AgentPublic/cnil huggingface dataset:
62. La société estime ensuite que la procédure suivie par la CNIL est entachée d’irrégularité dans la mesure où les agents de la CNIL ont effectué un contrôle en ligne le 19 mai 2020 sur la base de la décision de contrôle de la présidente de la CNIL du 29 novembre 2019 alors qu’un rapporteur avait déjà été désigné. Elle explique également que la méthodologie suivie par la délégation de la CNIL lors de ce contrôle, qui visait à reproduire le parcours d’un internaute se rendant sur le site " [...].fr " à partir d’une bannière publicitaire présente sur des sites tiers, ne permet aucunement de distinguer les cookies déposés par les sites tiers de ceux déposés sur le site " [...].fr ".
a. Sur le respect du droit à un procès équitable.
63. La formation restreinte rappelle que le droit de ne pas participer à sa propre incrimination et le droit de disposer du temps et des facilités nécessaires à la préparation de sa défense invoqués par la société sont des composantes du droit à un procès équitable contenus à l’article 6 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales et qui doivent, conformément à la jurisprudence de la Cour européenne des droits de l’homme, être analysées à la lumière de leurs fonctions dans le contexte général de la procédure (voir entre autres, Mayzit c. Russie, 20 janvier 2005).
64. La formation restreinte relève, tout d’abord, qu’aux termes de l’article 18 de la loi " Informatique et Libertés ", " les personnes interrogées dans le cadre des vérifications faites par la commission en application du g du 2° du I de l'article 8 sont tenues de fournir les renseignements demandés par celle-ci pour l'exercice de ses missions. " Ainsi, les personnes interrogées par la délégation de le CNIL sont tenues de répondre à ses demandes afin de lui apporter leur concours à la réalisation de ses missions. 
65. La formation restreinte rappelle, ensuite, que lorsque la délégation de contrôle sollicite des informations, notamment des informations factuelles, de la part d’un organisme, aucune accusation n’est encore portée à son encontre, de sorte que la phase du " contradictoire ", telle qu’entendu par la jurisprudence de la Cour européenne des droits de l’homme, n’est pas encore entamée.
66. S’agissant de la notification à l’organisme de la décision de la présidente de désigner un rapporteur, la formation restreinte rappelle qu’en application de l’article 39 du décret du 19 mai 2019, cette désignation ne peut intervenir que dans la mesure où " une sanction est susceptible d’être prononcée " au titre du III de l’article 20 de la loi " Informatique et Libertés ".
67. Elle relève qu’en vertu de l’article 39 du décret du 19 mai 2019, il revient précisément au rapporteur de procéder à toutes les diligences utiles pour déterminer si des manquements peuvent, ou non, être reprochés à la personne physique ou morale en cause. C’est notamment pour cette raison que, conformément aux articles 8-2-g et 19 de la loi n° 78-17 du 6 janvier 1978 modifiée, le rapporteur dispose de la faculté de procéder ou de faire procéder à des investigations complémentaires avant de rédiger son rapport.
68. La formation restreinte souligne ainsi que la décision de désignation d’un rapporteur ne comporte aucun grief, de sorte que cette désignation n’a pas vocation, à ce stade, de permettre à la société de comprendre ce qui pourrait éventuellement lui être reproché. Elle rappelle que les griefs ne prennent forme qu’au travers du rapport de sanction, qui vaut notification des griefs, puisque c’est ce document qui contient le ou les manquements que le rapporteur estime être constitués. Les deux rapports du rapporteur indiquaient explicitement le fondement juridique du manquement retenu. La formation restreinte relève par ailleurs que la notification de cette décision à la personne physique ou morale concernée n’est encadrée par aucun délai par les textes applicables.
69. La formation restreinte note qu’en outre, la société n’est pas fondée à soutenir qu’elle n’a pas été mise en mesure de comprendre le périmètre des investigations de la CNIL. Elle relève en ce sens que les procès-verbaux de contrôle et leurs pièces jointes, communiquées à la société après réalisation des contrôles, établissaient clairement le périmètre de l’investigation menée par la CNIL. Elle relève que parmi les pièces jointes transmises à la société figuraient notamment des captures d’écran de la page d’accueil du site où figure le bandeau d’information sur les cookies, ainsi que des pages d’informations sur les cookies, mais aussi la liste des cookies dont l’inscription sur le terminal a été constatée. La formation restreinte note encore qu’à l’occasion de la notification du procès-verbal du contrôle du 6 mars 2020, il a d’ailleurs été demandé à la société d’ " indiquer, pour chacun des 46 cookies précédemment mentionnés, leur finalité (par exemple : technique, publicitaire, bouton de partage de réseau social, mesure d’audience, etc.) "
70. Enfin, la formation restreinte rappelle que l’article 40 du décret n° 2019-536 du 29 mai 2019 prévoit que la personne physique ou morale à laquelle est notifié un rapport proposant une sanction dispose d’un délai d’un mois pour transmettre ses observations en réponse. En l’espèce, ce délai a été respecté dans la mesure où la société a disposé d’un délai initial de huit semaines pour produire ses premières observations au rapport du rapporteur et que ce délai a été prolongé d’une semaine à sa demande. Dès lors, la formation restreinte considère que la société a été mise en mesure de préparer convenablement sa défense.
