AgentPublic/cnil huggingface dataset:
150. De la même façon, au sein du parcours " personnalisation manuelle (5 étapes)" devenu après octobre 2023 " Sélection manuelle (4 étapes) ", l’étape consacrée au choix du type de publicité était intitulée avant octobre 2023 " Activez le paramètre " Personnalisation des annonces " pour voir des annonces plus adaptées " puis est devenu " " Activez la personnalisation des annonces pour voir des annonces plus adaptées ". De cette façon, le choix de la personnalisation des annonces n’est pas présenté de façon neutre puisque l’emploi du verbe " activer " sous sa forme impérative, recommande clairement à l’utilisateur d’opter pour la personnalisation des annonces. La formation restreinte relève encore qu’en dessous du titre de ces pages figure un autre titre intitulé " Indiquez si vous souhaitez activer le paramètre " personnalisation des annonces " " avant octobre 2023 puis " Indiquez si vous souhaitez activer la personnalisation des annonces " depuis cette date. Elle observe là encore que les sociétés présentent la publicité personnalisée aux utilisateurs comme étant le seul choix viable, qui s’imposerait à eux de façon évidente.
151. A l’inverse, un espace beaucoup moins important est accordé à la présentation de la publicité non personnalisée. En effet, la formation restreinte note que lors de ces étapes, l’intégralité des informations fournies en dessous des deux options annonces personnalisées/annonces génériques est exclusivement consacrée à la publicité personnalisée. Ce n’est qu’à la toute dernière étape que la publicité générique est présentée succinctement en une seule phrase.
152. La formation restreinte admet que compte tenu de ce que la publicité personnalisée est alimentée par une grande quantité de données variées, sa description peut nécessiter de délivrer davantage d’informations que pour la publicité générique, mais elle estime toutefois que cette différence ne justifie pas un tel déséquilibre, tel que constaté en l’espèce, qui est en outre associé à un vocabulaire et des formulations incitant à choisir l’option de la publicité personnalisée, comme indiqué précédemment.
153. Dès lors, la formation restreinte considère qu’en raison du recours à des formulations implicites et ambiguës à différentes étapes du parcours utilisateur et en l’incitant à opter pour la publicité personnalisée sans lui présenter de manière équilibrée les différentes possibilités s’offrant à lui, le consentement donné par l’utilisateur n’était pas éclairé et, dès lors, pas valide.
154. Au vu de l’ensemble de ce qui précède, la formation restreinte considère que les modalités de recueil du consentement au dépôt et/ou à la lecture des cookies publicitaires mises en œuvre par les sociétés ne sont pas conformes aux dispositions de l’article 82 de la loi Informatique et Libertés, telles qu’éclairées par l’article 4, paragraphe 1 du RGPD.
E. Sur le manquement à l’obligation de recueillir le consentement des personnes concernées pour la mise en œuvre de prospection commerciale par voie électronique en application de l’article L. 34-5 du code des postes et des communications électroniques
155. En droit, l’article L. 34-5 du CPCE prévoit qu’" est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l'article L. 32 [du même code], d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen.
Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe.
156. Ces dispositions transposent en droit français les règles régissant l’utilisation de systèmes automatisés d’appel et de communication sans intervention humaine (automates d’appel), de télécopieurs ou de courrier électronique à des fins de prospection directe fixées par la directive ePrivacy, telle que modifiée par la directive 2009/136/CE du 25 novembre 2009, et plus précisément son article 13 traitant des " communications non sollicitées ", dont le paragraphe 1 prévoit que " l’utilisation de systèmes automatisés d’appel et de communication sans intervention humaine (automates d'appel), de télécopieurs ou de courrier électronique à des fins de prospection directe ne peut être autorisée que si elle vise des abonnés ou des utilisateurs ayant donné leur consentement préalable ".
157. Par un arrêt du 25 novembre 2021, la CJUE a précisé que " l’article 13, paragraphe 1, de la directive 2002/58 doit être interprété en ce sens que constitue une " utilisation [...] de courrier électronique à des fins de prospection directe ", au sens de cette disposition, l’affichage dans la boîte de réception de l’utilisateur d’un service de messagerie électronique de messages publicitaires sous une forme qui s’apparente à celle d’un véritable courrier électronique et au même emplacement que ce dernier sans que la détermination aléatoire des destinataires desdits messages ni la détermination du degré d’intensité de la charge imposée à cet utilisateur aient d’incidence à cet égard, cette utilisation n’étant autorisée qu’à condition que ledit utilisateur ait été informé de manière claire et précise des modalités de diffusion d’une telle publicité, notamment au sein de la liste des courriers électroniques privés reçus, et ait manifesté son consentement de manière spécifique et en pleine connaissance de cause à recevoir de tels messages publicitaires " (point 63) (CJUE, troisième chambre, 25 novembre 2021, StWL Städtische Werke Lauf a.d. Pegnitz Gmbh, C-102/20, ci-après, " l’arrêt du 25 novembre 2021 ").
