AgentPublic/cnil huggingface dataset:
44. En l’espèce, la formation restreinte relève, tout d’abord, qu’il ressort des communiqués de la société Z mis en ligne sur son site web que cette dernière a notamment pour mission d’accompagner les petites et moyennes entreprises en France à travers le développement d’outils de collaboration, de solutions publicitaires ou pour leur donner les clés de compréhension de leurs marchés et de leurs consommateurs . Elle note, ensuite, que dans son courrier du 30 avril 2020 la société Y indique que Z dispose d’une équipe de vente dédiée à la promotion et à la vente des services de Y à l’égard des annonceurs et des éditeurs basés en France, comme [...] ads . Elle retient, enfin, que le groupe XY précise sur son site web ads.[...].com que [...] ads permet aux entreprises françaises de mettre leurs produits ou services en avant sur le moteur de recherche et sur un large réseau publicitaire .
45. Dès lors, le traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs du moteur de recherche [...] Search résidant en France, notamment à des fins publicitaires, est effectué dans le cadre des activités de la société Z sur le territoire français, laquelle est en charge de la promotion et de la commercialisation des produits […] et de leurs solutions publicitaires en France. La formation restreinte relève que les deux critères prévus à l’article 3, paragraphe I, de la loi informatique et libertés sont donc réunis et que le traitement est suffisamment territorialisé en France pour être soumis à la loi française. L’application de la loi française ne concerne que les opérations de lecture et d’écriture qui sont effectuées sur le territoire français (l’article 4 de la directive 95/46/CE sur la protection des données personnelles précisait d’ailleurs que la loi de l’Etat-membre ne s’appliquait qu’aux activités de l’établissement sur le territoire de l’Etat-membre ), ce qui correspond aux données lus sur les terminaux en France ou écriture sur ces terminaux en France. La formation restreinte souligne enfin qu’il s’agit d’une position constante de sa part depuis l’intervention de la jurisprudence YY en 2014 (cf. notamment la décision CNIL, formation restreinte, 27 avril 2017, SAN-2017-006 ; CNIL, formation restreinte, 19 décembre 2018, SAN-2018-011).
46. Il résulte de ce qui précède que la loi française est applicable et que la CNIL est matériellement et territorialement compétente pour exercer ses pouvoirs, y compris celui de prendre une mesure de sanction concernant le traitement en cause qui relève du champ d’application de la directive ePrivacy .
B. Sur la détermination du responsable de traitement
47. Aux termes de l’article 4, paragraphe 7, du RGPD, le responsable de traitement est la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement . Aux termes de l’article 26, paragraphe 1, du RGPD, lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement .
48. Le rapporteur considère que les sociétés Y et X sont responsables conjoints du traitement en cause en application de ces dispositions dès lors que les sociétés déterminent toutes les deux les finalités et les moyens du traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs de [...] Search résidant en France.
49. Les sociétés répondent que la société Y serait seule responsable du traitement en cause. […]la société Y serait responsable de traitement de la plupart des services et produits […] traitant les données à caractère personnel des utilisateurs résidant dans l’EEE et en Suisse, dont les cookies, tandis que la société X ne serait que sous-traitant de la première. Elles mettent également en avant la participation de la société Y aux différentes étapes et instances du processus décisionnel mis en place par le groupe pour définir les caractéristiques des cookies déposés sur [...] Search et soulignent qu’une série de différences concernant spécifiquement les cookies déposés sur les terminaux des utilisateurs européens recourant au moteur de [...] Search (durées de conservation différentes, respect des obligations relatives aux mineurs au sens du RGPD, etc.) attesteraient de l’autonomie décisionnelle de la société Y en la matière.
50. La formation restreinte relève, tout d’abord, que les articles 4, paragraphe 7, et 26, paragraphe 1, du RGPD sont applicables à la présente procédure en raison du recours à la notion de responsable de traitement dans l’article 82 de la loi informatique et libertés , lequel est justifié par le renvoi opéré par l’article 2 de la directive ePrivacy à la directive 95/46/CE sur la protection des données personnelles à laquelle s’est substitué le RGPD.