71. La société a ensuite disposé d’un délai de trois semaines pour répondre aux secondes observations du rapporteur et a enfin eu la possibilité de formuler des observations orales au cours de la séance de la formation restreinte du 12 novembre 2020.
72. Au regard de ces éléments, la formation restreinte estime que les droits de la défense de la société X ont été respectés.
b. Sur la régularité du contrôle en ligne du 19 mai 2020
73. La formation restreinte rappelle qu’en application des articles 8-2-g et 19 de la loi n° 78-17 du 6 janvier 1978 modifiée, le rapporteur dispose de la possibilité de demander aux agents de la CNIL de procéder à des vérifications. Elle souligne que dans le cas d’espèce, le rapporteur a souhaité que soit réalisé un contrôle en ligne retraçant deux parcours d’utilisateurs qui se rendent sur le site " [...].fr " après avoir cliqué sur un lien publicitaire présent sur des sites tiers.
74. La formation restreinte considère ensuite que le fait que le procès-verbal établi dans le cadre de ce contrôle porte la référence de la décision de contrôle n° 2019-224C du 29 novembre 2019 de la présidente de la CNIL est sans incidence sur la validité de celui-ci dans la mesure où la désignation d’un rapporteur par la présidente de la CNIL n’a pas en soi pour effet de clore la procédure de contrôle. En effet, le contrôle du 19 mai 2020 a été diligenté dans la continuité des contrôles précédant la désignation du rapporteur et donc dans le prolongement de la décision de la présidente.
75. La formation restreinte note que les cookies dont la présence a été constatée par la délégation lors de l’arrivée sur la page d’accueil du site " [...].fr " lors des deux premiers contrôles figurent également parmi ceux présents lors de l’arrivée sur une autre page du site dans le cas où l’utilisateur y accède via un site tiers. Ainsi, les autres cookies identifiés par la délégation sont ceux inscrits par les sites tiers en question et qui ne font donc pas partie du périmètre des investigations. Elle considère en conséquence que les constatations effectuées le 19 mai 2020, rapprochées de celles réalisées les 12 décembre 2019 et 6 mars 2020, font apparaître sans ambiguïté quels sont les cookies qui sont, d’une part, déposés par les sites tiers affichant une annonce publicitaire pour un produit [...] et d’autre part, ceux déposés lors de l’arrivée de l’internaute sur le site [...].fr. après avoir cliqué sur ladite annonce.
76. Au regard de ces éléments, la formation restreinte considère que le contrôle en ligne du 19 mai 2020 n’est pas entaché d’irrégularité.
D. Sur les manquements aux dispositions de l’article 82 de la " loi Informatiques et Libertés "
77. Ainsi qu’il l’a été rappelé au point 20, l’article 82 de la loi informatique et libertés constitue la transposition en droit interne de l’article 5(3) de la directive " ePrivacy ".
78. Le rapporteur estime que les opérations de la société X en matière de dépôt et de lecture de cookies présentent deux séries de négligences graves relatives : 
- au dépôt de cookies sur le terminal de l’utilisateur avant toute action de sa part et sans recueil de son consentement ;
- à l’information délivrée à l’utilisateur quant aux opérations d’accès ou d’inscription d’informations dans leur terminal.
79. Le rapporteur considère qu’en déposant des cookies sur le terminal des internautes situés en France se rendant sur le site [...].fr avant toute action de leur part, la société empêche nécessairement ces derniers d’exprimer valablement leur consentement. Il rappelle que la loi " Informatique et Libertés " prévoit expressément que les opérations d’accès ou d’inscription d’informations dans le terminal de l’utilisateur, sauf exceptions, ne peuvent avoir lieu qu’après que ce dernier a exprimé son consentement.