158. La rapporteure relève tout d’abord, que pour obtenir une adresse électronique Gmail, il est nécessaire de créer un compte Google, en suivant notamment les parcours utilisateur de création de compte précédemment exposés et dans lesquels il convient de choisir entre la réception d’annonces personnalisées et la réception d’annonces génériques sur les services Google. Elle relève ensuite qu’il ressort du contrôle en ligne réalisé entre le 20 octobre et le 4 novembre 2022, à l’occasion duquel la délégation a constaté que lorsque l’utilisateur fait le choix de la réception d’annonces génériques lors la création de son compte Google, il lui est alors offert la possibilité d’activer ou de désactiver les " fonctionnalités intelligentes " lorsqu’il se rend sur sa messagerie Gmail. Après avoir cliqué sur " Continuer avec les fonctionnalités intelligentes " puis sur le bouton " Suivant ", la délégation a constaté que sa boite de réception était organisée en trois onglets au sein desquels les courriers électroniques sont triés en trois catégories intitulées " Principale ", " Promotions " et " Réseaux sociaux ".
159. Elle observe qu’il ressort des constatations réalisées par la délégation que, lors de leur connexion à leur boîte de messagerie Gmail - sur les versions mobiles et web, les utilisateurs de ce service ayant activé les " fonctionnalités intelligentes " voient s’afficher, entre les courriels reçus dans les onglets " Promotions " et " Réseaux sociaux " et sans qu’ils y aient consenti, des annonces publicitaires qui, selon la rapporteure, caractérisent une utilisation de courrier électronique à des fins de prospection directe au sens de l’article L. 34-5 du CPCE.
160. Elle considère que les modifications apportées par les sociétés en avril 2023 au format des annonces ne sont pas de nature à remettre en cause son analyse.
161. Elle considère dès lors qu’en ne recueillant pas le consentement des personnes concernées à l’affichage de telles publicités dans leur boîte de messagerie Gmail, les sociétés ont commis un manquement aux dispositions susvisées. La rapporteure se fonde notamment, pour étayer sa démonstration, sur l’arrêt de la CJUE précité.
162. En défense, les sociétés soutiennent tout d’abord qu’au regard de la nature et de la sévérité de la sanction proposée par la rapporteure, la présente procédure relève de la matière pénale, soumise au principe d’interprétation stricte de la loi pénale. Elles estiment que l’arrêt du 25 novembre 2021 rendu par la CJUE consacre une interprétation large de la notion de courrier électronique - sur laquelle s’est fondée la rapporteure –, et elles constatent que cet arrêt a été rendu en matière civile et commerciale. Elles considèrent donc que sa transposition en matière pénale est discutable puisque les raisonnements par analogie y sont prohibés, a fortiori lorsqu’ils sont défavorables au mis en cause, ce qui est le cas en l’espèce. Ensuite, les sociétés considèrent que les annonces affichées sur la messagerie Gmail - que ce soit antérieurement et postérieurement aux modifications d’avril 2023 - ne sont pas des courriers électroniques : elles ne répondent ni à la définition légale ni aux critères techniques d’un courrier électronique. Elles considèrent que l’arrêt du 25 novembre 2021 rendu par la CJUE doit être analysé comme effectuant une distinction entre les courriers électroniques personnels - ou privés - et les courriers électroniques de nature commerciale. Elles relèvent en outre que l’interprétation faite par la rapporteure du champ d’application matériel de l’article L. 34-5 du CPCE n’est pas suffisamment claire puisqu’elle considère que les bannières affichées dans
les messageries échappent à la qualification de courrier électronique. Au regard de ces éléments, elles considèrent qu’il est infondé d’appliquer le régime répressif prévu à l’encontre des courriers électroniques à des fins de prospection aux annonces Gmail, sauf à violer le principe d’interprétation stricte de la loi pénale.
163. Les sociétés relèvent en outre que l’affichage des annonces non sollicitées dans Gmail a été restreint aux seuls onglets " Promotions " et " Réseaux sociaux " afin de préserver une expérience utilisateur qualitative.
