AgentPublic/cnil huggingface dataset:
145. Ainsi que la formation restreinte l’a rappelé dans sa délibération n° SAN-2020-012 du 7 décembre 2020, l’Autorité de la concurrence a relevé que, sur le marché français de la publicité en ligne liée aux recherches, [V] détient une position dominante qui présente, à bien des égards, des caractéristiques extraordinaires . Son moteur de recherche totalise aujourd'hui plus de 90 % des recherches effectuées en France et sa part de marché sur le marché de la publicité en ligne liée aux recherches est probablement supérieure à 90 % (ADLC,[…]). Le moteur de recherche [V] a donc une portée considérable en France. 
146. En deuxième lieu, la formation restreinte estime qu’il convient de faire application du critère prévu à l’alinéa b) de l’article 83 paragraphe 2 du RGPD, relatif au fait que la violation a été commise délibérément.
147. La formation restreinte rappelle que les sociétés ont fait l’objet d’une sanction récente portant sur des manquements à l’article 82 de la loi Informatique et Libertés s’agissant de l’information et du recueil du consentement des personnes avant le dépôt des cookies sur leur terminal. Si cette sanction n’est pas définitive puisqu’elle fait l’objet d’un recours devant le Conseil d’État, la formation restreinte note toutefois que l’attention des sociétés avait été explicitement appelée par les services de la CNIL sur les modalités de refus des cookies. Dans le cadre du suivi de l’injonction prononcée par la formation restreinte, les sociétés ont, le 18 décembre 2020, par l’intermédiaire de leurs conseils, fait parvenir à la CNIL un document dans lequel elles présentaient les changements que [V] entendait déployer sur la page web [V].fr pour répondre à l’injonction prononcée. Le 17 février 2021, le secrétaire général de la CNIL a adressé aux sociétés [X] et [Y] une réponse constituant une aide pour les sociétés afin de se mettre en conformité. Ledit courrier allait au-delà du périmètre de l’injonction et évoquait également les modalités de refus des cookies . Le secrétaire général de la CNIL rappelait aux sociétés qu’il doit être aussi facile de donner son consentement que de refuser de le donner ou de le retirer et indiquait qu’il leur reviendrait d’insérer un bouton Je refuse à côté du bouton J’accepte , tout en précisant qu’elles pouvaient bien entendu changer les
intitulés de ces boutons tant qu’ils permettent à l’utilisateur de comprendre clairement et directement les conséquences de ses choix . Il y était également précisé que : Si différentes manières de respecter les exigences légales sont possibles, il m’apparaît que la proposition figurant dans votre courrier, où ne figurent qu’un bouton J’accepte et un bouton Paramétrer , sur lequel il faut cliquer pour ensuite comprendre comment il est possible de refuser les cookies, n’est pas conforme aux exigences légales de liberté du consentement . Le secrétaire général de la CNIL avait donc indiqué aux sociétés, dès février 2021, les actions attendues dans la perspective d’une mise en conformité à l’issue de la période d’adaptation laissée par la CNIL aux acteurs et qui s’achevait le 1er avril 2021.
148. De surcroît, la formation restreinte rappelle le contexte plus général dans lequel les sociétés [X] et [Y] ont choisi de ne pas offrir à leurs utilisateurs, sur les sites [V].fr et [W].com , de faculté de refuser aisément les cookies. En effet, la CNIL a mis en œuvre un plan de mise en conformité sur la question des cookies étalé sur plusieurs années et a communiqué publiquement sur son site web, à plusieurs reprises, sur le fait qu’il doit être aussi facile pour l’internaute de refuser les cookies que de les accepter, en particulier le 1er octobre 2020 à l’occasion de la publication des lignes directrices et de la recommandation du 17 septembre 2020 précitées. La période d’adaptation laissée aux acteurs s’achevait au 1er avril 2021. Des centaines de milliers d’acteurs, des plus petits sites aux plus importants, se sont mis en conformité et ont introduit sur leur interface de recueil du consentement un bouton refuser ou continuer sans accepter .