80. Le rapporteur estime ensuite que les informations délivrées par la société sur la page d’accueil du site web [...].fr au moyen du bandeau d’information sont insuffisantes en ce que celui-ci ne constitue qu’une description générale et approximative des finalités de l’ensemble des cookies déposés et qu’il n’y est pas non plus fait état des moyens dont dispose l’internaute pour s’opposer au dépôt des cookies. Il ajoute que lorsque l’utilisateur se rend sur le site [...].fr non pas par le biais de la page d’accueil, mais à partir d’une annonce publiée sur un site tiers, des cookies sont déposés à l’arrivée de l’internaute sur le site [...].fr sans qu’une information soit délivrée
81. En défense, la société rappelle que ses pratiques en matière de cookies sont soumises au respect du droit luxembourgeois et non au droit français. Elle souligne qu’elle a lancé un vaste projet de refonte de sa politique d’utilisation des cookies dès 2019 et que ces changements sont effectifs sur le site [...].fr depuis le 2 septembre 2020. Elle fait valoir qu’en tout état de cause, ses pratiques en matière de cookies ont toujours étés conformes aux dispositions du droit luxembourgeois.
82. A cet égard, si la société ne conteste pas en soi le fait qu’avant les changements introduits en septembre 2020, des cookies étaient déposés sur le terminal de l’utilisateur dès son arrivée sur la page du site [...].fr, elle fait valoir que dans la mesure où le droit luxembourgeois prévoit que le consentement puisse être exprimé grâce au paramétrage du navigateur, elle a toujours recueilli valablement le consentement des utilisateurs.
83. S’agissant de l’information délivrée aux utilisateurs, la société estime que quand bien même la loi " Informatique et Libertés " serait applicable, l’information qu’elle fournissait était, en tout état de cause, conforme aux dispositions de l’article 82 de cette loi. Elle fait valoir qu’en cliquant sur le lien " En savoir plus " du bandeau d’information, l’utilisateur était redirigé vers une page d’information relative à sa politique en matière de cookies. Elle explique que dans le cas d’un utilisateur qui se rend sur le site [...].fr via une annonce publicitaire affichée sur un site tiers, la plupart de ces publicités comportent une icône " AdChoices " qui renvoie à une page où l’utilisateur peut prendre connaissance des informations sur sa politique de publicités ciblées.
84. La société indique en outre que la très grande majorité des internautes qui cliquent sur les publicités [...] sont des clients qui ont déjà visité ou acheté sur le site et donc déjà reçu une information relative à sa politique en matière de cookies.
85. Elle précise encore que son dispositif d’information est complété par la présence en pied de page de liens renvoyant vers ses pages dédiées aux rubriques cookies et publicités ciblées.
86. Enfin, la société rappelle qu’il n’existe pas de doctrine commune à l’ensemble des régulateurs européens sur l’utilisation de cookies et qu’il est donc difficile pour les acteurs de savoir ce qui est attendu d’eux en la matière. Elle fait valoir, par le biais d’une étude comparative, que la grande majorité des sites web français ne respectent pas la législation en vigueur. La société pointe en outre le fait qu’au moment du déclenchement des investigations de la CNIL en novembre 2019, la recommandation relative aux cookies et aux autres traceurs adoptée le 5 décembre 2013 avait déjà été abrogée, ce qui contribuait au flou juridique sur les règles en matière de cookies.
87. Tout d’abord , s’agissant du recueil du consentement, la formation restreinte souligne qu’il ressort des constations effectuées par la délégation les 12 décembre 2019, 6 mars 2020 et 19 mai 2020 et des informations transmises par la société que quel que soit le parcours de l’utilisateur, que celui-ci se rende sur la page d’accueil du site [...].fr ou bien qu’il se rende sur une page " produit " du site via une annonce, plus de 40 cookies poursuivant une finalité publicitaire étaient déposés sur le terminal de l’utilisateur.
88. Les cookies dits " publicitaires " ne peuvent entrer dans le champ des exceptions définies à l’article 82 de la loi " Informatique et Libertés " dans la mesure où ils n’ont pas pour finalité de permettre ou de faciliter la communication par voie électronique et ne sont pas strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. Par conséquent, de tels cookies ne peuvent être déposés ou lus sur le terminal de la personne tant qu’elle n’a pas fourni son consentement.
