AgentPublic/cnil huggingface dataset:
134. Pour que cette coopération puisse devenir éventuellement une circonstance atténuante à la caractérisation du manquement et, par-là, contribuer à la diminution de l’amende initialement envisagée, la formation restreinte souligne que le responsable de traitement doit non seulement s’être préalablement acquitté de son obligation au titre de l’article 18 précité mais également avoir satisfait de manière particulièrement diligente aux demandes de l’autorité de contrôle pendant la phase d’enquête et mis en œuvre toute mesure en son pouvoir permettant de réduire aux maximum l’incidence du manquement sur les personnes concernées.
135. En l’espèce, la formation restreinte relève que les sociétés n’ont notamment jamais communiqué aux services de la Commission les revenus publicitaires des sociétés X et Y réalisés en France, éléments financiers pourtant demandés à plusieurs reprises par le rapporteur, en amont et à la suite de l’audition du 22 juillet 2020. En conséquence, la coopération dont elles ont fait preuve ne devrait avoir aucune incidence sur le montant de leur amende dès lors qu’elle est à peine conforme à ce que la CNIL est en droit d’attendre d’un responsable de traitement.
136. En conclusion, la formation restreinte rappelle que le manquement à l’article 82 informatique et libertés est en l’espèce triplement caractérisé, dès lors qu’en déposant automatiquement les cookies en cause sur les terminaux des utilisateurs résidant en France lors de leur arrivée sur la page [...].fr les sociétés ne satisfaisaient ni à l’exigence d’une information préalable, claire et complète des utilisateurs, ni à celle du recueil obligatoire de leur consentement et que, en outre, le mécanisme d’opposition à ces cookies s’avérait partiellement défaillant.
137. Elle souligne qu’en raison de la portée du moteur de recherche [...] Search en France ces pratiques ont affecté près de cinquante millions d’utilisateurs résidant en France et que les sociétés en ont tiré des bénéfices considérables à travers les revenus publicitaires indirectement générés par les données collectées par ces cookies.
138. En application des dispositions de l’article 20, paragraphe III, de la loi informatique et libertés , les sociétés encourent une sanction financière d’un montant maximum de 2% de leur chiffre d’affaires, lequel était de 38 milliards d’euros en 2018 pour la société Y et de 160 milliards de dollars en 2019 pour la société X.
139. Dès lors, au regard des responsabilités respectives des sociétés, de leurs capacités financières et des critères pertinents de l’article 83, paragraphe 2, du Règlement évoqués ci-avant, la formation restreinte estime qu’une amende de 60 000 000 euros à l’encontre de la société X et une amende de 40 000 000 euros à l’encontre de la société Y apparaissent effectives, proportionnées et dissuasives, conformément aux exigences de l’article 83, paragraphe 1, de ce Règlement.
C. Sur le prononcé d’une injonction
140. Les sociétés soutiennent que les demandes formulées au titre de l’injonction proposée par le rapporteur et relatives notamment à l’information des personnes et au dépôt préalable de cookies soumis à consentement sont devenues sans objet […].
141. Elles contestent par ailleurs le montant de l’astreinte journalière proposée en complément des injonctions dès lors que le rapporteur n’apporte pas la démonstration de la nécessité de cette astreinte ni de la proportionnalité de son montant, qui est le montant maximal prévu par la loi informatique et libertés .
142. En premier lieu, la formation restreinte relève qu’en l’état actuel de l’information fournie aux utilisateurs, les sociétés n’informent toujours pas les utilisateurs résidant en France, de manière claire et complète, des finalités de tous les cookies soumis au consentement et des moyens dont ils disposent pour les refuser, […] Elle estime dès lors nécessaire le prononcé d’une injonction afin que les sociétés se mettent en conformité avec les obligations applicables en la matière.
143. En second lieu, la formation restreinte souligne qu’une astreinte journalière est une pénalité financière par jour de retard que devra payer le responsable de traitement en cas de non-respect de l’injonction à l’expiration du délai d’exécution prévu. Son prononcé peut donc parfois s’avérer nécessaire pour s’assurer de la mise en conformité du responsable de traitement sous un certain délai.