149. Dans ce contexte, la formation restreinte considère que le fait que les sociétés [X] et [Y], figurant parmi les acteurs mondiaux majeurs et incontournables de l’internet et gérant certains des sites les plus visités, refusent de mettre en place un système de refus aisé des cookies au moment même où elles faisaient l’objet d’une procédure de suivi d’injonction les alertant clairement sur ce même sujet, révèle une volonté caractérisée de ces sociétés de ne pas modifier leurs pratiques. Elle considère que les sociétés ont entendu ne pas mettre en conformité le traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation des sites [V].fr et [W].com , ni s’aider des recommandations de la CNIL pour ce faire.
150. En troisième lieu, la formation restreinte considère que les sociétés ne peuvent se prévaloir d’une coopération exemplaire avec la CNIL, alors qu’elles n’ont jamais communiqué la volumétrie du nombre de visiteurs uniques quotidiens pour les sites [V].fr et [W].com au cours des douze derniers mois depuis la France, éléments pourtant demandés par la délégation de contrôle de la CNIL. La formation restreinte relève qu’il ressort de l’article 18 de la loi Informatique et Libertés que les responsables de traitement ne peuvent s'opposer à l'action de la Commission et qu’ils doivent prendre toutes mesures utiles afin de faciliter sa tâche . La coopération avec l’autorité de contrôle constitue ainsi d’abord une obligation prévue par la loi. Ainsi, l’obligation de coopérer est loin d’être pleinement satisfaite en l’espèce, de sorte qu’il n’y a pas lieu à application d’une circonstance atténuante au titre de l’alinéa f) du paragraphe 2 de l’article 83 du RGPD.
151. En quatrième lieu, la formation restreinte estime qu’il convient de faire application du critère prévu à l’alinéa k) de l’article 83, paragraphe 2, du Règlement relatif aux avantages financiers obtenus du fait du manquement.
152. À cet égard, la formation restreinte relève que les opérations de lecture et écriture, permettant la collecte des données des utilisateurs à des fins de publicité ciblée via les sites [V].fr et [W].com , permettent aux sociétés de tirer un avantage financier considérable. Si elle admet que l’ensemble des revenus des sociétés ne sont pas directement liés aux cookies, la formation restreinte souligne que la publicité en ligne repose essentiellement sur le ciblage des internautes, auquel le cookie participe directement en permettant de singulariser et d’atteindre l’utilisateur identifié en vue de lui afficher du contenu publicitaire correspondant à ses centres d’intérêt et à son profil. 
153. Elle rappelle que, comme elle l’a relevé dans sa délibération n° SAN-2020-012 du 7 décembre 2020 précitée, le groupe [V] réalise l’essentiel de ses bénéfices dans les deux principaux segments du marché de la publicité en ligne que constituent la publicité par affichage (Display Advertising) et la publicité contextuelle (Search Advertising), dans lesquels les cookies jouent un rôle indéniable, quoique différent.
154. Tout d’abord, dans le segment de la publicité par affichage, dont l’objet est d’afficher un contenu dans une zone spécifique d’un site web et dans lequel les cookies et traceurs sont utilisés pour identifier les utilisateurs au cours de leur navigation, aux fins de leur proposer les contenus les plus personnalisés, il est établi que le groupe [V] propose des produits à tous les échelons de la chaîne de valeur de ce segment et que ses produits sont systématiquement dominants sur ces différents échelons. À cet égard, le groupe [V] indique, sur l’un de ses sites web, qu’il propose pour la publicité un écosystème accessible depuis ses outils et services capable de toucher plus de 2 millions de sites, vidéos et applications et plus de 90% des utilisateurs de l’Internet dans le monde. 
155. Ensuite, le segment de la publicité contextuelle, dont l’objet est d’afficher des résultats sponsorisés en fonction des mots clef tapés par les utilisateurs dans un moteur de recherche, nécessite également l’usage de cookies dans sa mise en œuvre pratique, par exemple pour pouvoir déterminer la localisation géographique des utilisateurs et, par-là, adapter les annonces proposées en fonction de cette localisation. À cet égard, il ressort du rapport annuel de la société [X’] pour l’année 2019 que ce segment constitue à lui seul, à travers notamment le service [V] Ads - anciennement […] -, 61% du chiffre d’affaires du groupe [V].
