empêche de connaître l'analyse initiale complète des manquements observés sous sa gouvernance ;
• elle masque le contenu des objections formulées par les autres autorités européennes ;
• elle empêche de comparer précisément le projet initial, le projet révisé et l'issue publique finalement retenue ;
• elle réduit le risque d'une mise en cause réputationnelle des dirigeants associés à la période contrôlée.

Elle protège également la gouvernance Ghinozzi contre l'examen détaillé de la phase finale : réponses apportées, arguments échangés, concessions obtenues, rôle exact de la coopération et raisons du choix d'un simple rappel. Le fait que Ghinozzi soit un ancien dirigeant de Microsoft France donne à cette opacité un intérêt public particulier, puisque les transferts vers Microsoft sont au cœur du dossier. Il ne démontre cependant aucune irrégularité.

Une conséquence protectrice n'établit donc ni une responsabilité personnelle ni une intention de favoritisme. En l'état des pièces :

7. Ce que la CNIL a néanmoins rendu public📋

Dans sa publication du 11 février 2025↗ (ouvre dans une nouvelle fenêtre), la CNIL reconnaît publiquement que :

• les données transmises par Qwant à Microsoft n'étaient pas anonymes mais pseudonymisées ;
• la politique de confidentialité présentait ces données comme anonymes ;
• l'information fournie lors des contrôles de 2019 était inexacte et incomplète ;
• Qwant méconnaissait ses obligations de transparence et d'information prévues par les articles 12 et 13 du RGPD ;
• la mesure finalement retenue était un rappel aux obligations légales, sans caractère de sanction.

La CNIL indique aussi avoir retenu les précautions techniques, l'absence de publicité comportementale, la correction de 2020, la coopération et la bonne foi de Qwant. Elle qualifie l'origine des manquements d'« erreur d'analyse initiale », sans intention de contourner le RGPD. Cette formulation est l'appréciation publique rétrospective de l'autorité. Elle ne restitue pas le désaccord substantiel de 2019, puis l'inflexion expressément rattachée par Qwant à sa nouvelle gouvernance ; le récit publié ne la démontre pas davantage par une analyse Qwant contemporaine de 2016.

Ce récit public livre l'issue choisie par la CNIL. Il ne livre pas :

• le contenu du premier projet de décision ;
• les objections reçues des autorités européennes ;
• les modifications opérées dans le projet révisé ;
• les retraits d'objections ou arbitrages ;
• les raisons précises du passage d'une procédure européenne contestée à un simple rappel aux obligations légales ;
• les éventuelles mentions relatives aux responsabilités internes pendant la gouvernance de 2019 ;
• une analyse Qwant datée de 2016 appliquant les critères d'individualisation, de corrélation et d'inférence de WP216 au flux transmis à Microsoft ;
• un audit CNIL des objets Git ou du code effectivement déployé par Qwant en 2016 ;
• la place donnée aux alertes de Stéphane Erard en 2016 dans l'appréciation de la connaissance et de la bonne foi.

Ce sont précisément ces éléments que le refus PRADA maintient hors du débat public.

8. Conclusion📋

À la question « qui dirigeait Qwant en 2019 ? », la réponse documentaire est : Éric Léandri. Le Sénat le qualifie de président-directeur général en janvier et d'actuel président en juin ; son remplacement ne devient effectif que le 15 janvier 2020.

À la question « qui la PRADA protège-t-elle juridiquement ? », la réponse la mieux étayée est : Qwant, la société contrôlée. C'est le sens du conseil CADA n° 20213252 expressément cité dans son courriel.

Le projet initial et sa version finale correspondent à deux phases qu'il faut relier sans les confondre :

• le projet initial, formalisé en mars 2020, repose sur les constats effectués en 2019 sous la présidence d'Éric Léandri ;
• la version finale intègre la réponse et la régularisation engagées en 2020 sous Jean-Claude Ghinozzi, qui avait auparavant dirigé une division de Microsoft France, ainsi que l'appréciation rétrospective de coopération retenue par la CNIL.

À la question « ce refus protège-t-il aussi les dirigeants ? », la réponse doit conserver le mot essentiel : indirectement. En empêchant la comparaison des deux projets, la PRADA soustrait au regard public aussi bien l'évaluation initiale de la gouvernance Léandri que le traitement final du dossier sous la gouvernance Ghinozzi. Le lien est toutefois différent : Léandri dirigeait Qwant pendant les comportements contrôlés ; Ghinozzi dirigeait Qwant pendant la régularisation et une partie de la phase décisionnelle.

En revanche, faute d'accès aux documents précisément refusés, il n'est pas possible d'affirmer que le comportement occulté est personnellement celui d'Éric Léandri, que les projets lui imputent un manquement individuel, que Jean-Claude Ghinozzi ou Microsoft ont influencé la décision, ou que la CNIL a voulu favoriser l'un de ces acteurs.

La formulation la plus robuste est donc :

La PRADA de la CNIL protège directement Qwant contre la divulgation des comportements décrits dans le projet initial comme dans sa version finale. Le premier repose sur les constats effectués sous Éric Léandri ; la seconde intègre la régularisation conduite sous Jean-Claude Ghinozzi, ancien dirigeant de Microsoft France. En interdisant leur comparaison, le refus protège indirectement les deux périodes de gouvernance, sans démontrer une protection personnelle, un conflit d'intérêts ou une influence de Microsoft.

9. Sources principales📋

• Courriel de la cellule PRADA de la CNIL du 6 mai 2026
• Sénat, liste des personnes entendues le 8 janvier 2019 : Éric Léandri, président-directeur général de Qwant↗ (ouvre dans une nouvelle fenêtre)
• Sénat, audition du 12 juin 2019 : Éric Léandri, actuel président de Qwant↗ (ouvre dans une nouvelle fenêtre)
• Qwant, communiqué relatif au changement de gouvernance effectif le 15 janvier 2020↗ (ouvre dans une nouvelle fenêtre)
• Microsoft France, communiqué relatif à la nomination de Jean-Claude Ghinozzi à la direction de la division Retail Sales & Marketing↗ (ouvre dans une nouvelle fenêtre)
• CADA, rapport d'activité 2021, conseil n° 20213252, pp. 77-78↗ (ouvre dans une nouvelle fenêtre)
• Article L.311-6 du code des relations entre le public et l'administration↗ (ouvre dans une nouvelle fenêtre)
• CNIL, conclusion publique relative à Qwant, 11 février 2025↗ (ouvre dans une nouvelle fenêtre)
• Analyse du dossier de contrôle CNIL
• État de l'art de la ré-identification et chronologie de la gouvernance