51. La formation restreinte rappelle, ensuite, que la CJUE s’est prononcée, à plusieurs reprises, sur la notion de responsabilité conjointe du traitement, notamment dans son arrêt Témoins de Jéhovah aux termes duquel elle a considéré que selon les dispositions de l’article 2, sous d), de la directive 95/46 sur la protection des données personnelles, la notion de responsable du traitement vise la personne physique ou morale qui, seule ou conjointement avec d’autres , détermine les finalités et les moyens du traitement de données à caractère personnel. Cette notion ne renvoie, dès lors, pas nécessairement à une personne physique ou morale unique et peut concerner plusieurs acteurs participant à ce traitement, chacun d’entre eux devant alors être soumis aux dispositions applicables en matière de protection des données (…). L’objectif de cette disposition étant d’assurer, par une définition large de la notion de responsable , une protection efficace et complète des personnes concernées, l’existence d’une responsabilité conjointe ne se traduit pas nécessairement par une responsabilité équivalente, pour un même traitement de données à caractère personnel, des différents acteurs. Au contraire, ces acteurs peuvent être impliqués à différents stades de ce traitement et selon différents degrés, de telle sorte que le niveau de responsabilité de chacun d’entre eux doit être évalué en tenant compte de toutes les circonstances pertinentes du cas d’espèce (CJUE, 10 juillet 2018, C 25/17,
pts. 65 et 66).
52. La formation restreinte considère donc que ces développements permettent d’éclairer utilement la notion de responsabilité de traitement conjointe invoquée par le rapporteur à l’égard des sociétés X et Y concernées par le traitement en cause.
1. Sur la responsabilité de la société Y
53. Les sociétés soutiennent que la société Y agit en qualité de responsable du traitement en cause, ce que reconnaît également le rapporteur.
54. La formation restreinte partage cette analyse.
55. En premier lieu, elle relève ainsi que, pendant l’audition du 22 juillet 2020, les représentants des sociétés ont déclaré que la société Y participe au développement et à la supervision des politiques internes qui guident les produits et leur conception, à la mise en place des paramètres, à la détermination des règles de confidentialité et à toutes les vérifications réalisées avant le lancement des produits, en application du principe privacy by design .
56. En second lieu, elle souligne que, s’agissant plus particulièrement des cookies, les représentants ont déclaré lors de l’audition que Y applique, par exemple, des durées de conservation des cookies plus courtes par rapport à d’autres régions du monde et qu’elle limite l’étendue des traitements liés à la personnalisation de la publicité en Europe par rapport au reste du monde. Par exemple, Y n’utilise pas certaines catégories de données pour effectuer de la publicité personnalisée telles que les ressources du foyer supposées. La société Y ne met pas en place de publicité personnalisée pour les enfants dont elle suppose qu’ils sont mineurs au sens du RGPD .
57. Il en ressort que la société Y est, au moins pour partie, responsable du traitement contrôlé consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du moteur de recherche [...] Search.
2. Sur la responsabilité de la société X
58. Les sociétés contestent l’analyse du rapporteur selon laquelle la société X partagerait la responsabilité du traitement en cause avec la société Y.
59. La formation restreinte relève, premièrement, que lors de l’audition du 22 juillet 2020, les sociétés ont affirmé que c’est bien la société X qui conçoit et construit la technologie des produits […] et qu’en ce qui concerne les cookies déposés et lus lors de l’utilisation du moteur de recherche [...] Search, il n’existe aucune différence de technologies entre les cookies déposés à partir des différentes versions du moteur de recherche.
60. De même, les sociétés, dans l’information qu’elles proposent aux utilisateurs français dans les règles d’utilisation accessibles depuis [...].fr , n’opèrent aucune distinction dans leur présentation des cookies utilisés par le groupe XY dès lors qu’elles indiquent utiliser différents types de cookies pour les produits associés aux annonces et les sites Web de […] .
