AgentPublic/cnil huggingface dataset:
44. En dernier lieu, la formation restreinte relève que la présente procédure vise à la fois les sites internet [V].fr et [W].com , alors que la précédente procédure ne portait que sur le site [V].fr . 
45. La formation restreinte considère dès lors que le grief tiré de la violation du principe non bis in idem doit être écarté.
C. Sur la compétence de la CNIL
1. Sur la compétence matérielle de la CNIL et la non-application du mécanisme de guichet unique prévu par le RGPD
46. Les traitements objets du contrôle diligenté le 1er juin 2021 par une délégation de la CNIL sont effectués dans le cadre de la fourniture de services de communications électroniques accessibles au public par le biais d’un réseau public de communications électroniques proposés au sein de l’Union européenne. À ce titre, ils entrent dans le champ d’application matériel de la directive ePrivacy .
47. L’article 5, paragraphe 3, de cette directive, relatif au stockage ou à l’accès à des informations déjà stockées dans l’équipement terminal d’un abonné ou d’un utilisateur, a été transposé en droit interne à l’article 82 de la loi Informatique et Libertés , au sein du chapitre IV de la loi relatif aux Droits et obligations propres aux traitements dans le secteur des communications électroniques.
48. Aux termes de l’article 16 de la loi Informatique et Libertés , la formation restreinte prend les mesures et prononce les sanctions à l'encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant […] de la présente loi . Au titre de l’article 20, paragraphe III, de cette même loi, lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant […] de la présente loi, le président de la Commission nationale de l'informatique et des libertés […] peut saisir la formation restreinte .
49. La rapporteure considère que la CNIL est matériellement compétente en application de ces dispositions pour contrôler et sanctionner les opérations d’accès ou d’inscription d’informations mises en œuvre par les sociétés dans les terminaux des utilisateurs des sites [V].fr et [W].com en France.
50. Les sociétés contestent la compétence de la CNIL et estiment qu’elles devraient se voir appliquer le cadre procédural prévu par le RGPD, c’est-à-dire le mécanisme de coopération entre les autorités de contrôle, dit mécanisme de guichet unique , prévu au chapitre VII du Règlement. En application de ce mécanisme, l’autorité de contrôle compétente pour connaître des faits en cause ne serait pas la CNIL mais l’autorité de protection des données irlandaise, la Data Protection Commissionner (ci-après la DPC ), qui devrait agir en qualité d'autorité chef de file à l’égard du déploiement des cookies, celle-ci étant compétente selon les sociétés aussi bien au titre du RGPD que de la directive ePrivacy .
51. À ce soutien, les sociétés invoquent notamment le lien inextricable entre le RGPD et la directive ePrivacy , considérant que l’application du RGPD ne peut être exclue lorsque l’article 82 de la loi Informatique et Libertés s’applique. Elles invoquent également le principe de lex specialis – lex generalis en vertu duquel, selon elles, la directive ePrivacy précise et complète le RGPD. Les sociétés considèrent que l’absence de règles spécifiques relatives à la détermination de la compétence de l’autorité de contrôle en cas de traitements transfrontaliers relevant du champ d’application de la directive ePrivacy devrait se voir suppléée par l’application du cadre procédural prévu par le RGPD. Elles soutiennent que l’application du mécanisme de guichet unique est non seulement conforme à l’intention du législateur européen, mais aussi à l’interprétation du CEPD, et correspond en outre à la position adoptée par plusieurs autorités européennes. Elles relèvent à cet égard que le pouvoir laissé aux États membres quant au choix de l’autorité nationale chargée de veiller au respect de la directive ePrivacy ne fait pas obstacle à l’application du mécanisme de guichet unique prévu par le RGPD, dans la mesure où des accords de coopération entre ces autorités ont été conclus dans plusieurs États membres afin que les autorités de protection des données et les autorités chargées de l’application de la directive ePrivacy , s’il s’agit d’autorités différentes, puissent exercer
conjointement des pouvoirs d’exécution sur une question relevant du champ d’application du RGPD et de la directive ePrivacy et ainsi participer au mécanisme de guichet unique.
52. Les sociétés ajoutent en outre que l’annonce du CEPD du 27 septembre 2021 relative à la création d’un groupe de travail sur les bandeaux cookies en réponse au nombre important de plaintes récemment déposées auprès des autorités de contrôle par l’association NOYB constitue une preuve selon laquelle le CEPD considère que les violations liées aux cookies relèvent directement du champ d’application du RGPD et, par conséquent, du mécanisme de guichet unique .
