AgentPublic/cnil huggingface dataset:
108. La formation restreinte observe de surcroît que dans son communiqué de presse publié sur son site internet le 18 juillet 2019 prévoyant un moratoire avant l’application effective de sa deuxième recommandation relative aux cookies, la CNIL avait pris soin de préciser qu’elle continuerait à contrôler le respect des obligations n’ayant fait l’objet d’aucune modification en indiquant qu’ " En particulier, les opérateurs doivent respecter le caractère préalable du consentement au dépôt de traceurs [… et] doivent fournir un dispositif de retrait du consentement facile d’accès et d’usage ". Ainsi, la société ne peut valablement soutenir que les obligations dont la méconnaissance lui est reprochée dans la présente procédure n’étaient pas clairement identifiées.
109. La formation restreinte précise qu’au demeurant, le manquement reproché à la société n’est pas fondé sur la méconnaissance des lignes directrices ou des recommandations de la CNIL mais sur la méconnaissance des dispositions de l’article 82 de la loi " Informatique et Libertés ", lesquelles ne contiennent que des obligations qui figuraient déjà dans les versions antérieures ladite loi.
110. La formation restreinte, relève encore que sur la base de ces dispositions, elle a déjà adopté plusieurs décisions de sanction, concernant parfois des pratiques identiques, dont certaines ont d’ailleurs été rendues publiques (voir, en ce sens, délibération n°SAN-2016-204 du 7 juillet 2016 et délibération n°SAN-2017-006 du 27 avril 2017).
111. Au vu de ces éléments, la formation restreinte considère que le manquement aux dispositions de l’article 82 de la loi " Informatique et Libertés " est caractérisé en ce que la société dépose des cookies sur le terminal des utilisateurs situés sur le territoire français avant de recueillir leur consentement et sans leur fournir les informations prescrites par cet article, dans les conditions qu’il définit.
III. Sur le prononcé de mesures correctrices et la publicité
112. L’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée prévoit que : " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'État, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […]
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83. "
113. L’article 83 du RGPD, tel que visé par l’article 20, paragraphe III, de la loi " informatique et libertés ", prévoit :
" 1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures ;
j) l'application de codes de conduite approuvés en application de l'article 40 ou de mécanismes de certification approuvés en application de l'article 42 ; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation. "
A. Sur le prononcé d’une amende administrative
114. En défense, la société fait valoir que le montant de l’amende proposé par le rapporteur est disproportionné et que ce dernier n’a pas tenu compte de plusieurs critères prévus par l’article 83(2) du Règlement, notamment, le fait qu’un dispositif d’information des utilisateurs était en place, l’absence d’intentionnalité de commettre le manquement, les mesures prises pour atténuer le dommage ou encore l’absence de violations antérieures. Elle fait valoir qu’il n’est pas possible, pour déterminer le montant de l’amende, de prendre en compte les traitements effectués grâce aux cookies car ces éléments ne font pas partie du périmètre des investigations de la CNIL. Elle note enfin que l’amende proposée par le rapporteur est sans commune mesure avec les amendes prononcées par d’autres autorités en matière de cookies.
115. Au regard des éléments développés ci-dessus, la formation restreinte considère que les faits précités, constitutifs d’un manquement à l’article 82 de la loi " Informatique et Libertés ", justifient que soit prononcée une amende administrative à l’encontre de la société X, personne morale responsable du traitement. Elle rappelle que les changements apportés par la société au site " [...].fr " depuis septembre 2020 sont sans incidence sur le prononcé d’une amende dans la mesure où celle-ci vise à sanctionner les faits constatés au cours des contrôles.
116. La formation restreinte rappelle, à titre général, que l’article 20, paragraphe III, de la loi " informatique et libertés " lui donne compétence pour prononcer diverses sanctions, notamment une amende administrative dont le montant maximal peut être équivalant à 2 % du chiffre d'affaires annuel mondial total de l’exercice précédent réalisé par le responsable de traitement. Elle ajoute que la détermination du montant de cette amende s’apprécie au regard des critères précisés par l’article 83 du RGPD.
117. Dans le cas d’espèce, la formation restreinte considère que le manquement en cause justifie le prononcé d’une amende administrative à l’encontre de la société pour les motifs suivants.
118. Tout d’abord, la formation restreinte relève que le manquement commis est particulièrement grave dans la mesure où en inscrivant des cookies sur les terminaux des utilisateurs situés en France avant toute action leur part, sans leur fournir les informations nécessaires, la société les prive de la possibilité d’exercer leur choix conformément aux dispositions de l’article 82 précité.