61. Deuxièmement, la formation restreinte observe que malgré la participation non contestable de la société Y aux différentes étapes et instances liées à la définition des modalités de mise en œuvre des cookies déposés sur [...] Search, l’organisation matricielle décrite par les sociétés lors de l’audition du 22 juillet 2020 a mis en évidence que la société X est également représentée dans les organes adoptant les décisions relatives au déploiement des produits au sein de l’EEE et en Suisse et aux traitements de données à caractère personnel des utilisateurs y résidant et qu’elle y exerce une influence significative […].
62. De même, la formation restreinte relève que le délégué à la protection des données désigné par la société Y (ci-après DPO ) ainsi que ses DPO adjoints sont basés en Californie en qualité d’employés de la société X. À cet égard, il ressort des propres déclarations des représentants des sociétés faites lors de l’audition du 22 juillet 2020 que le groupe XY a fait ce choix afin que le DPO de la société Y soit au plus près des décideurs de l’entreprise .
63. Troisièmement, la formation restreinte considère que les différences que les sociétés mettent en avant entre les cookies déposés sur les terminaux d’utilisateurs européens et ceux destinés à d’autres utilisateurs (durées de conservation différentes, respect des obligations relatives aux mineurs au sens du RGPD, etc.) ne sont que des différences d’exécution qui ne remettent pas en cause la finalité publicitaire globale pour laquelle ils sont exploités, cette finalité étant déterminée notamment par la société X. Bien que ces différences aient principalement pour objet d’assurer la conformité au droit européen des cookies déposés sur les terminaux d’utilisateurs européens, elles n’illustrent pas, en tant que telles, une autonomie décisionnelle de la société Y sur l’ensemble des caractéristiques essentielles des moyens et finalités du traitement en cause.
64. Quatrièmement, la formation restreinte relève que bien qu’en vertu d’une lecture formelle du contrat de sous-traitance du 11 décembre 2018, la société X agirait en qualité de sous-traitant de la société Y dans le traitement des données des utilisateurs européens recueillies via les cookies, l’implication réelle de la société X dans le traitement en cause va bien au-delà de celle d’un sous-traitant qui se contenterait de procéder à des opérations de traitement pour le compte de la société Y et sur ses seules instructions.
65. La formation restreinte considère que ces derniers développements mettent en évidence que, malgré la prise d’effet du contrat de sous-traitance le 22 janvier 2019, la société X continue de jouer un rôle fondamental dans l’ensemble du processus décisionnel portant sur le traitement en cause. Elle détermine également les moyens du traitement étant donné que, comme évoqué ci-avant, c’est elle qui conçoit et construit la technologie des cookies déposés sur les terminaux des utilisateurs européens. Dès lors, la formation restreinte retient qu’il convient de lui attribuer également la qualité de responsable du traitement.
66. Il résulte de l’ensemble de ce qui précède que les sociétés X et Y déterminent conjointement les finalités et les moyens du traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du moteur de recherche [...] Search.
C. Sur le manquement aux obligations en matière de cookies
67. Aux termes de l’article 82 de la loi informatique et libertés (anciennement, article 32, paragraphe II, de cette même loi) tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant : 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; 2° Des moyens dont il dispose pour s'y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Ces dispositions ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur : 1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; 2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur .
68. En l’espèce, les membres de la délégation ont constaté dans le cadre du contrôle en ligne du 16 mars 2020 que, lors de l’arrivée sur le site web [...].fr , sept cookies ont été déposés sur leur équipement terminal, avant toute action de leur part. Dans son courrier du 30 avril 2020, la société Y a indiqué que quatre de ces sept cookies poursuivent une finalité publicitaire.
1. Sur le défaut d’information des personnes
69. Le rapporteur soutient que l’information des utilisateurs résidant en France relative aux opérations d’accès ou d’inscription d’informations dans leur terminal lors de l’utilisation du moteur de recherche [...] Search était insuffisante et peu claire, en violation des exigences de l’article 82 de la loi informatique et libertés .
70. La société Y, qui s’estime seule responsable du traitement en cause, répond qu’aucune disposition légale ne prescrit de modalités pratiques spécifiques au responsable de traitement pour informer ses utilisateurs, du moment que ces derniers sont effectivement informés, et soutient avoir opté pour une information par niveaux, comme le recommande le Groupe Article 29 (devenu CEPD depuis l’entrée en application du RGPD) dans ses lignes directrices sur la transparence au sens du Règlement, adoptées dans leur version révisée le 11 avril 2018.