53. À titre liminaire, la formation restreinte souligne la distinction qu’il convient d’opérer entre, d’une part, les opérations consistant à déposer et à lire un cookie sur le terminal d’un utilisateur et, d’autre part, l’utilisation ultérieure qui est faite des données générées par ces cookies, par exemple à des fins de profilage, généralement désignée sous l’expression traitements subséquents (dits également ultérieurs ). Chacune de ces deux étapes successives est soumise à un régime juridique différent : tandis que les opérations de lecture et d’écriture dans un terminal sont régies par des règles spéciales, fixées par la directive ePrivacy - en l’occurrence, par son article 5 paragraphe 3 -, et transposées en droit national, les traitements subséquents sont quant à eux régis par le RGPD et, à ce titre, peuvent être soumis au mécanisme de guichet unique dans l’hypothèse où ils seraient transfrontaliers.
54. En l’espèce, la formation restreinte rappelle que la présente procédure ne vise que les opérations de lecture et d’écriture mises en œuvre dans le terminal de l’utilisateur situé en France se rendant sur le moteur de recherche [V] et [W], les constatations matérielles effectuées par la délégation lors du contrôle en ligne du 1er juin 2021 n’ayant porté que sur ces opérations, sans s’intéresser aux traitements subséquents mis en œuvre à partir des données collectées via ces cookies.
55. En premier lieu, la formation restreinte relève qu’il ressort des dispositions citées ci-avant que le législateur français a chargé la CNIL de veiller au respect des dispositions de la directive ePrivacy transposées à l’article 82 de la loi Informatique et Libertés , en lui confiant notamment le pouvoir de sanctionner toute méconnaissance de cet article. Elle souligne que cette compétence a notamment été reconnue par le Conseil d’État dans sa décision Association des agences-conseils en communication du 19 juin 2020 concernant la délibération de la CNIL no 2019-093 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture ou écriture dans le terminal d’un utilisateur. Le Conseil d’État a en effet relevé que l’article 20 de cette loi confie [au] président [de la CNIL] le pouvoir de prendre les mesures correctrices en cas de non-respect des obligations résultant du règlement (UE) 2016/279 ou de ses propres dispositions, ainsi que la possibilité de saisir la formation restreinte en vue du prononcé des sanctions susceptibles d’être prononcées (CE, 19 juin 2020, req. 434684, pt. 3).
56. En deuxième lieu, la formation restreinte considère que lorsqu’un traitement peut relever à la fois du champ d’application matériel de la directive ePrivacy et du champ d’application matériel du RGPD, il convient de se référer aux dispositions pertinentes des deux textes qui prévoient leur articulation. Ainsi, l’article 1er, paragraphe 2, de la directive ePrivacy dispose que les dispositions de la présente directive précisent et complètent la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 sur la protection des données personnelles (ci-après la directive 95/46/CE sur la protection des données personnelles ), étant rappelé que depuis l’entrée en application du Règlement, les références faites à cette dernière directive doivent s’entendre comme faites au RGPD, conformément à l’article 94 de ce dernier. De même, il ressort du considérant 173 du RGPD que ce texte prévoit explicitement n’être pas applicable aux traitements de données à caractère personnel soumis à des obligations spécifiques ayant le même objectif [de protection des libertés et droits fondamentaux] énoncées dans la directive 2002/58/CE du Parlement européen et du Conseil, y compris les obligations incombant au responsable du traitement et les droits des personnes physiques . Cette articulation a été confirmée par la CJUE dans sa décision Planet49 du 1er octobre 2019 (CJUE, 1er octobre 2019, C 673/17, pt. 42).