119. La formation restreinte considère que la gravité du manquement est accentuée dans le cas des utilisateurs français qui accèdent au site [...].fr après avoir cliqué sur une annonce présente dans un moteur de recherche ou sur un site tiers. En effet, compte tenu de ce que le dépôt de cookies est effectué dans ce cadre en l’absence de toute information des personnes concernées, il s’effectue ainsi à leur insu.
120. La formation restreinte observe que la gravité du manquement doit également être appréciée au regard de la portée des opérations de lecture et d’écriture et du nombre de personnes concernées.
121. S’agissant de la portée des opérations de lecture et d’écriture, la formation restreinte relève que la visite d’un internaute sur le site [...].fr se traduit par le dépôt par une vingtaine de sociétés spécialisées dans la publicité personnalisée de cookies dont le but est de suivre sa navigation sur le web afin que lui soit affiché ultérieurement de la publicité correspondant à son comportement.
122. Elle considère qu’il convient de tenir compte de l’ampleur des traitements qui seront réalisés grâce au dépôt préalable de cookies sur les terminaux des utilisateurs résidant en France et de la nécessité impérieuse pour ces derniers de garder la maîtrise de leurs données. En ce sens, les utilisateurs doivent être mis en situation d’être suffisamment informés de la portée des traitements mis en œuvre.
123. S’agissant du nombre de personnes concernées, il ressort des informations fournies par la société qu’environ 300 millions d’identifiants [...] ont été attribués en France sur une période de neuf mois. La formation restreinte note que même si une seule personne est susceptible de correspondre à plusieurs identifiants différents en raison de l’utilisation de multiples terminaux et navigateurs, ce volume reflète la place centrale occupée par le site [...].fr dans le quotidien des personnes résidents en France. Les informations susceptibles d’être collectées pour un même identifiant au moyen de ces cookies publicitaires sont par ailleurs nombreuses, variées, parfois relatives à des aspects touchant à l’intimité des personnes, et il n’est pas impossible que certaines révèlent des informations correspondant à des données sensibles (opinions religieuses, politiques, état de santé,etc. régies par l’article 9 du RGPD.
124. Ensuite, la formation restreinte considère que la société X, qui a réalisé pour l’année 2019 un chiffre d’affaires mondial d’environ 7,7 milliards d’euros, a tiré du manquement commis un avantage financier certain. En effet, comme rappelé au point 121, le recours aux cookies permet à la société de présenter aux utilisateurs, lorsqu’ils naviguent sur d’autres sites, des publicités personnalisées faisant la promotion de ses produits. La formation restreinte note que si l’activité principale de la société réside dans la vente de biens de consommation, la personnalisation des annonces, rendue possible notamment par les cookies, permet justement d’augmenter considérablement la visibilité de ces biens et d’augmenter la probabilité qu’ils soient achetés. Or, en ne délivrant pas d’informations de " manière claire et complète " aux utilisateurs et en déposant les cookies avant que les personnes y consentent, la société élimine le risque que ces cookies soient refusés.
125. Il résulte de tout ce qui précède et des critères dont il a été dûment tenu compte par la formation restreinte, au vu du montant maximum encouru établi sur la base de 2% du chiffre d’affaires, qu’il est justifié de prononcer une amende administrative à hauteur de 35 millions d’euros.
B. Sur le prononcé d’une injonction assortie d’une astreinte
126. Le rapporteur propose, en complément de l’amende administrative, que soit prononcée une injonction assortie d’une astreinte de 100 000 euros en ce que la société n’informe pas les utilisateurs des finalités exactes de l’inscription de cookies et des moyens dont ils disposent pour s’y opposer.
127. En défense, la société fait valoir que cette injonction n’est pas justifiée dans la mesure où d’une part, elle a déjà fait évoluer ses pratiques et d’autre part, le montant proposé est disproportionné. Elle rappelle que plus aucun cookie n’est déposé avant que l’utilisateur n’ait exprimé son consentement. Elle relève en outre que le prononcé d’une injonction sur ce point risque de se heurter à la publication par la CNIL de ses nouvelles lignes directrices et recommandations en matière de cookies. Elle souligne qu’elle serait contrainte d’entreprendre deux séries de modifications, la première pour se conformer à l’injonction et la seconde pour appliquer les nouvelles recommandations de la CNIL.
128. La formation restreinte relève en effet que depuis la réception du rapport de sanction, la société a apporté des modifications sur le site [...].fr. Elle note tout d’abord que quel que soit le chemin par lequel l’utilisateur se rend sur le site, plus aucun cookie n’est déposé sur son terminal avant qu’il ait exprimé son consentement.