71. Elle fait valoir ainsi que son premier niveau d’information respectait les exigences de transparence et d’accessibilité de l’information dès lors qu’il redirigeait les utilisateurs vers le reste des informations, et notamment celles relatives aux cookies. Elle avance qu’elle fournissait dans le cadre du second niveau des informations spécifiques sur le traitement des cookies, à savoir leurs finalités et les moyens mis à la disposition de l'utilisateur pour s'y opposer.
72. En premier lieu, la formation restreinte rappelle qu’en vertu de l’article 82 de la loi informatique et libertés , les accès ou inscriptions de cookies dans le terminal d’un utilisateur ne peuvent avoir lieu qu’à la condition que ce dernier y ait consenti après avoir reçu [une] information claire et complète relative aux finalités des cookies déposés et des moyens dont il dispose pour s’y opposer.
73. La formation restreinte considère qu’aux fins d’interprétation de ces dispositions, il est pertinent de se référer au considérant 25 de la directive ePrivacy , qui dispose que les méthodes retenues pour communiquer des informations, offrir un droit de refus ou solliciter le consentement devraient être les plus conviviales possibles .
74. La formation restreinte souligne, par ailleurs, que la CNIL a adopté plusieurs instruments juridiques de droit souple détaillant les obligations des responsables de traitement en matière de traceurs dont, notamment, une recommandation du 5 décembre 2013 ainsi que des lignes directrices du 4 juillet 2019, en vigueur à la date du contrôle en ligne. Bien que dépourvus de valeur impérative, ces instruments offrent un éclairage utile aux responsables de traitement en les renseignant sur la mise en place de mesures concrètes permettant de garantir le respect des dispositions de la loi informatique et libertés relatives aux traceurs afin, soit qu’ils mettent en œuvre ces mesures, soit qu’ils mettent en œuvre des mesures d’effet équivalent.
75. A cet égard, à l’article 2 de sa recommandation de 2013 la Commission rappelait notamment que l’information devait être préalable au recueil du consentement mais également visible, mise en évidence et complète . En conséquence, la Commission recommandait aux responsables de traitement de mettre en œuvre un mécanisme de recueil de consentement en deux étapes :
 première étape : l’internaute qui se rend sur le site d’un éditeur (page d'accueil ou page secondaire du site) doit être informé, par l’apparition d’un bandeau : des finalités précises des cookies utilisés ; de la possibilité de s’opposer à ces cookies et de changer les paramètres en cliquant sur un lien présent dans le bandeau ;
 seconde étape : les personnes doivent être informées de manière simple et intelligible des solutions mises à leur disposition pour accepter ou refuser tout ou partie des Cookies nécessitant un recueil du consentement : pour l’ensemble des technologies visées par l’article 32-II précité ; par catégories de finalités : notamment la publicité, les boutons des réseaux sociaux et la mesure d'audience .
76. De telles recommandations avaient été reprises dans les lignes directrices du 4 juillet 2019, dans des termes équivalents.
77. En l’espèce, la formation restreinte relève, premièrement, qu’il ressort du contrôle en ligne du 16 mars 2020 que lorsqu’un utilisateur arrivait sur la page [...].fr , un bandeau d’information s’affichait en pied de page, contenant notamment la mention suivante Rappel concernant les règles de confidentialité de […] en face de laquelle figuraient deux boutons intitulés Me le rappeler plus tard ou Consulter maintenant .
78. La formation restreinte retient ainsi qu’aucune information relative au dépôt de cookies sur l’équipement terminal n’était fournie à ce stade aux personnes concernées sur ce bandeau alors même que des cookies ayant une finalité publicitaire avaient déjà été déposés sur leur terminal dès leur arrivée sur la page [...].fr . Elle ajoute que le simple renvoi aux règles de confidentialité était loin d’être suffisamment explicite à ce stade pour permettre aux personnes lisant ce bandeau de savoir qu’une information relative aux cookies était disponible plus loin dans le parcours de navigation, pour répondre à leurs attentes en la matière et pour satisfaire aux exigences de l’article 82 de la loi informatique et libertés .