57. À cet égard, la formation restreinte relève que, contrairement à ce que soutiennent les sociétés, la directive ePrivacy constitue un corps de règles spéciales, qui prévoit bien, pour les obligations spécifiques qu’elle comporte, son propre mécanisme de mise en œuvre et de contrôle de son application au sein de son article 15bis. Ainsi, le premier paragraphe de cet article laisse aux États membres la compétence pour déterminer le régime des sanctions, y compris des sanctions pénales s’il y a lieu, applicables aux violations des dispositions nationales prises en application de la présente directive et [prendre] toute mesure nécessaire pour assurer la mise en œuvre de celles-ci. Les sanctions ainsi prévues doivent être effectives, proportionnées et dissuasives et peuvent être appliquées pour couvrir la durée de l’infraction, même si celle-ci a été ultérieurement corrigée . La règle posée au 3) de l’article 5 de la directive ePrivacy , selon laquelle les opérations de lecture et/ou d’écriture doivent systématiquement faire l’objet d’un accord préalable de l’utilisateur, après information, constitue une règle spéciale au regard du RGPD puisqu’elle interdit de se prévaloir des bases légales mentionnées à l’article 6 de ce dernier pour pouvoir licitement procéder à ces opérations de lecture et/ou d’écriture sur le terminal. Le contrôle de cette règle relève donc bien du mécanisme spécial de contrôle et sanction prévu par la directive ePrivacy , et non des autorités de
protection de données et du CEPD en application du RGPD. C’est par un choix propre que le législateur en France a confié cette mission à la CNIL. De plus, le deuxième paragraphe du même article oblige les États membres à veiller à ce que l’autorité nationale compétente et, le cas échéant, d’autres organismes nationaux aient le pouvoir d’ordonner la cessation des infractions visées au paragraphe I .
58. Au vu de ce qui précède, la formation restreinte considère qu’en application de l’adage specialia generalibus derogant, les règles spécifiques relatives aux cookies qui découlent de la directive ePrivacy prévalent sur les règles générales du RGPD. Ainsi, le mécanisme de guichet unique prévu par le RGPD ne peut être appliqué aux traitements visés par la directive, comme le prétendent les sociétés.
59. En troisième lieu, la formation restreinte ajoute que cette exclusion est corroborée par le fait que les États membres, qui sont libres de déterminer l’autorité nationale compétente pour connaître des violations des dispositions nationales prises en application de la directive ePrivacy , peuvent avoir attribué cette compétence à une autorité autre que leur autorité nationale de protection des données instituée par le RGPD, en l’occurrence à leur autorité de régulation des télécommunications. Dès lors, dans la mesure où ces dernières autorités ne font pas partie du CEPD, alors que ce comité joue une fonction incontournable dans le mécanisme de contrôle de la cohérence mis en œuvre au chapitre VII du RGPD, il est de fait impossible d’appliquer le guichet unique à des pratiques susceptibles d’être sanctionnées par des autorités de contrôle nationales ne siégeant pas au sein de ce comité.
60. La formation restreinte souligne que les accords de coopération passés entre autorités de protection des données et autorités de régulation des télécommunications dans certains États membres, invoqués par la société, ont pour but d’instaurer une coopération au niveau national entre les différents régulateurs afin d’assurer la cohérence de leurs doctrines sur des sujets connexes mais n’ont pas pour objectif de faire participer en tant que telles les autorités de régulation des télécommunications au mécanisme de guichet unique prévu par le chapitre VII du RGPD. 
61. En quatrième lieu, la formation restreinte note que le CEPD a, dans son avis n° 5/2019 du 12 mars 2019 relatif aux interactions entre la directive vie privée et communications électroniques et le RGPD, explicitement exclu l’application du mécanisme de guichet unique à des faits relevant matériellement de la directive ePrivacy en ces termes : conformément au chapitre VII du RGPD, les mécanismes de coopération et de cohérence dont disposent les autorités de protection des données au titre du RGPD concernent le contrôle de l’application des dispositions du RGPD. Les mécanismes du RGPD ne s’appliquent pas au contrôle de l’application des dispositions de la directive vie privée et communications électroniques en tant que telle (CEPD, avis 5/2019, 12 mars 2019, pt. 80).
62. En cinquième lieu, la formation restreinte relève que la CJUE, dans un arrêt Facebook Belgium rendu le 15 juin 2021, a repris l’avis 5/2019 du CEPD précité. La CJUE a suivi sur ce point les conclusions de son avocat général, M. BOBEK, lequel estimait qu’ afin de décider si une affaire relève effectivement du champ d’application matériel du RGPD, une juridiction nationale, y compris toute juridiction de renvoi, est tenue de rechercher la source précise de l’obligation légale pesant sur un opérateur économique dont il est allégué qu’il l’a enfreinte. Si la source de cette obligation n’est pas le RGPD, les procédures établies par cet instrument, qui sont liées à son objectif principal, ne sont logiquement pas non plus applicables (CJUE, conclusions de l’avocat général M. BOBEK, 13 janvier 2021, Facebook Belgium, C 645/19, pts. 37 et 38).