156. Si, dans le cadre de la procédure ayant donné lieu à la délibération précitée, la formation restreinte n’avait pas connaissance du montant du bénéfice tiré par le groupe [V] de la collecte et de l’exploitation de cookies sur le marché français via le revenu généré par la publicité ciblée sur des internautes français, elle a relevé qu’une approximation proportionnelle à partir des données chiffrées accessibles publiquement conduirait à estimer que la France contribuerait pour entre 680 et 755 millions de dollars au résultat net annuel d’[X’], la société-mère du groupe [V], soit, au taux de change actuel, entre 580 et 640 millions d’euros .
157. De surcroît, la formation restreinte souligne à nouveau qu’il ressort des études évoquées ci-avant que les sociétés qui ont mis en place un bouton tout refuser sur l’interface de recueil du consentement ont vu le taux de consentement relatif à l’acceptation des cookies diminuer. En effet, lorsqu’un bouton figurant au premier niveau leur permet de refuser les cookies, une part importante des internautes refuse complètement ou partiellement, les cookies et autres traceurs, ce qui a nécessairement un impact en termes de revenus liés à la publicité en ligne. Ces éléments viennent donc confirmer l’avantage financier indéniable tiré du manquement commis par les sociétés [X] et [Y] en ne mettant pas en place un mécanisme de refus du consentement aussi facile que celui d’accepter les cookies.
158. En dernier lieu, la formation restreinte rappelle qu’en application des dispositions de l’article 20 paragraphe III de la loi Informatique et Libertés , les sociétés [X] et [Y] encourent une sanction financière d’un montant maximum de 2% de leur chiffre d’affaires, lequel était respectivement de […] de dollars en 2020 s’agissant de [X] et de […] d’euros en 2019 s’agissant de [Y]
159. Dans sa délibération n° SAN-2020-012 du 7 décembre 2020, la formation restreinte a démontré la plus grande implication de la société [X] dans la détermination des finalités et des moyens des cookies mis en œuvre sur le site [V].fr par rapport à la société [Y]. En effet, c’est la société [X] qui conçoit et construit la technologie des produits [V]. De plus, [X] exerce une influence significative dans les organes décidant du déploiement des produits [V] en Europe et des traitements de données à caractère personnel des utilisateurs européens. 
160. La formation restreinte souligne qu’en raison de l’utilisation massive du moteur de recherche [V] et de [W] en France, le nombre de personnes concernées par le manquement retenu est considérable. Elle relève en outre les bénéfices considérables tirés par les sociétés, à travers les revenus publicitaires indirectement générés par les données collectées par ces cookies.
161. Dès lors, au regard des responsabilités respectives des sociétés, de leurs capacités financières et des critères pertinents de l’article 83, paragraphe 2, du Règlement évoqués ci-avant, la formation restreinte estime qu’une amende de 90 millions euros à l’encontre de la société [X] et une amende de 60 millions euros à l’encontre de la société [Y] apparaissent justifiées. 
B. Sur le prononcé d’une injonction
162. Les sociétés soutiennent que la demande d’injonction formulée par la rapporteure est inutile, considérant qu’il n’était pas nécessaire d’ouvrir une procédure de sanction. 
163. Elles contestent par ailleurs le montant de l’astreinte journalière proposée en complément de l’injonction dès lors que la rapporteure n’apporte pas la démonstration de la nécessité de cette astreinte ni de la proportionnalité de son montant, qui est le montant maximal prévu par la loi Informatique et Libertés .
164. Elles contestent enfin le délai proposé par la rapporteure à l’issue duquel l’astreinte pourrait être liquidée, considérant que la modification du mécanisme de recueil du consentement nécessite un travail de programmation informatique complexe et conséquent. Elles indiquent que [Y] aurait besoin a minima de six mois pour se conformer aux termes de l’injonction.