89. La formation restreinte observe que le bandeau d’information, rédigé de la façon suivante : " En utilisant ce site, vous acceptez notre utilisation de cookies pour offrir et améliorer nos services. En savoir plus ", ne contenait aucune information précise s’agissant des moyens mis à disposition des utilisateurs pour exprimer leur choix quant à l’inscription de cookies. En tout état de cause, les cookies étaient déposés avant toute action de l’internaute, fût-ce une simple poursuite de la navigation, qui avait été admise comme modalité valable d’expression du consentement dans une délibération n° 2013-378 du 5 décembre 2013 de la CNIL (mais qui ne correspond plus à l’état du droit, éclairé par la délibération n° 2020-091 du 17 septembre 2020 de la CNIL).
90. La formation restreinte considère que la société aurait dû recueillir préalablement le consentement des utilisateurs, avant de procéder au dépôt de cookies poursuivant une finalité publicitaire sur le terminal de ces derniers. Elle relève qu’en tout état de cause, quand bien même le paramétrage du navigateur peut dans certains cas constituer un mécanisme valable du recueil du consentement, c’est à la condition que l’utilisateur ait été préalablement informé qu’il dispose de cette possibilité, ce qui n’est pas le cas en l’espèce.
91. Au demeurant, la formation restreinte rappelle que, comme indiqué précédemment, il revient à la société de respecter les dispositions de l’article 82 de la loi " Informatique et Libertés " dès lors que sont déposés des cookies sur des terminaux d’utilisateurs situés sur le territoire français à partir du site [...].fr.
92. Ensuite, la formation restreinte considère que l’information délivrée par la société s’agissant des opérations d’accès ou d’inscription de cookies est, selon les cas, soit incomplète, soit inexistante.
93. Elle rappelle que tant l’article 5-3 de la directive "ePrivacy" que l’article 82 de la loi " Informatique et Libertés " prévoient expressément que l’utilisateur doit être informé de manière complète des finalités poursuivies par les opérations de dépôt et de lecture des cookies et des moyens dont il dispose pour s’y opposer.
94. Or, la formation restreinte relève que le bandeau d’information susmentionné affiché en page d’accueil ne contenait qu’une description générale et approximative des finalités de l’ensemble cookies déposés. Sur ce point, elle considère que les termes " offrir et améliorer nos services " permettent uniquement d’informer l’utilisateur de ce que des cookies sont inscrits afin de permettre à la société d’assurer le bon fonctionnement de son activité et de la faire évoluer. Ainsi, à la lecture de ce bandeau, l’utilisateur n’est pas mis en mesure de comprendre le type de contenus et d’annonces susceptibles d’être personnalisés en fonction de son comportement
95. En outre, le bandeau d’information ne fait pas non plus état des moyens dont dispose l’internaute pour refuser l’inscription de cookies.
96. La formation restreinte relève encore que la défaillance de la société en matière d’information des personnes est encore plus notoire lorsque l’utilisateur se rend sur le site [...].fr par le biais d’une annonce publiée sur un site tiers, par exemple après avoir cliqué sur un lien présent dans la liste de résultats dans un moteur de recherche ou bien sur une annonce présente sur un site tiers faisant la promotion d’un produit vendu sur le site [...].fr.
97. Il ressort en effet des constatations effectuées par la délégation de la CNIL que, dans cette hypothèse, des cookies ayant une finalité publicitaire étaient bien déposés sur les terminaux des utilisateurs situés sur le territoire français sans qu’une information soit délivrée à ces derniers. Or, les dispositions de l’article 82 de la loi " Informatique et Libertés " prévoient que " Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimée, après avoir reçu cette information, son consentement " (soulignement ajouté). La formation restreinte considère que ce cas de figure est particulièrement attentatoire aux droits des utilisateurs situés sur le territoire français dans la mesure où la société dépose des cookies sur leur terminal sans jamais les en avoir informés.
98. La formation restreinte considère que les observations présentées par la société en défense ne permettent pas de remettre en question l’existence de ce manquement.
99. Tout d’abord, la société ne saurait se retrancher derrière le fait que certaines publicités affichées sur des sites tiers contiennent une icône " Adchoices " sur laquelle les utilisateurs peuvent cliquer pour consulter une page les informant de sa politique en matière de cookies. En effet, au-delà du fait que ce dispositif ne concerne que les internautes venant d’un site tiers sur lequel est affichée une publicité avec une icône " Adchoices " , la formation restreinte considère qu’il ne peut être raisonnablement attendu de l’utilisateur auquel est présenté une publicité qu’il ait le réflexe de cliquer sur une icône de taille réduite avant de cliquer sur la publicité elle-même. Cette icône ne permet d’ailleurs pas aux personnes regardant la publicité de savoir qu’une information relative aux cookies est disponible à condition de cliquer dessus.