144. La formation restreinte ajoute qu’aux fins de conserver à l’astreinte sa fonction comminatoire, son montant se doit d’être à la fois proportionné à la gravité des manquements reprochés mais également adapté aux capacités financières du responsable de traitement. Elle relève, par ailleurs, que dans certaines hypothèses, comme en l’espèce, ce montant se doit d’être d’autant plus élevé que le manquement concerné par l’injonction participe indirectement aux bénéfices générés par le responsable de traitement.
145. Au regard de ces deux éléments, la formation restreinte considère proportionné le prononcé d’une astreinte d’un montant de 100 000 euros par jour de retard et liquidable à l’issue d’un délai de trois mois. Le délai d’exécution laissé est également raisonnable compte tenu des moyens techniques dont disposent les sociétés et de la capacité d’adaptation dont elles se prévalent.
D. Sur la publicité
146. La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité du manquement en cause, de la portée du traitement et du nombre de personnes concernées.
147. La formation restreinte estime que cette mesure permettra d’alerter les utilisateurs français du moteur de recherche [...] Search de la caractérisation du manquement à l’article 82 de la loi informatique et libertés dans ses différentes branches et de les informer de la persistance du manquement au jour de la présente délibération et de l’injonction prononcée à l’encontre des sociétés pour y remédier. Elle ajoute que cette mesure est rendue d’autant plus nécessaire que les cookies litigieux étaient déposés à l’insu des utilisateurs, de sorte que seule la publicité de la présente décision leur permettra de prendre connaissance des pratiques en cause.
148. Enfin, la mesure n’est pas disproportionnée dès lors que la décision n’identifiera plus nommément les sociétés à l’expiration d’un délai de deux ans à compter de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre de la société X une amende administrative d’un montant de 60 000 000 euros (soixante millions d’euros) pour manquement à l’article 82 de la loi informatique et libertés ;
• prononcer à l’encontre de la société Y une amende administrative d’un montant de 40 000 000 euros (quarante millions d’euros) pour manquement à l’article 82 de la loi informatique et libertés ;
• prononcer à l’encontre des sociétés X et Y une injonction de mettre en conformité le traitement avec les obligations résultant de l’article 82 de la loi informatique et libertés , en particulier :
o Informer les personnes concernées au préalable et de manière claire et complète, par exemple sur le bandeau d’information présent sur la page d’accueil du site [...].fr :
- des finalités de tous les cookies soumis au consentement,
- des moyens dont elles disposent pour les refuser ;
• assortir l’injonction d’une astreinte de 100 000 € (cent mille euros) par jour de retard à l’issue d’un délai de trois mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ;
• adresser cette décision à la société Z SARL en vue de l’exécution de cette décision ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément les sociétés à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de quatre mois à compter de sa notification.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Dominique CASTERA, Anne DEBET et Christine MAUGÜE, membres ;
Vu la Convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu l’ordonnance n° 2014-1329 du 6 novembre 2014 relative aux délibérations à distance des instances administratives à caractère collégial ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2019-224C du 29 novembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements accessibles à partir du domaine " [...].fr " ou portant sur des données à caractère personnel collectées à partir de ce dernier ;
Vu la décision n° 2020-042C du 27 décembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société Y ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 23 mars 2020 ;
Vu le rapport de Monsieur Éric PÉRÈS, commissaire rapporteur, notifié à la société X le 17 juillet 2020 ;
Vu les observations écrites versées par le conseil de la société X le 15 septembre 2020 ;
Vu la réponse du rapporteur à ces observations notifiée à la société X le 9 octobre 2020 ;
Vu les nouvelles observations écrites versées par le conseil de la société X, reçues le 2 novembre 2020 ;
Vu les observations orales formulées lors de la séance de la formation restreinte ;
Vu le courrier adressé par la société X au président de la formation restreinte le 17 novembre 2020 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 12 novembre 2020 :
- Monsieur Éric PÉRÈS, commissaire, entendu en son rapport ;
En qualité de représentants de la société X :
- […]
La société X ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société X (ci-après " la société " ou " X ") est une société de droit luxembourgeois dont le siège social est situé […], faisant partie du groupe Z. Elle a pour principale activité l’exploitation des sites web européens " [...] " qui permettent la vente en ligne de biens marchands. Pour les besoins de ses activités notamment en France, la société exploite le site web " [...].fr " accessible à partir de l’adresse URL https://www.[...].fr/. Pour l’année 2019, elle a réalisé un chiffre d’affaires d’environ 7,7 milliards d’euros.