164. Enfin, si l’application de l’arrêt du 25 novembre 2021 rendu par la CJUE était retenue, les sociétés soutiennent que le risque de confusion pour les utilisateurs entre les courriers électroniques et les annonces Gmail est quasi inexistant. Elles considèrent que le critère de " placement " dégagé par l’arrêt du 25 novembre 2021 n’est pas rempli en l’espèce puisque les annonces ne sont déposées que dans l’onglet prévu pour les courriers électroniques commerciaux qui ne comporte aucun courriel privé et qui n’est accessible par l’utilisateur que s’il clique dessus. Elles relèvent en outre que le critère de l’apparence n’est pas non plus rempli puisque 76% des personnes interrogées sur le format des annonces présentées par les sociétés sur Gmail depuis avril 2023 considèrent qu’il n’est pas difficile de les distinguer des courriers électroniques, d’après une étude menée par l’institut IPSOS à la demande des sociétés, qui a été transmise dans le cadre du contradictoire écrit.
165. De surcroît, les sociétés soutiennent que les modifications visuelles apportées aux annonces en avril 2023 mettent clairement en évidence qu’il n’y a pas de risque de confusion avec les courriers électroniques. Elles font notamment valoir que les annonces ne présentent pas une icône de suivi - étoile située à gauche des courriers électroniques – et que lorsque l’utilisateur passe le curseur de sa souris sur un courrier électronique quatre boutons de commande apparaissent - archiver, supprimer, marquer comme lu/non lu et mettre en attente, alors que la même action sur une annonce fait uniquement apparaitre l’option de suppression. Elles ajoutent que l’objet et le texte des annonces sont nettement décalés par rapport à ceux des courriers électroniques et que le logo de l’annonceur est bien visible à côté du nom de l’annonceur.
166. En tout état de cause, les sociétés indiquent recueillir le consentement préalable des utilisateurs à la réception de publicités personnalisées lors de la création d’un compte Google.
1. Sur le cadre juridique applicable aux publicités insérées entre les courriels 
a. Sur l’articulation de la jurisprudence de la Cour de justice de l’Union européenne et des articles L. 34-5 du CPCE et 13 de la directive ePrivacy
167. La formation restreinte rappelle que, conformément à l’article 288 du traité sur le fonctionnement de l’Union européenne (ci-après, " le TFUE), les directives européennes " lie[nt] tout État membre destinataire quant au résultat à atteindre, tout en laissant aux instances nationales la compétence quant à la forme et aux moyens ". Ainsi, si les autorités nationales déterminent la forme et les méthodes qu’elles utilisent pour incorporer lesdites directives dans leur droit national, ces mesures doivent atteindre l’objectif défini par celles-ci. La formation restreinte souligne en outre que ces directives définissent des normes minimales, les Etats ayant la possibilité de fixer des règles plus protectrices.
168. Par ailleurs, la CJUE a, à plusieurs reprises, rappelé qu’il " découle des exigences tant de l’application uniforme du droit de l’Union que du principe d’égalité que les termes d’une disposition du droit de l’Union qui ne comporte aucun renvoi exprès au droit des Etats membres pour déterminer son sens et sa portée doivent normalement trouver, dans toute l’Union, une interprétation autonome et uniforme. En outre, […] lors de l’interprétation d’une disposition du droit de l’Union, il y a lieu de tenir compte non seulement des termes de celle-ci et des objectifs qu’elle poursuit, mais également de son contexte ainsi que de l’ensemble des dispositions du droit de l’Union. La genèse d’une disposition du droit de l’Union peut également revêtir des éléments pertinents pour son interprétation " (CJUE, grande chambre, 26 mars 2019, SM, C-129/18 ; CJUE, grande chambre, 1er octobre 2019, Planet49 GmbH, C-673/17).
169. De plus, la formation restreinte relève que la Cour européenne des droits de l’homme a souvent rappelé qu’" aussi clair que le libellé d’une disposition légale puisse être, dans quelque système juridique que ce soit, y compris le droit pénal, il existe immanquablement un élément d’interprétation judiciaire. Il faudra toujours élucider les points douteux et s’adapter aux changements de situation. D’ailleurs, il est solidement établi dans la tradition juridique [des] États parties à la Convention que la jurisprudence, en tant que source du droit, contribue nécessairement à l’évolution progressive du droit pénal " (CEDH, 22 nov. 1995, S.W. et C.R. c. Royaume-Uni ; v. aussi CEDH, gr. ch., 22 mars 2001, Streletz, Kessler et Krenz c. Allemagne, req. nos 34044/96, 35532/97 et 44801/98, Rec. 2001-II ; CEDH, gr. ch., 22 mars 2001, K.-H.W. c. Allemagne, req. n° 37201/97 ; CEDH, 5e sect., 12 juill. 2007, Jorgic c. Allemagne, req. n° 74613/01; CEDH, gr. ch., 19 sept. 2008, Korbely c. Hongrie, req. n° 9174/02; CEDH, gr. ch., 17 mai 2010, Kononov c. Lettonie, req. n° 36376/04) .
