AgentPublic/cnil huggingface dataset:
88. Pour autant, la formation restreinte considère que l’information délivrée n’est toujours pas claire et complète au sens de l’article 82 de la loi informatique et libertés , dans la mesure où cette information ne renseigne pas l’utilisateur sur l’ensemble des finalités des cookies déposés et des moyens dont il dispose pour s’y opposer.
89. Ainsi, l’exposé des différentes finalités mentionnées dans ce bandeau demeure trop général pour que les utilisateurs puissent comprendre aisément et clairement pour quels usages spécifiques les cookies sont déposés sur leur terminal.
90. L’utilisateur n’est notamment pas en mesure de comprendre le type de contenus et d’annonces susceptibles d’être personnalisés en fonction de son comportement - par exemple, s’il s’agit de publicité géolocalisée -, la nature exacte des services […] qui recourent à la personnalisation ni le fait que cette personnalisation opère entre ces différents services.
91. La formation restreinte considère, par ailleurs, que l’information fournie est incomplète dès lors que les utilisateurs ne sont toujours pas renseignés sur leur possibilité de refuser ces cookies, ni sur les moyens mis à leur disposition pour cela. En effet, les termes options ou Plus d’informations ne sont pas assez explicites pour permettre aux utilisateurs de comprendre directement l’étendue de leurs droits à l’égard des cookies déposés sur leur terminal.
92. […]
93. Au regard de l’ensemble de ce qui précède, la formation restreinte considère qu’un manquement aux dispositions relatives à l’information des personnes de l’article 82 de la loi informatique et libertés est constitué.
94. La formation restreinte relève que ce manquement persiste à la date de la clôture de l’instruction, les modifications apportées par les sociétés depuis l’engagement de la procédure de sanction n’ayant pas permis de mettre cette information en conformité avec les exigences de l’article 82 informatique et libertés .
2. Sur le défaut de recueil du consentement des personnes avant le dépôt de cookies sur leur terminal et l’impossibilité pour les personnes de refuser le dépôt de tous les cookies
a. Sur le défaut de recueil du consentement des personnes avant le dépôt de cookies sur leur terminal
95. Le rapporteur soutient que les sociétés ont violé les dispositions de l’article 82 de loi informatique et libertés relatives au consentement des personnes dans la mesure où, lors du contrôle en ligne du 16 mars 2020, il a été constaté que dès l’arrivée de l’utilisateur sur la page [...].fr , plusieurs cookies poursuivant une finalité publicitaire étaient déposés sur son terminal avant toute action de sa part.
96. La société Y ne conteste pas cette branche du manquement.
97. La formation restreinte relève qu’aux termes de l’article 82 de la loi informatique et libertés , les accès ou inscriptions [de cookies] ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle . Seuls les cookies ayant pour finalité exclusive de permettre ou faciliter la communication par voie électronique, ou ceux strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur, sont exonérés de cette obligation.
98. En l’espèce, la formation restreinte souligne que le contrôle en ligne du 16 mars 2020 a permis de constater que lors de l’arrivée sur la page [...].fr sept cookies étaient automatiquement déposés sur le terminal de la délégation, avant toute action de sa part.
99. La formation restreinte relève que la société Y a indiqué dans son courrier du 30 avril 2020 que quatre des sept cookies déposés, soit les cookies NID , IDE , ANID et 1P_JAR , poursuivent une finalité publicitaire.
100. Dès lors que ces quatre cookies n’ont pas pour finalité exclusive de permettre ou faciliter la communication par voie électronique ni ne sont strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur, la formation restreinte considère que les sociétés auraient dû recueillir préalablement le consentement des utilisateurs, avant de procéder à leur dépôt sur le terminal de ces derniers.
101. Au regard de ce qui précède, la formation restreinte considère qu’un manquement à l’obligation prévue par l’article 82 de la loi informatique et libertés de recueillir préalablement le consentement des personnes avant de déposer des cookies sur leur terminal est constitué.