2. En application des décisions n° 2019-224C du 29 novembre 2019 et n° 2020-042C du 27 décembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission "), une délégation de la CNIL a mené les opérations de contrôle suivantes :
- trois contrôles en ligne portant sur le site [...].fr effectués les 12 décembre 2019, 6 mars 2020 et 19 mai 2020 ;
- un contrôle réalisé le 30 janvier 2020 dans les locaux de la société Y, établissement français du groupe Z ;
- […]
3. Ces missions avaient pour objet de vérifier le respect, par la société, des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi Informatique et Libertés " ou " loi du 6 janvier 1978 "). En particulier, il s’agissait de procéder à des investigations en lien avec les traitements consistant en des opérations d’accès ou d’inscription déposés sur le terminal des internautes résidant en France lors de leur visite sur le site web [...].fr.
4. Durant ces investigations, plusieurs échanges sont intervenus entre, d’une part, les sociétés X et Y et, d’autre part, la délégation de contrôle de la CNIL.
5. Aux fins d’instruction de ces éléments, la présidente de la Commission a désigné Monsieur Éric PÉRÈS en qualité de rapporteur, le 23 mars 2020, sur le fondement de l’article 22 de la loi du 6 janvier 1978.
6. À l’issue de son instruction, le rapporteur a fait signifier par huissier de justice à la société X, le 17 juillet 2020, un rapport détaillant le manquement à la loi " Informatique et Libertés " qu’il estimait constitué en l’espèce. Était également jointe au rapport une convocation à la séance de la formation restreinte du 15 octobre 2020, indiquant à la société qu’elle pouvait produire ses observations en réponse au plus tard le 8 septembre 2020.
7. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l’encontre de la société X une amende administrative ainsi qu’une injonction, assortie d’une astreinte, de mettre le traitement en conformité avec les dispositions de l’article 82 de la loi " Informatique et Libertés ". Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
8. Par courrier du 19 aout 2020, la société a sollicité auprès du président de la formation restreinte un délai supplémentaire pour produire ses observations en réponse au rapport du rapporteur. Le 1er septembre 2020, le président de la formation restreinte a accordé un délai supplémentaire d’une semaine à la société.
9. Le 15 septembre 2020, par l’intermédiaire de son conseil, la société a produit des observations en réponse au rapport du rapporteur et a formulé une demande pour que la séance devant la formation restreinte se tienne à huis clos. Elle a renouvelé sa demande le 13 octobre 2020.
10. Par courrier électronique du 24 septembre 2020, sur le fondement de l’article 40, alinéa 4, du décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi " Informatique et Libertés " (ci-après " le décret du 19 mai 2019 "), le rapporteur a demandé au président de la formation restreinte un délai supplémentaire de neuf jours pour répondre aux observations de la société, qui lui a été accordé le 28 septembre 2020. La société en a été informée le même jour.
11. Le 1er octobre 2020, le secrétaire général de la CNIL a informé la société de ce que la séance de formation restreinte initialement prévue le 15 octobre était reportée au 12 novembre 2020.
12. Le rapporteur a répondu aux observations de la société le 9 octobre 2020.
13. Le 22 octobre 2020, le président de la formation restreinte a fait droit à la demande de huis clos formulée par la société au motif que […]
14. Le 2 novembre 2020, la société a présenté de nouvelles observations en réponse à celles du rapporteur.
15. Le 4 novembre 2020, la société a sollicité le report de la séance de la formation restreinte prévue le 12 novembre suivant. Par courrier du 5 novembre, le président de la formation restreinte a refusé de faire droit à cette demande.
16. La société et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte du 12 novembre 2020.
17. Le 17 novembre 2020, la société a, par un courrier adressé au président de la formation restreinte, indiqué que certains de ses représentants assistant à la séance par le biais d’un système de visioconférence n’avaient pas pu entendre l’intégralité des échanges entre leurs conseils et le rapporteur, […].