79. La formation restreinte souligne, deuxièmement, qu’il ressort des constatations effectuées lors du contrôle en ligne que les règles de confidentialité qui s’ouvraient dans des fenêtres surgissantes lorsque les personnes cliquaient sur le bouton Consulter maintenant ne contenaient toujours aucun développement dédié à l’usage des cookies et autres traceurs, malgré une information générale relative aux données à caractère personnel traitées par les services […].
80. Par ailleurs, les personnes n’étaient toujours pas informées à ce stade qu’elles pouvaient refuser les cookies sur leur équipement terminal, dès lors qu’elles étaient seulement avisées qu’elles pouvaient gérer les résultats de recherche en fonction de l’activité de recherche dans ce navigateur ou encore gérer les types d’annonces […] qui s’affichent .
81. Enfin, l’information fournie dans le cadre de cette fenêtre surgissante ne comportait, là encore, aucun renvoi explicite aux règles de confidentialité applicables aux cookies. Si les sociétés assurent que ces dernières étaient bien fournies à l’utilisateur, la formation restreinte relève que l’architecture informationnelle mise en place par les sociétés était telle que pour y parvenir l’utilisateur devait comprendre par lui-même qu’il lui fallait faire défiler le contenu de toute la fenêtre surgissante, sans cliquer sur l’un des cinq liens hypertextes figurant dans ce contenu ( notre règlement , En savoir plus , Modifier les paramètres de recherche , Modifier les paramètres des annonces , Modifier les paramètres Youtube ), pour finalement cliquer sur le bouton Autres options figurant tout en bas de la fenêtre.
82. Dès lors, la formation restreinte relève que l’information fournie par les sociétés, tant dans le cadre du bandeau que dans celui de la fenêtre surgissante, ne permettait pas aux utilisateurs résidant en France, lors de leur arrivée sur le moteur de recherche [...] Search, d’être préalablement et clairement renseignés sur l’existence d’opérations permettant l’accès et l’inscription d’informations contenues dans leur terminal ni, par conséquent, de la finalité de celles-ci et des moyens mis à leur disposition quant à la possibilité de les refuser.
83. En second lieu, la formation restreinte relève que depuis l’engagement de la procédure de sanction, les sociétés ont entrepris une série de modifications sur la manière dont elles utilisent les cookies.
84. La première mise à jour a d’abord été rendue disponible auprès des utilisateurs du moteur de recherche non connectés à un compte […] à compter du 17 août 2020 et entièrement déployée pour tous les utilisateurs le 10 septembre 2020 […]
85. La société Y met en avant que […], la nouvelle information fournie aux utilisateurs satisfait les exigences de l’article 82 de la loi informatique et libertés .
86. La formation restreinte relève que les personnes qui se rendent sur le site [...].fr voient désormais s’afficher, au milieu de leur écran, avant de pouvoir accéder au moteur de recherche, une fenêtre surgissante intitulée Avant de continuer qui contient le développement suivant : […] utilise des cookies et d'autres données pour fournir, gérer et améliorer ses services et annonces. Si vous acceptez, nous personnaliserons le contenu et les annonces que vous voyez en fonction de votre activité sur les services […] comme la recherche, Maps et YouTube. Certains de nos partenaires évaluent également la façon dont nos services sont utilisés. Cliquez sur "Plus d'informations" pour découvrir les options qui s'offrent à vous ou consultez la page g.co/privacytools à tout moment , les termes cookies , partenaires et g.co/privacytools étant des liens cliquables. En bas de cette fenêtre surgissante, figurent deux boutons intitulés Plus d’informations et J’accepte .
87. La formation restreinte constate que les sociétés fournissent désormais une information préalable relative aux cookies dès lors que les utilisateurs se rendant sur la page [...].fr sont désormais ouvertement et directement informés du fait que les sociétés recourent à des cookies, ce qui constitue une avancée indéniable par rapport aux précédents bandeaux d’information.