102. Elle souligne néanmoins que durant la procédure de sanction les sociétés ont apporté des modifications à la page [...].fr , qui ont notamment amené, depuis le 10 septembre 2020, à l’arrêt du dépôt automatique de ces quatre cookies dès l’arrivée de l’utilisateur sur la page.
b. Sur le caractère partiellement défaillant du mécanisme d’opposition mis en place par […].
103. Le rapporteur soutient qu’outre le fait que le consentement, lorsqu’il était nécessaire, n’était pas recueilli, le dispositif mis en place par les sociétés pour s’opposer aux cookies à finalité publicitaire déposés sur le terminal de l’utilisateur s’avérait également partiellement défaillant, en violation des exigences de l’article 82 de loi informatique et libertés .
104. La société Y conteste cette appréciation et répond qu’elle tenait, et continue à tenir compte du choix de l'utilisateur de retirer son consentement à travers un mécanisme permettant aux utilisateurs de personnaliser les annonces sur la recherche […] ainsi que sur le web.
105. En l’espèce, la formation restreinte souligne tout d’abord que les sociétés déposant ces cookies à finalité publicitaire avant même d’avoir recueilli le consentement des utilisateurs (absence d’ opt-in ), l’emploi de l’expression retirer son consentement par la société Y est particulièrement abusif. Dès lors, les sociétés pouvaient-elles tout au plus mettre en avant le fait d’avoir mis en place un mécanisme d’opposition à ces cookies ( opt-out ).
106. Par ailleurs, la formation restreinte relève qu’il ressort du contrôle en ligne du 16 mars 2020 que lorsque les personnes cliquaient sur le bouton Consulter maintenant présent sur le bandeau d’information en pied de la page [...].fr , une fenêtre apparaissait au sein de laquelle elles pouvaient cliquer sur le bouton Modifier les paramètres des annonces , puis désactiver la Personnalisation des annonces sur la recherche […] et la Personnalisation des annonces sur le web grâce à des boutons glissants. Lorsque les personnes désactivaient la personnalisation des annonces par le biais de ce bouton glissant, une nouvelle fenêtre s’affichait leur demandant de confirmer leur choix et leur précisant que des annonces continueront de s’afficher mais qu’elles ne seront plus personnalisées.
107. La formation restreinte relève qu’après avoir pourtant désactivé la personnalisation des annonces sur la recherche […], la délégation a constaté, en poursuivant sa navigation sur le site, que plusieurs de ces cookies à finalités publicitaires demeuraient stockés sur son équipement terminal. Elle souligne, à cet égard, qu’au moins un de ces cookies n’appartenait pas à la catégorie des cookies dits d’opposition, lesquels demeurent stockés sur le terminal de l’utilisateur avec la valeur opt-out pour indiquer au serveur du domaine auquel ils sont liés que l’utilisateur a exprimé son refus à des dépôts futurs de cookies identiques à partir de ce même domaine.
108. La société Y ayant elle-même reconnu, dans son courrier du 30 avril 2020, que le cookie en cause poursuit une finalité exclusivement publicitaire, la formation restreinte en conclut que le mécanisme d’opposition mis en place par les sociétés était partiellement défaillant. En effet, ce cookie demeurant déposé sur le terminal de l’utilisateur sans se voir attribuer la valeur opt-out , les informations qu’il contenait continuaient d’être systématiquement lues par le serveur du domaine auquel est lié le cookie (par exemple [...].com ou [...].fr ) lors de chaque nouvelle interaction avec le domaine concerné.
109. Au regard de ce qui précède, la formation restreinte considère que les sociétés ont méconnu l’obligation prévue par l’article 82 de la loi informatique et libertés de mettre en place un mécanisme effectif permettant aux utilisateurs de refuser ou de ne plus lire les cookies nécessitant leur consentement.