170. En l’espèce, les dispositions de l’article 13 de la directive ePrivacy ont été transposées en droit français à l’article L. 34-5 du CPCE, cité supra. La formation restreinte relève qu’en application de l’article 288 du TFUE et de la jurisprudence de la CJUE, le législateur et les juridictions nationales doivent s’assurer, dans toute la mesure du possible, que ces dispositions apportent aux personnes concernées une protection conforme à celle garantie par la directive européenne. Dès lors, il convient de lire ce texte au regard non seulement de l’article 13 de la directive ePrivacy, mais également à la lumière de la jurisprudence de la CJUE, dont le rôle est de veiller à ce que la législation de l’Union soit interprétée et appliquée de manière harmonisée dans l’ensemble des pays membres en prenant en compte les évolutions technologiques liées aux opérations de prospection électronique.
171. Si, lors de la rédaction du texte, la notion de prospection commerciale par voie électronique s’envisageait traditionnellement comme l’envoi d’un message par un destinataire à un autre destinataire en utilisant soit son numéro de téléphone, soit son numéro de télécopie, soit son adresse de courrier électronique en tant que tels, l’évolution de la technologie et le déploiement de nouvelles méthodes de prospection, se distinguant des modèles techniques classiques en vigueur au moment de l’adoption du texte par le législateur, doivent conduire à adopter une approche fonctionnelle des notions en jeu.
172. C’est la position adoptée par la CJUE pour interpréter l’article 13 de la directive ePrivacy, l’arrêt du 25 novembre 2021 rappelant les objectifs de ce texte, à savoir assurer un niveau égal de protection aux utilisateurs indépendamment des technologies utilisées, " ce qui confirme qu’il y a lieu de retenir une conception large et évolutive d’un point de vue technologique du type de communications visées par cette directive " (point 39). La Cour considère ainsi que " si des entrées publicitaires de quelque nature que ce soit apparaissent dans la boîte de réception de la messagerie Internet, à savoir dans la rubrique dans laquelle l’ensemble des courriers électroniques adressés à l’utilisateur s’affichent, il y a lieu de considérer que cette boîte de réception constitue le moyen par lequel les messages publicitaires concernés sont communiqués à cet utilisateur, ce qui implique l’utilisation de son courrier électronique à des fins de prospection directe, au sens de l’article 13, paragraphe 1, de la directive 2002/58 " (point 44).
173. La formation restreinte considère qu’il n’y a pas lieu d’adopter une interprétation différente s’agissant de l’article L. 34-5 du CPCE, la notion d’" utilisation des coordonnées " devant être interprétée comme le moyen d’atteindre l’utilisateur – en l’espèce, par le biais de sa messagerie électronique, à laquelle il accède après s’être authentifié –, indépendamment du traitement de l’adresse de courrier électronique en tant que telle. Ainsi, l’utilisation de la boite électronique de l’abonné pour afficher le message de prospection suffit à faire entrer cette opération dans le champ d’application de l’article L. 34-5 du CPCE. Par ailleurs, la formation restreinte estime que, comme l’a jugé la CJUE, peu importe le fait que les annonces en cause ne constituent pas, d’un point de vue technique, des courriels à proprement parler, leur seul affichage dans un espace normalement spécifiquement réservé aux courriels privés - dans un ou des espaces normalement privés où l’utilisateur s’attend à recevoir des courriels - suffit à considérer que ces messages sont communiqués au moyen de la boîte aux lettres électronique des personnes concernées, et donc de leur courrier électronique, au sens de l’article L. 34-5 du CPCE. De même, le fait de donner à des messages publicitaires l’apparence de véritables courriels et, ainsi, d’utiliser l’intérêt et la confiance que les utilisateurs d’un service de messagerie électronique portent à leur boîte de réception pour mettre en valeur ces
messages, impose de faire suivre à ces derniers le même régime juridique que celui applicable aux courriers électroniques.