100. En tout état de cause, la formation restreinte observe que la page vers laquelle renvoie l’icône " Adchoices " permet simplement à l’utilisateur de cocher une case afin que ne soient plus affichées de la part d’[...] de publicités basées sur ses centres d’intérêts. Cette page ne contient pas d’informations sur la finalité des actions tendant à inscrire des informations dans son terminal équipement et des moyens dont il dispose pour s'y opposer Enfin, aucune information n’est délivrée quant au droit dont dispose l’utilisateur de refuser les cookies mais simplement un lien vers la page " Cookies " du site. Un tel dispositif ne répond pas aux exigences de l’article 82 précité.
101. La formation restreinte rappelle, par ailleurs, que la CNIL a adopté plusieurs instruments juridiques de droit souple détaillant les obligations des responsables de traitement en matière de traceurs dont, notamment, une recommandation du 5 décembre 2013 ainsi que des lignes directrices du 4 juillet 2019, en vigueur à la date du contrôle en ligne. Bien que dépourvus de valeur impérative, ces instruments offrent un éclairage utile aux responsables de traitement, en les renseignant sur la mise en place de mesures concrètes permettant de garantir le respect des dispositions de la loi " informatique et libertés " relatives aux traceurs afin, soit qu’ils mettent en œuvre ces mesures, soit qu’ils mettent en œuvre des mesures d’effet équivalent.
102. A cet égard, à l’article 2 de sa recommandation de 2013, la Commission rappelait notamment que l’information devait être " préalable " au recueil du consentement mais également " visible, mise en évidence et complète ". En conséquence, la Commission recommandait aux responsables de traitement de mettre en œuvre un mécanisme de recueil de consentement en deux étapes :
- première étape : " l’internaute qui se rend sur le site d’un éditeur (page d'accueil ou page secondaire du site) doit être informé, par l’apparition d’un bandeau : des finalités précises des cookies utilisés ; de la possibilité de s’opposer à ces cookies et de changer les paramètres en cliquant sur un lien présent dans le bandeau " ;
- seconde étape : " les personnes doivent être informées de manière simple et intelligible des solutions mises à leur disposition pour accepter ou refuser tout ou partie des cookies nécessitant un recueil du consentement : pour l’ensemble des technologies visées par l’article 32-II précité ; par catégories de finalités : notamment la publicité, les boutons des réseaux sociaux et la mesure d'audience ".
103. De telles recommandations avaient été reprises dans les lignes directrices du 4 juillet 2019, dans des termes équivalents.
104. Ensuite, la formation restreinte considère que l’argument de la société selon lequel la grande majorité des personnes qui cliquent sur une publicité [...] ont déjà visité ou acheté un produit sur le site [...].fr et qu’elles ont donc déjà reçu antérieurement une information sur l’inscription de cookies n’est pas opérant.
105. La formation restreinte relève en effet qu’avant de devenir clientes, ces personnes ont nécessairement dû se rendre une première fois sur le site, soit par l’intermédiaire de la page d’accueil, soit après avoir cliqué sur une bannière publicitaire Or, les constatations de la CNIL démontrent justement que lors de leur toute première visite sur le site, les internautes soit sont insuffisamment informés, soit ne sont jamais informés de l’inscription de cookies et que quel que soit le niveau d’information reçu, des cookies sont systématiquement inscrits sur leur terminal. Par ailleurs, la circonstance alléguée que les pratiques d’autres sites web ne seraient pas conformes aux exigences de l’article 82 est sans incidence sur les obligations de la société.
106. De même, la formation restreinte considère que les liens " Cookies " présents en pied de page et qui renvoient vers une page d’informations ne constituent pas une modalité d’information satisfaisante dès lors que, le dépôt de cookies avant toute action de l’utilisateur prive nécessairement l’information de son caractère préalable, contrairement à ce que prévoit les dispositions de l’article 82 de la loi " Informatique et Libertés ", selon lesquelles " Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimée, après avoir reçu cette information, son consentement " (soulignement ajouté).
107. Enfin, la formation restreinte rappelle que si les recommandations en matière de cookies ont évolué, les pratiques reprochées à la société ont continuellement été considérées comme non conformes par la CNIL et cela a été confirmé dans les lignes directrices du 4 juillet 2019 et que cette position demeure inchangée dans sa deuxième recommandation et dans sa dernière version des lignes directrices qui ne remettent en question cet état de fait.