III. Sur les mesures correctrices et la publicité
110. Aux termes de l’article 20, paragraphe III, de la loi informatique et libertés :
Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant (…) de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […] 2° Une injonction de mettre en conformité le traitement avec les obligations résultant (…) de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'Etat, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […] 7° À l'exception des cas où le traitement est mis en œuvre par l'Etat, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du
montant de l'amende, les critères précisés au même article 83 .
111. L’article 83 du RGPD, tel que visé par l’article 20, paragraphe III, de la loi informatique et libertés , prévoit :
1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.
2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2, points a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des éléments suivants :
a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu'elles ont subi ;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées ;
d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des articles 25 et 32 ;
e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les éventuels effets négatifs ;
g) les catégories de données à caractère personnel concernées par la violation ;
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures ;
j) l'application de codes de conduite approuvés en application de l'article 40 ou de mécanismes de certification approuvés en application de l'article 42 ; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation.
A. Sur la légalité de la présente procédure de sanction
112. Les sociétés soutiennent, tout d’abord, que rien ne permet de justifier que la CNIL ait directement engagé une procédure de sanction à leur encontre sans qu’une mise en demeure leur ait été préalablement adressée.
113. Elles avancent, ensuite, qu’au regard de l’instabilité du cadre juridique relatif aux cookies, le prononcé d’une sanction financière pour les faits en cause violerait le principe de légalité des délits et des peines, garanti à l’article 8 de la Déclaration des droits de l'homme et du citoyen. Elles font notamment valoir que la caractérisation des manquements repose sur l’application de lignes directrices dont le sens n’avait pas valeur impérative au moment du contrôle en ligne du 16 mars 2020, la CNIL ayant accordé, en juillet 2019, un délai d'adaptation de douze mois à compter de la publication des lignes directrices du 4 juillet 2019 afin que les responsables de traitement puissent s'y conformer.
114. En premier lieu, la formation restreinte rappelle que, conformément à l’article 20 de la loi informatique et libertés , la présidente de la CNIL n’est pas tenue d’adresser une mise en demeure à un responsable de traitement avant d’engager une procédure de sanction à son encontre. Elle ajoute que la possibilité d’engager directement une procédure de sanction a été confirmée par le Conseil d’Etat (voir, notamment, CE, 4 nov. 2020, req. n° 433311, pt. 3).
115. En second lieu, la formation restreinte rappelle, tout d’abord, que les différentes branches du manquement reproché aux sociétés ont pour seul fondement juridique les dispositions de l’article 82 de la loi informatique et libertés qui ont transposé les dispositions relatives aux cookies et traceurs de la directive ePrivacy . Elle signale que si ces prescriptions étaient autrefois prévues à l’article 32, paragraphe II, de cette même loi, avant que le texte ne soit refondu dans son ensemble par l’ordonnance n°2018-1125 du 12 décembre 2018, leur contenu est demeuré inchangé depuis 2011.
116. La formation restreinte, relève, ensuite, que sur la base de ces dispositions, elle a déjà adopté plusieurs décisions de sanction, concernant parfois des pratiques identiques, dont certaines ont d’ailleurs été rendues publiques (voir, en ce sens, délibération n°SAN-2016-204 du 7 juillet 2016 et délibération n°SAN-2017-006 du 27 avril 2017).
117. La formation restreinte souligne, enfin, que bien que les communications de la CNIL relatives aux cookies et traceurs aient connu dernièrement certaines évolutions, les pratiques à l’origine des différentes branches du manquement reproché en l’espèce aux deux sociétés ont été continuellement considérées comme non conformes par la CNIL, que cela soit par la première recommandation du 5 décembre 2013 ou par les lignes directrices du 4 juillet 2019, en vigueur à la date des constatations faites par la délégation de la CNIL. Elle relève, à titre d’information, que la deuxième recommandation et la dernière version des lignes directrices, qui datent du 17 septembre 2020 et qui ont été publiées le 1er octobre 2020, s’inscrivent également dans cette continuité. En tout état de cause, comme rappelé ci-avant, les pratiques non conformes relevées dans le cadre de cette procédure sont appréciées au regard de la loi informatique et libertés et non des lignes directrices ou des recommandations de la CNIL.