165. En premier lieu, la formation restreinte relève qu’en l’état actuel du bandeau cookies sur les sites [V].fr et [W].com , les utilisateurs ne disposent toujours pas d’un moyen de refuser les opérations de lecture et/ou d’écriture d’informations dans leur terminal présentant le même degré de simplicité que celui prévu pour en accepter l’usage. Elle estime dès lors nécessaire le prononcé d’une injonction afin que les sociétés se mettent en conformité avec les obligations applicables en la matière.
166. En deuxième lieu, la formation restreinte rappelle qu’aux fins de conserver à l’astreinte sa fonction comminatoire, son montant doit être à la fois proportionné à la gravité des manquements commis mais également adapté aux capacités financières du responsable de traitement. Elle relève, par ailleurs, que pour la détermination de ce montant, il doit également être tenu compte du fait que le manquement concerné par l’injonction participe indirectement aux bénéfices générés par le responsable de traitement.
167. En troisième lieu, s’agissant du délai qui serait nécessaire pour exécuter l’injonction, la formation restreinte prend note des arguments mis en avant par les sociétés tout en tenant compte des moyens techniques et humains dont elles disposent.
168. Au regard de ces éléments, la formation restreinte considère comme justifié le prononcé d’une injonction assortie d’une astreinte d’un montant de 100 000 euros par jour de retard et liquidable à l’issue d’un délai de trois mois.
C. Sur la publicité
169. La formation restreinte considère que la publicité de la présente décision se justifie au regard du nombre de personnes concernées et de la gravité du manquement. 
170. La formation restreinte relève que cette mesure permettra d’alerter les utilisateurs résidant en France des sites [V].fr et [W].com de la caractérisation du manquement à l’article 82 de la loi Informatique et Libertés et de les informer de la persistance du manquement au jour de la présente délibération et de l’injonction prononcée à l’encontre des sociétés pour y remédier. 
171. Enfin, la mesure n’est pas disproportionnée dès lors que la décision n’identifiera plus nommément les sociétés à l’expiration d’un délai de deux ans à compter de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre de la société [X] une amende administrative d’un montant de 90 000 000 euros (quatre-vingt-dix millions d’euros) pour manquement à l’article 82 de la loi Informatique et Libertés , 
• prononcer à l’encontre de la société [Y] une amende administrative d’un montant de 60 000 000 euros (soixante millions d’euros) pour manquement à l’article 82 de la loi Informatique et Libertés,
• prononcer à l’encontre des sociétés [X] et [Y] une injonction de modifier, sur les sites web [V].fr et [W].com , les modalités de recueil du consentement des utilisateurs situés en France aux opérations de lecture et/ou d’écriture d’informations dans leur terminal, en leur offrant un moyen de refuser ces opérations présentant une simplicité équivalente au mécanisme prévu pour leur acceptation, afin de garantir la liberté de leur consentement ;
• assortir l’injonction d’une astreinte de 100 000 euros (cent mille euros) par jour de retard à l’issue d’un délai de trois mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ;
• adresser cette décision à la société [Z] en vue de son exécution ; 
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément les sociétés à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de quatre mois à compter de sa notification.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, Mesdames Christine MAUGÜE et Anne DEBET et Monsieur Alain DRU, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2021-044C du 6 avril 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements accessibles à partir du domaine " [V].com " ou portant sur des données à caractère personnel collectées à partir de ce dernier ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 26 juillet 2021 ;
Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié à la société [X] le 1er septembre 2021 ;
Vu les observations écrites versées par le conseil de la société [X] le 8 octobre 2021 ;
Vu la réponse de la rapporteure à ces observations notifiée à la société [X] le 28 octobre 2021 ;
Vu les nouvelles observations écrites versées par le conseil de la société [X], reçues le 21 novembre 2021 ;
Vu le courrier adressé par la société [X] au président de la formation restreinte et à la rapporteure le 6 décembre 2021 ;
Vu les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Étaient présentes, lors de la séance de la formation restreinte du 2 décembre 2021 :
Madame Valérie PEUGEOT, commissaire, entendue en son rapport ;
En qualité de représentants de la société [X] :
[…] ;
La société [X] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
Faits et procédure
Créée en […] et ayant son siège social aux Etats-Unis ([…]), la société [Y], […], a développé un réseau social (ci-après " le réseau social [V] "), disponible sur le web et sur application mobile, qui permet aux utilisateurs ayant créé un compte de partager leurs expériences et d’échanger. Ce dernier regroupe actuellement plus de 2,5 milliards d’utilisateurs actifs par mois dans le monde.