63. En l’occurrence, la formation restreinte relève que, dans la présente procédure, la source précise de l’obligation légale objet du contrôle trouve son origine dans l’article 5, paragraphe 3, de la directive ePrivacy , transposé à l’article 82 de la loi Informatique et Libertés , éclairé par les conditions du consentement tel que prévu par le RGPD, l’article 2, f), de la directive ePrivacy prévoyant que le consentement d’un utilisateur correspond au consentement de la personne concernée figurant dans la directive 95/46/CE, à laquelle s’est substitué le RGPD.
64. La formation restreinte souligne également que d’autres autorités nationales de protection des données ont également déjà prononcé des sanctions portant sur des manquements relatifs aux opérations de lecture et/ou d’écriture d’informations dans le terminal des utilisateurs. L’autorité espagnole a ainsi rendu plusieurs décisions de sanction à l’encontre de différents responsables de traitement en application exclusive des dispositions nationales transposant la directive ePrivacy , en l’occurrence l’article 22, paragraphe 2 de la Ley 34/2002 de 11 de julio de Servicios de la Sociedad de la Información y de Comercio Electrónico, sans que soit mise en œuvre la procédure de coopération instituée par le RGPD.
65. En sixième lieu, la formation restreinte note que l’éventuelle application du mécanisme de guichet unique à un traitement encadré par la directive ePrivacy fait l’objet de nombreuses discussions dans le cadre de l’élaboration du projet de règlement ePrivacy en cours de négociation depuis plus de quatre ans au niveau européen. L’existence même de ces débats confirme qu’en l’état, le mécanisme de guichet unique prévu par le RGPD n’est pas applicable aux matières régies par l’actuelle directive ePrivacy .
66. En dernier lieu, selon la formation restreinte, la création d’un groupe de travail sur les bandeaux cookies en réponse au nombre important de plaintes déposées auprès des autorités de contrôle européennes par l’association NOYB ne signifie pas, contrairement à ce qui est soutenu, que le CEPD considère que toutes les violations liées aux cookies relèvent nécessairement du champ d’application du RGPD. La formation restreinte note d’ailleurs que certaines des questions évoquées dans ces plaintes concernent les traitements subséquents qui, eux, relèvent du RGPD. En outre, en application de l’article 70, paragraphe 1 u), le CEPD a notamment pour mission de promouvoir la coopération et l’échange bilatéral et multilatéral effectif d’informations et de bonnes pratiques entre les autorités de contrôle. L’objet du groupe de travail est ainsi d’échanger sur l’analyse des nombreuses plaintes déposées par l’association NOYB. La création de ce groupe de travail ne remet pas en cause la position du CEPD, dans son avis 5/2019 précité.
67. Ainsi, la formation restreinte considère que le mécanisme de guichet unique prévu par le RGPD n’est pas applicable à la présente procédure et que la CNIL est compétente pour contrôler et sanctionner les traitements consistant en des opérations de lecture et/ou d’écriture d’informations dans le terminal des utilisateurs situés en France mis en œuvre par les sociétés relevant du champ d’application de la directive ePrivacy , sous réserve qu’ils se rattachent à sa compétence territoriale.
2. Sur la compétence territoriale de la CNIL
68. La règle d’application territoriale des exigences fixées à l’article 82 de la loi Informatique et Libertés est fixée à l’article 3, paragraphe I, de la loi Informatique et Libertés qui dispose : sans préjudice, en ce qui concerne les traitements entrant dans le champ du règlement (UE) 2016/679 du 27 avril 2016, des critères prévus par l'article 3 de ce règlement, l'ensemble des dispositions de la présente loi s'appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d'un établissement d'un responsable du traitement […] sur le territoire français, que le traitement ait lieu ou non en France .
69. La rapporteure considère que la CNIL est territorialement compétente en application de ces dispositions dès lors que le traitement objet de la présente procédure, consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du moteur de recherche [V] et de [W], notamment à des fins publicitaires, est effectué dans le cadre des activités de la société [Z], qui constitue l’établissement sur le territoire français du groupe [V].