118. S’agissant plus particulièrement du délai d'adaptation à compter de la publication des lignes directrices du 4 juillet 2019 invoqué par les sociétés, la formation restreinte relève qu’il est, en l’espèce, inopérant, dès lors que les pratiques en cause portent précisément sur les obligations dont la CNIL avait pris soin, dans son communiqué publié sur son site web le 18 juillet 2019, de préciser qu’elles demeuraient opposables aux responsables de traitement, en les avertissant que cette période d’adaptation [ne l’empêchera pas] de contrôler pleinement le respect des autres obligations qui n’ont fait l’objet d’aucune modification et, le cas échéant, d’adopter des mesures correctrices pour protéger la vie privée des internautes. En particulier, les opérateurs doivent respecter le caractère préalable du consentement au dépôt de traceurs […] et doivent fournir un dispositif de retrait du consentement facile d’accès et d’usage .
119. En raison de la permanence du fondement juridique et des dispositions au regard desquels le manquement est constitué et de la constance de la position de la CNIL vis-à-vis des pratiques qui font l’objet de la présente procédure, la formation restreinte considère que le prononcé d’une amende administrative à l’encontre de chacune des sociétés sans mise en demeure préalable ne contreviendrait pas au principe de légalité des délits et des peines.
B. Sur le prononcé d’amendes administratives et leur montant
120. Les sociétés font valoir que le montant de l’amende proposée par le rapporteur est disproportionné et estimé de manière discrétionnaire dès lors que, contrairement à d’autres autorités administratives françaises ou européennes disposant d’un pouvoir de sanction, la CNIL n’a pas fourni de lignes directrices pour le calcul de ses amendes.
121. Elles ajoutent que ce montant devrait être significativement réduit notamment en application de l’alinéa f) de l’article 83, paragraphe 2 du Règlement afin de prendre en compte leur forte coopération avec la CNIL depuis le début de la procédure en vue de mettre fin au manquement et d'en atténuer les éventuels effets négatifs.
122. La formation restreinte rappelle, à titre général, que l’article 20, paragraphe III, de la loi informatique et libertés lui donne compétence pour prononcer diverses sanctions, notamment des amendes administratives dont le montant maximal peut être équivalant à 2 % du chiffre d'affaires annuel mondial total de l’exercice précédent réalisé par le responsable de traitement. Elle ajoute que la détermination du montant de ces amendes s’apprécie au regard des critères précisés par l’article 83 du RGPD.
123. En premier lieu, la formation restreinte souligne qu’il convient, en l’espèce, de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2 du Règlement relatif à la gravité du manquement compte tenu de la nature et de la portée du traitement.
124. Ainsi, la formation restreinte relève que le moteur de recherche [...] Search, à partir duquel sont déposés les cookies en cause, a une portée considérable en France, l’Autorité de la concurrence ayant relevé qu’il dominait le marché de la recherche en ligne avec une part de marché supérieure à 90% (ADLC, 19 déc. 2019, déc. n° 19-D-26, pt. 313).
125. Elle souligne que le moteur de recherche [...] Search comptabilisant au moins 47 millions d’utilisateurs en France, ce qui correspond à 70% de la population française, le nombre de personnes concernées par le traitement est extrêmement important.
126. Au regard de la structuration de ce marché, la formation restreinte considère que la gravité du manquement est caractérisée par le fait qu’en ne respectant pas plusieurs des exigences de l’article 82 de la loi informatique et libertés , les sociétés privent les utilisateurs de [...] Search résidant en France de la possibilité de choisir entre des modalités de recherche préservant davantage la confidentialité de leurs données et des modalités permettant une meilleure personnalisation du service, réduisant ainsi l’autonomie informationnelle et le choix des personnes.