La société [Y] possède plusieurs dizaines de bureaux implantés dans une trentaine de pays et compte plus de 35 000 salariés à travers le monde. Elle dispose de sa propre régie publicitaire et, depuis sa création, elle a notamment acquis […] ainsi que […] . En 2020, elle a réalisé un chiffre d’affaires de près de 86 milliards de dollars pour un résultat net de plus de 29 milliards de dollars. 98% de ce chiffre d’affaires est généré par les revenus issus de la publicité mise en œuvre dans le cadre de ses produits et services.
La société [X] (ci-après " [X] "), sise […], se présente comme étant le siège du groupe [W] pour ses activités dans la région européenne depuis 2008. Filiale de la société [Y] elle emploie environ […] personnes. En 2019, elle a réalisé un chiffre d’affaires de plus de […]d’euros pour un résultat net de plus de […] d’euros.
La société [Z], située […], est l’établissement de [Y] en France. Filiale de la société [Y], elle emploie […] salariés. En 2019, elle a réalisé un chiffre d’affaires de plus de […] d’euros pour un résultat net […] d’euros.
Le 8 avril 2021, faisant suite à quatre saisines enregistrées entre octobre 2020 et mars 2021, une délégation de la CNIL a effectué un contrôle en ligne sur le site web " [V].com " en application de la décision n° 2021-044C du 6 avril 2021 de la présidente de la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ").
Cette mission avait pour objet de vérifier le respect, par la société, des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi " Informatique et Libertés " " ou " loi du 6 janvier 1978 "), en lien avec les traitements consistant en des opérations de lecture et/ou d’écriture d’informations dans le terminal des utilisateurs résidant en France lors de leur visite sur le site web " [V].com ".
Le 16 avril 2021, la délégation a adressé deux questionnaires aux sociétés [Z] et [X] afin notamment de leur faire préciser les finalités des opérations de lecture et/ou d’écriture effectuées à partir du site web " [V].com " dans le terminal des utilisateurs résidant en France et de leur faire confirmer que la société [X] avait bien la responsabilité de traitement de ces opérations. Les sociétés étaient également invitées à préciser leur organisation, leurs activités et les liens qui les unissent.
Ces dernières ont respectivement répondu à ces questionnaires les 21 mai et 11 juin 2021, en confirmant notamment que la société [X] agissait en tant que " responsable du traitement pour les traitements de données à caractère personnel mis en œuvre dans le cadre de la fourniture du service [V] aux utilisateurs dans la région européenne, en ce compris pour les opérations d’écriture et de lecture de cookies sur le site internet " [V].com " ".
Le 26 juillet 2021, sur le fondement de l’article 22 de la loi du 6 janvier 1978, la présidente de la Commission a désigné Madame Valérie PEUGEOT en qualité de rapporteure aux fins d’instruction de ces éléments.
Le 1er septembre 2021, à l’issue de son instruction, la rapporteure a fait notifier à la société [X] un rapport détaillant le manquement à la loi " Informatique et Libertés " qu’elle estimait constitué en l’espèce s’agissant de la liberté du consentement, la société ne mettant notamment pas à disposition des utilisateurs situés en France, sur le site web " [V].com ", un moyen de refuser les opérations de lecture et/ou d’écriture d’informations dans leur terminal présentant le même degré de simplicité que celui prévu pour en accepter l’usage. Était également jointe au rapport une convocation à la séance de la formation restreinte du 2 décembre 2021.