L'APD a infligé une amende de 40 millions d'euros à CRITEO, le responsable du traitement des données. Il s'agit d'une société spécialisée dans le « reciblage publicitaire ». Il s'agit d'une société qui suit le comportement de navigation des internautes via des trackers Criteo (cookies) afin de leur montrer des publicités personnalisées. Au cours de son enquête, l'APD a constaté de nombreuses lacunes dans le traitement des données. Tout d'abord, l'APD a constaté que le responsable du traitement n'avait pas réussi à prouver que les internautes avaient donné leur consentement au suivi à l'aide des trackers Criteo. De plus, le responsable du traitement n'avait pas veillé à ce que ses partenaires obtiennent le consentement des internautes dont il traitait les données. L'APD a également constaté que la politique de confidentialité du responsable du traitement n'était pas complète, car elle n'énumérait pas toutes les finalités pour lesquelles il traitait les données. De plus, certaines finalités n'étaient pas clairement définies. En outre, le responsable du traitement n'avait pas répondu de manière adéquate aux demandes d'informations des personnes concernées concernant leurs données personnelles. L'APD a également constaté que lorsque les personnes concernées demandaient le retrait de leur consentement ou la suppression de leurs données, le responsable du traitement s'était simplement assuré que les utilisateurs ne se voyaient plus présenter de publicités personnalisées. Le responsable du traitement n'a toutefois pas supprimé les données personnelles des personnes concernées. Enfin, l'APD a constaté que l'accord entre le responsable du traitement et un responsable conjoint du traitement était incomplet. Pour déterminer le montant de l'amende, l'APD a considéré comme un facteur aggravant le fait qu'un grand nombre de personnes étaient concernées.