127. Enfin, la formation restreinte relève que le manquement est d’autant plus grave au regard du rôle joué par les moteurs de recherche dans l’accès à l’information, a fortiori par celui développé par les sociétés. À cet égard, la puissance de cette position dominante donne une valeur sans égale aux cookies déposés par les sociétés à partir de leur moteur de recherche car ils assurent les sites tiers de toucher le maximum d’utilisateurs et, s’agissant de cookies traceurs, de pouvoir les suivre avec la plus grande efficacité.
128. En deuxième lieu, la formation restreinte estime qu’il convient de faire application du critère prévu à l’alinéa k) de l’article 83, paragraphe 2, du Règlement relatif aux avantages financiers obtenus du fait du manquement.
129. Ainsi, elle souligne que le groupe XY réalise l’essentiel de ses bénéfices dans les deux principaux segments du marché de la publicité en ligne que constituent la publicité par affichage (Display Advertising) et la publicité contextuelle (Search Advertising), dans lesquels les cookies jouent un rôle indéniable, quoique différent.
130. Tout d’abord, dans le segment de la publicité par affichage, dont l’objet est d’afficher un contenu dans une zone spécifique d’un site web et dans lequel les cookies et traceurs sont utilisés pour identifier les utilisateurs au cours de leur navigation aux fins de leur proposer les contenus les plus personnalisés, il est établi que le groupe XY propose des produits à tous les échelons de la chaîne de valeur de ce segment et que ses produits sont systématiquement dominants sur ces différents échelons. À cet égard, le groupe XY indique, sur un de ses sites web, qu’il propose pour la publicité un écosystème accessible depuis ses outils et services capable de toucher plus de 2 millions de sites, vidéos et applications et plus de 90% des utilisateurs de l’Internet dans le monde.
131. Ensuite, le segment de la publicité contextuelle, dont l’objet est d’afficher des résultats sponsorisés en fonction des mots clef tapés par les utilisateurs dans un moteur de recherche, nécessite également l’usage de cookies dans sa mise en œuvre pratique, par exemple pour pouvoir déterminer la localisation géographique des utilisateurs et, par-là, adapter les annonces proposées en fonction de cette localisation. À cet égard, il ressort du rapport annuel de la société ALPHABET pour l’année 2019 que ce segment constitue à lui seul, à travers notamment le service [...] ads - anciennement AdWords -, 61% du chiffre d’affaires du groupe XY.
132. La formation restreinte n’a pas connaissance du montant du bénéfice tiré par le groupe XY de la collecte et de l’exploitation de cookies sur le marché français via le revenu généré par la publicité ciblée sur des internautes français, les sociétés mises en cause n’ayant pas fourni cette information alors qu’elles y étaient invitées dans le cadre de l’instruction du dossier. À titre d’ordre de grandeur, et afin d’apprécier la proportionnalité du montant de sanction proposé par le rapporteur, elle relève qu’une approximation proportionnelle à partir des données chiffrées accessibles publiquement conduirait à estimer que la France contribuerait pour entre 680 et 755 millions de dollars au résultat net annuel d’ALPHABET, la société-mère du groupe XY, soit, au taux de change actuel, entre 580 et 640 millions d’euros.
133. En troisième lieu, en ce qui concerne le critère prévu à l’alinéa f) de l’article 83, paragraphe 2 du Règlement invoqué par les sociétés au soutien d’une diminution de l’amende proposée à leur encontre par le rapporteur, la formation restreinte relève qu’il ressort de l’article 18 de la loi informatique et libertés que les responsables de traitement ne peuvent s'opposer à l'action de la Commission et qu’ils doivent prendre toutes mesures utiles afin de faciliter sa tâche . La coopération avec l’autorité de contrôle constitue ainsi d’abord une obligation prévue par la loi.