129. Elle relève ensuite que lors de l’arrivée sur le site, quel que soit le parcours suivi par l’utilisateur, le bandeau affiché contient le texte le suivant :
" Choisir vos préférences en matière de cookies. Nous utilisons des cookies et des outils similaires pour faciliter vos achats, fournir nos services, pour comprendre comment les clients utilisent nos services afin de pouvoir apporter des améliorations, et pour présenter des annonces. Des tiers approuvés ont également recours à ces outils dans le cadre de notre affichage d’annonces " Ce bandeau contient en outre deux boutons " Accepter les cookies " et " Personnaliser les cookies ".
130. La formation restreinte considère néanmoins que ce nouveau dispositif ne délivre toujours pas une information " claire et complète " telle que prévue par l’article 82 de la loi " Informatique et Libertés ".
131. La formation restreinte observe en effet que les informations fournies ne permettent toujours pas aux internautes de comprendre précisément certaines des finalités poursuivies par le dépôt de cookies, notamment les finalités publicitaires, alors que ces derniers sont utilisés en grande partie pour leur proposer des publicités personnalisées en fonction de leur comportement.
132. En conséquence, sans méconnaître les démarches de la société pour se mettre en conformité avec les dispositions de l’article 82 de la loi " Informatique et Libertés ", la formation restreinte considère qu’elle n’a pas démontré, au jour de la clôture de l’instruction, sa conformité avec les dispositions de l’article précité et qu’il convient donc de prononcer une injonction sur ce point.
133. S’agissant du montant de l’astreinte journalière, la formation restreinte rappelle qu’il s’agit d’une pénalité financière par jour de retard que devra payer le responsable de traitement en cas de non-respect de l’injonction à l’expiration du délai d’exécution prévu.
134. Aux fins de conserver à l’astreinte sa fonction comminatoire, son montant se doit d’être à la fois proportionné à la gravité du manquement reproché mais également adapté aux capacités financières du responsable de traitement. Il convient de prendre également en considération le fait que le manquement en cause participe indirectement aux bénéfices générés par le responsable de traitement. Compte tenu de ces éléments, la formation restreinte estime qu’une astreinte d’un montant de 100 000 euros par jour de retard à compter de la notification de la présente décision apparaît proportionnée.
135. S’agissant du délai octroyé à la société pour se conformer à l’injonction, la formation restreinte estime qu’un délai de trois mois à compter de la notification de la présente décision est suffisant pour régulariser la situation. 
C Sur la publicité de la décision
[…]
137. La formation restreinte considère que compte tenu de ce qui a été exposé précédemment, il est justifié de prononcer une sanction complémentaire de publicité. Il est également tenu compte de la place prépondérante occupée par la société en matière de commerce en ligne, de la gravité des manquements et de l’intérêt que représente la présente décision pour l’information du public, dans la détermination de la durée de sa publication.
[…]
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
- prononcer à l’encontre de la société X, une amende administrative d’un montant de 35 (trente-cinq) millions d’euros ;
- prononcer une injonction de mettre en conformité le traitement, dans un délai de trois mois à compter de la notification de la présente décision, avec les dispositions de l’article 82 de la loi " Informatique et Libertés ", et en particulier :
- informer les personnes concernées au préalable et de manière claire et complète, par exemple au moyen d’un bandeau d’information apparaissant lors de la première arrivée de l’internaute sur le site " [...].fr " et cela quel que soit la première page accédée :
- des finalités précises de tous les cookies dont l’inscription est soumise au consentement
- ainsi que des moyens dont elles disposent pour les refuser ;
- assortir l’injonction d’une astreinte de 100 000 (cent mille) euros par jour de retard, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ;
- d’adresser cette décision à la société Y en vue de l’exécution de cette décision ;
- rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
 Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de quatre mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la justice d’une demande d’avis concernant l’article 3 du projet de loi confortant les principes républicains ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le code de procédure pénale, notamment ses articles 706-25-3 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Vu la loi n° 2014-1353 du 13 novembre 2014 renforçant les dispositions relatives à la lutte contre le terrorisme ;
Vu la loi n° 2015-912 du 24 juillet 2015 relative au renseignement, notamment son article 19 ;
Vu le décret n° 2015-1840 du 29 décembre 2015 modifiant le code de procédure pénale et relatif au fichier judiciaire national automatisé des auteurs d'infractions terroristes ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78- 17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment son article 9-I ;
Vu la délibération n° 2015-119 du 7 avril 2015 portant avis sur un projet de dispositions législatives visant à créer un fichier national des auteurs d’infractions terroristes (FIJAIT) ;
Vu la délibération n° 2015-422 du 3 décembre 2015 portant avis sur un projet de décret modifiant le code de procédure pénale et relatif au fichier judiciaire national automatisé des auteurs d’infractions terroristes (FIJAIT) ;
Après avoir entendu Mme MAUGÜÉ, commissaire, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie en urgence, le 16 novembre 2020, de l’article 3 du projet de loi confortant les principes républicains ( le projet de loi ), sur le fondement de l’article 8-I-4°-a) de la loi n° 78- 17 du 6 janvier 1978 modifiée.