174. La formation restreinte relève enfin que l’arrêt évoqué supra évoque des " entrées publicitaires de quelque nature que ce soit ". Elle souligne que ce type d’annonces publicitaires - parce qu’elles sont affichées dans un espace spécifiquement réservé aux courriels privés et qu’elles prennent l’apparence de ces derniers, se distingue des bannières publicitaires qui apparaissent en marge et de façon séparée de la liste des courriels, lesquelles ne sont pas concernées par l’application de l’article L. 34-5 du CPCE. La formation restreinte relève que cette position est celle retenue dans sa délibération n° SAN-2024-019 du 14 novembre 2024. Dans cette affaire, elle avait relevé que le responsable de traitement avait modifié l’affichage de ses annonces, ces dernières n’apparaissant plus entre les courriels reçus mais au sein d’une bannière distincte et fixe figurant au pied de la boîte de réception des utilisateurs, en marge de la liste des courriels et séparément de ceux-ci. Elle a donc considéré dans sa délibération que ce format d’affichage permettait de distinguer clairement ces annonces des autres courriers électroniques reçus et que, dès lors, la pratique en cause ne pouvait plus être qualifiée d’utilisation de courrier électronique à des fins de prospection directe au sens de l’article L. 34-5 du CPCE.
175. De la même manière, la formation restreinte considère qu’il n’y a pas lieu de considérer, comme le font les sociétés, que l’intégralité des messages de prospection électronique ne peuvent en aucun cas s’assimiler à des courriers privés. Elle relève que la distinction proposée par les sociétés ne ressort pas de la décision de la CJUE précitée. Elle relève par ailleurs que la Cour fait référence aux courriers privés comme étant ceux reçus dans la boite de messagerie de l’utilisateur, à laquelle ce dernier accède après s’être authentifié. S’agissant des messages de prospection électronique, la formation restreinte rappelle que la seule distinction pertinente qu’il convient d’opérer est celle entre, d’une part, les messages de prospection qui satisfont aux conditions fixées par l’article L. 34-5 du CPCE et qui sont légitimes, soit parce que le consentement de la personne a été recueilli pour l’envoi de tels messages, soit parce que la prospection concerne un produit ou service analogue et, d’autre part, les messages de prospection ne satisfont pas aux conditions définies à cet article
176. En d’autres termes, même s’il est de nature commerciale, un message de prospection qui satisfait aux conditions fixées par l’article L. 34-5 du CPCE doit être considéré comme un courrier électronique entrant dans la catégorie des courriers privés, au même titre qu’un message d’ordre plus personnel, comme une correspondance privée entre deux personnes.
177. La formation restreinte observe d’ailleurs que la Cour s’est placée du point de vue du destinataire du message publicitaire, pour lequel ce dernier est affiché dans sa boite de réception - un espace normalement réservé aux courriels privés, ce qui créée un risque de confusion pour l’utilisateur entre les courriels privés et les messages publicitaires. La Cour évoque à ce titre, des sollicitations répétées et non souhaitées. La formation restreinte retient ainsi que ces courriers électroniques ne sont pas sollicités par l’utilisateur de la messagerie qui n’a pas consenti à leur réception.
b. Sur la prévisibilité du cadre juridique applicable et le respect du principe de légalité des délits et des peines 
178. La formation restreinte relève que le principe d’interprétation stricte de la loi pénale découle du principe de légalité des délits et des peines qui exige que les obligations, manquements et les différentes sanctions possibles aient été définis à l’avance. Elle rappelle qu’en matière de sanction administrative, le Conseil constitutionnel a imposé le respect de principes fondamentaux, parmi lesquels le principe de légalité des délits et des peines (n° 88-248 DC, 17 janvier 1989).
179. Le Conseil d’Etat a précisé la portée de ce principe, qui implique que les éléments constitutifs des infractions soient définis de façon précise et complète (CE, 9 octobre 1996, Société Prigest, n° 170363, T. ; CE, Section, 12 octobre 2009, M. P., n° 311641, Rec.). En matière de sanctions administratives, la jurisprudence considère que " l’exigence d'une définition des infractions sanctionnées se trouve satisfaite […] dès lors que les textes applicables font référence aux obligations auxquelles les intéressés sont soumis en raison de l'activité qu'ils exercent, de la profession à laquelle ils appartiennent, de l'institution dont ils relèvent ou de leur qualité " et qu’une sanction peut être prononcé s’il est " raisonnablement prévisible par les personnes concernées et en tenant compte de leur qualité et des responsabilités qu'elles exercent, que le comportement litigieux constitue un manquement à ces obligations " (CE, 3 octobre 2018, SFCM, n° 411050, Rec.).