70. Les sociétés renvoient, quant à elles, sur ce point aux observations qu’elles avaient produites dans le cadre de la précédente procédure de sanction et dans lesquelles elles soutenaient que, dans la mesure où il conviendrait de faire application des règles de compétence et des procédures de coopération définies par le RGPD, la CNIL ne disposerait pas de la compétence territoriale pour connaître de cette affaire étant donné que le siège réel du groupe [V] en Europe, soit le lieu de son administration centrale au sens de l’article 56 du RGPD, est situé en Irlande.
71. La formation restreinte retient de nouveau que les faits en cause relèvent matériellement des dispositions de la directive ePrivacy , et non du RGPD. Il en résulte qu’il convient de se référer aux dispositions de l’article 3, paragraphe I, de la loi Informatique et Libertés , déterminant le champ de la compétence territoriale de la CNIL.
72. À cet égard, la formation restreinte souligne que la directive ePrivacy ne fixe pas elle-même explicitement la règle d’application territoriale des différentes lois de transposition adoptées par chaque État membre. Cependant, cette directive indique qu’elle précise et complète la directive 95/46.CE , laquelle prévoyait à l’époque, à son article 4, que Chaque État membre applique les dispositions nationales qu'il arrête en vertu de la présente directive aux traitements de données à caractère personnel lorsque : a) le traitement est effectué dans le cadre des activités d'un établissement du responsable du traitement sur le territoire de l'État membre; si un même responsable du traitement est établi sur le territoire de plusieurs États membres, il doit prendre les mesures nécessaires pour assurer le respect, par chacun de ses établissements, des obligations prévues par le droit national applicable . Si cette règle de détermination de la loi nationale applicable au sein de l’Union n’a plus lieu d’être pour l’application des règles du RGPD, qui a remplacé la directive 95/46/CE sur la protection des données personnelles et s’applique uniformément sur tout le territoire de l’Union, il apparaît que le législateur français a maintenu ces critères d’application territoriale pour les règles spécifiques contenues dans la loi Informatique et Libertés , et donc en l’espèce pour celles qui transposent la directive ePrivacy . Dès lors, la jurisprudence de la CJUE sur l’application de
l’article 4 de l’ancienne directive 95/46/CE sur la protection des données personnelles demeure pertinente pour éclairer la portée à donner à ces deux critères.
73. En premier lieu, s’agissant de l’existence d’un établissement du responsable de traitement sur le territoire français , la CJUE a considéré de façon constante que la notion d’établissement devait être appréciée de façon souple et qu’à cette fin, il convenait d’évaluer tant le degré de stabilité de l’installation que la réalité de l’exercice des activités dans un autre État membre, en tenant compte de la nature spécifique des activités économiques et des prestations de services en question (voir, par exemple, CJUE, Weltimmo, 1er oct. 2015, C 230/14, pts. 30 et 31). La CJUE estime en outre qu’une société, personne morale autonome, du même groupe que le responsable de traitement, peut constituer un établissement du responsable de traitement au sens de ces dispositions (CJUE, 13 mai 2014, Google Spain, C-131/12, pt 48).
74. En l’occurrence, la formation restreinte relève, tout d’abord, que la société [Z] est le siège de la filiale française de la société [X], qu’elle dispose de locaux situés à Paris, qu’elle emploie environ […] personnes et que, selon ses statuts déposés auprès du greffe du tribunal de commerce de Paris, elle a notamment pour objet la fourniture de services et/ou conseils relatifs aux logiciels, au réseau internet, aux réseaux télématiques ou en ligne, notamment l’intermédiation en matière de vente de publicité en ligne, la promotion sous toutes ses formes de la publicité en ligne, la promotion directe de produits et services et la mise en œuvre de centres de traitement de l’information . La formation restreinte relève, ensuite, ainsi qu’elle l’a rappelé dans sa délibération du 7 décembre 2020, que la société [Z] est chargée d’assurer la promotion de la publicité en ligne pour le compte de la société [Y], qui est co-contractante des contrats publicitaires conclus avec les entreprises françaises ou filiales françaises de sociétés étrangères et que la société [Z] participe de manière effective à la promotion des produits et services conçus et développés par la société [X], tels que [V], en France, ainsi qu’aux activités publicitaires gérées par la société [Y] (délibération de la formation restreinte n°SAN-2020-012 du 7 décembre 2020 concernant les sociétés [X] et [Y], pt. 42). Elle relève que ces constats apparaissent toujours valables à la date de la présente délibération.