Cet article vise à modifier certaines des conditions de mise en œuvre du fichier judiciaire national automatisé des auteurs d’infractions terroristes (FIJAIT), dont les principales caractéristiques ont été fixées par le législateur. En particulier, la Commission relève que le projet d’article qui lui est soumis vise à étendre le périmètre de ce fichier en y intégrant de nouvelles infractions liées au terrorisme, modifier les conditions d’inscription dans ce fichier ainsi qu’à introduire un régime différencié dans le traitement des personnes inscrites dans ce fichier.
A titre d’élément de contexte, elle rappelle que le FIJAIT, créé par la loi n° 2015-912 du 24 juillet 2015 relative au renseignement et sur lequel elle s’est déjà prononcée, constitue un fichier devant permettre aux autorités compétentes d'enregistrer les identités, les adresses et les déplacements hors du pays de résidence des personnes faisant l’objet de l’une ou plusieurs des mesures prévues à l’article 706-25-4 du code de procédure pénale (CPP) et ainsi, de prévenir la récidive des infractions de terrorisme.
A cet égard, la Commission rappelle que les personnes inscrites au FIJAIT sont astreintes au respect de différentes obligations actuellement énumérées à l’article
706-25-7 du CPP, à savoir : justifier de leur adresse régulièrement, déclarer tout changement de celle-ci dans un délai de quinze jours ainsi que tout déplacement à l’étranger quinze jours au plus tard avant ledit déplacement et déclarer tout déplacement en France quinze jours au plus tard avant ledit déplacement si la personne réside à l’étranger.
La Commission rappelle également que, si elle a toujours considéré qu’il ne lui appartenait pas de se prononcer sur l’opportunité de la création d’un tel traitement, il lui revenait de s’assurer, de manière effective, qu’il n’est pas porté une atteinte excessive au respect des droits et libertés fondamentaux. De manière générale, elle estime ainsi indispensable que les évolutions envisagées quant aux conditions de mise en œuvre de ce traitement par l’article 3 du projet de loi n’aient pas pour effet de remettre en cause les garanties qui permettent de considérer qu’une telle atteinte n’est pas, en l’espèce, caractérisée.
A ce titre, la Commission apparaît réservée sur certaines évolutions envisagées du FIJAIT et considère qu’une vigilance accrue devra être portée aux modalités et conditions d’application de ces nouvelles dispositions, déterminées par décret en Conseil d’Etat, et sur lesquelles elle devra également se prononcer.
Sur l’extension projetée du périmètre du FIJAIT et l’introduction d’un régime différencié dans le traitement des personnes inscrites dans ce fichier 
A titre liminaire, la Commission rappelle qu’actuellement, le FIJAIT concerne principalement les infractions matérielles liées au terrorisme et prévues aux articles 421-1 à 421-6 du code pénal (CP) ainsi que :
- les infractions prévues aux deux derniers alinéas de l’article L. 224-1 du code de la sécurité intérieure (CSI), à savoir : le fait de quitter le territoire national en violation d’une décision d’interdiction de sortie en cas de risque de participation à des activités terroristes et le fait de se soustraire à l'obligation de restitution des titres d'identité en cas d’une telle interdiction ;
- celles liées à la violation des interdictions de sortie du territoire, de non-remise de passeport ou de carte nationale d’identité, de non-respect d’une mesure d’assignation à résidence, de violation des mesures d’interdiction d’entrer en relation avec certaines personnes (article L. 225-7 du CSI).
De manière générale, la Commission rappelle également que, dès la création de ce fichier, elle a considéré que le suivi des personnes mises en cause ou condamnées pour de telles infractions constituait, au regard de la particulière gravité de ces dernières, une finalité déterminée, explicite et légitime.
En premier lieu, l’article 3 du projet de loi prévoit que les auteurs des infractions définies aux articles 421-2-5 (délits d’apologie et de provocation aux actes de terrorisme) et 421-2-5-1 du CP (extraction, reproduction et transmission de données provoquant à des actes de terrorisme ou en faisant l’apologie pour entraver une procédure de blocage d’un service de communication au public en ligne) soient également inscrits dans le FIJAIT.