II. Motifs de la décision
A. Sur la compétence de la CNIL 
1. Sur la compétence matérielle de la CNIL et l’applicabilité du mécanisme de " guichet unique " prévu par le RGPD
18. Aux termes de l’article 16 de la loi " Informatique et Libertés ", " la formation restreinte prend les mesures et prononce les sanctions à l'encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant […] de la présente loi ". Au titre de l’article 20, paragraphe III, de cette même loi, " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant […] de la présente loi, le président de la Commission nationale de l'informatique et des libertés […] peut saisir la formation restreinte en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes […] 2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'État, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […]une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. "
19. Aux termes de l’article 5(3) de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (ci-après " la directive "ePrivacy" ") " Les États membres garantissent que le stockage d'informations, ou l’obtention de l’accès à des informations déjà stockées, dans l’équipement terminal d’un abonné ou d’un utilisateur n’est permis qu’à condition que l’abonné ou l’utilisateur ait donné son accord, après avoir reçu, dans le respect de la directive 95/46/CE, une information claire et complète, entre autres sur les finalités du traitement […]"
20. Ces dispositions ont été transposées en droit interne à l’article 82 de la loi " Informatique et Libertés ", au sein du chapitre IV de cette loi, relatif aux " Droits et obligations propres aux traitements dans le secteur des communications électroniques ". Cet article prévoit que " Tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant :
1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
2° Des moyens dont il dispose pour s'y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Ces dispositions ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur :
1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur ".
21. Le rapporteur considère que la CNIL est matériellement compétente en application de ces dispositions pour contrôler et engager une procédure de sanction concernant les opérations d’accès ou d’inscription d’informations mises en œuvre par la société dans les terminaux des utilisateurs du site [...].fr en France.
22. La société X conteste la compétence de la CNIL. Elle considère que seule l’autorité luxembourgeoise de protection des données (Commission nationale pour la protection des données, ci-après " la CNPD ") est compétente pour engager une procédure de sanction et éventuellement prononcer une amende administrative à son encontre en cas de méconnaissance de ses obligations en matière de cookies.
23. Elle soutient tout d’abord que ses pratiques en matière de cookies doivent être examinées dans le cadre des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après " RGPD ") en raison des liens étroits entre ce texte et la directive " ePrivacy". 
24. A l’appui de son argumentation, la société fait valoir le caractère indissociable de l’inscription de cookies sur les terminaux des utilisateurs de l’utilisation subséquente des données collectées par ces cookies pour les finalités poursuivies par le responsable de traitement. […].
25. La société note en outre que tant la décision de la présidente de la CNIL du 29 novembre 2019 d’ouvrir une procédure de contrôle que les correspondances échangées avec la CNIL dans le cadre de ces contrôles mentionnent expressément que l’objet des contrôles est notamment d’évaluer la conformité des pratiques de la société au RGPD. Elle relève également que le rapporteur a lui-même utilisé dans son rapport de sanction des notions issues du RGPD lorsqu’il analyse les conséquences pour les utilisateurs de l’utilisation des cookies. Elle note encore que le législateur français a fait le choix de transposer l’article 5(3) de la directive "ePrivacy" non pas dans un texte dédié, mais bien directement au sein de la loi " Informatiques et Libertés ", démontrant ainsi l’unité des deux matières.
26. La société estime ensuite que même dans l’hypothèse où les investigations de la CNIL porteraient uniquement sur les dispositions de l’article 82 de la loi "Informatique et Libertés", le mécanisme de coopération entre les autorités de contrôle, dit mécanisme de "guichet unique", prévu au chapitre VII du Règlement, devrait s’appliquer et que par conséquent, la CNIL ne serait pas l’autorité compétente pour agir en tant qu’autorité chef de file. Elle considère en effet que dans la mesure où la directive " ePrivacy" " ne prévoit aucune règle de compétence lorsqu’un traitement qu’elle encadre est transfrontalier, il convient d’appliquer celles prévues par le RGPD, compte tenu notamment de ce que, depuis l’entrée en application du RGPD, les références faites par la directive " ePrivacy" " à la directive abrogée 95/46/CE s’entendent comme faites au RGPD.