AgentPublic/cnil huggingface dataset:
76. En troisième lieu, la société s’interroge sur "l’intégrité des opérations de contrôles " effectuées le 18 février 2021. Elle soutient que le cookie "[…] " déposé par le domaine "[…] " et le cookie "[…] " déposé par le domaine "[…] " malgré le refus de l’utilisateur au dépôt de cookies à finalité publicitaire, ne figurent pas dans le fichier HAR, permettant de prouver qu’ils continuent d’être lus. En d’autres termes, la société fait valoir que le fait qu’un cookie soit transporté par une requête http ne signifie pas pour autant que ce cookie est nécessairement lu par le domaine vers lequel la requête http est faite. Elle note également que la rapporteure elle-même reconnaît que la méthodologie employée par la délégation de contrôle ne permet pas de capturer de façon exhaustive toutes les requêtes http transportant un cookie. Elle considère donc que les constatations effectuées par la CNIL s’agissant de ces cookies ne permettent pas d’attester qu’ils ont été lus. Par ailleurs, la société considère qu’il ne peut être déduit qu’un cookie dont la présence n’a pas été constatée dans un fichier HAR a bien été déposé sur le terminal d’un utilisateur.
77. La formation restreinte relève d’abord, s’agissant du cookie "[…] " déposé par le domaine "[…] ", qu’il ne figure pas dans les écrits de la rapporteure proposant à la formation restreinte de prononcer une sanction à l’encontre de la société et qu’il n’entre dès lors pas dans le champ de la présente procédure.
78. La formation restreinte rappelle ensuite que les dispositions de l’article 82 de la loi "Informatique et Libertés " imposent, sauf exceptions, le recueil du consentement avant toute action visant à inscrire des informations ou à accéder à des informations déjà stockées dans l’équipement terminal d’un utilisateur. La formation restreinte considère que, contrairement à ce qui est avancé par la société, la seule opération d’inscription d’informations dans le terminal de l’utilisateur (en l’espèce le dépôt de cookies à finalité publicitaire), avant toute action de sa part ou malgré son refus, est suffisante pour caractériser l’existence d’un manquement à l’article 82 de la loi "Informatique et Libertés ".
79. La formation restreinte relève en ce sens que la délégation de contrôle a procédé aux constatations sur le site [...].fr en deux étapes. La première consiste à identifier quels cookies ont été déposés sur le terminal de l’utilisateur (opérations "d’écriture / d’inscription d’informations "). La seconde étape consiste à identifier quels cookies ont envoyé des informations vers le domaine qui les a déposés (opérations de "lecture / d’accès aux informations "). Ces informations sont compilées lors du contrôle dans un fichier dénommé "HAR " qui contient les requêtes HTTP liées aux pages visitées par l’internaute durant sa navigation. Ce fichier vient en complément des pièces collectées par la délégation, prenant copie du nombre de cookies déposés dans l’équipement terminal de l’utilisateur et permettant d’attester, durant un laps de temps donné, que des cookies sont lus.
80. Ainsi, s’agissant du cookie "[…] " à finalité publicitaire dont le dépôt par le domaine […]" a été constaté lors du contrôle du 18 février 2021 après le refus puis la navigation de l’utilisateur, la formation restreinte observe que la rapporteure n’a pas indiqué dans ses écrits, contrairement à ce que la société semble avancer en défense, que ce cookie figurait dans le fichier HAR, permettant ainsi de prouver qu’il était lu. En revanche, la rapporteure a indiqué dans ses écrits qu’il ressort des constats effectués que ce cookie a été déposé sur le terminal de l’utilisateur alors que ce dernier n’avait pas donné son consentement. Ainsi, s’il est exact que le fichier HAR ne rapporte pas en l’espèce, comme en attestent d’autres pièces de la procédure, la preuve d’une opération de lecture de ce cookie dans le terminal de l’utilisateur, il n’en demeure pas moins que la délégation de contrôle a constaté son dépôt sur le terminal de ce dernier alors qu’il avait refusé de donner son consentement à un tel dépôt.
81. En conséquence, la formation restreinte considère que, contrairement à ce qui est avancé par la société, la seule opération de dépôt d’informations à finalité publicitaire, avant toute action de l’utilisateur ou malgré son refus, est suffisante pour caractériser l’existence d’un manquement à l’article 82 de la loi "Informatique et Libertés ".
82. S’agissant du cookie "[…] " à finalité publicitaire, dont le dépôt a été constaté lors du contrôle du 18 février 2021 par le domaine de validité www.[...].fr lors de l’arrivée de l’internaute sur le site web et avant toute action, la formation restreinte relève, d’une part, que celui-ci demeurait stocké sur l’équipement terminal de l’utilisateur après qu’il eut exprimé son refus et navigué vers une autre page du site [...].fr et, d’autre part, que le fichier "HAR " a permis de rapporter la preuve que le contenu de ce cookie continuait d’être lu. La formation restreinte considère que, s’agissant de ce cookie, la délégation a bien constaté son dépôt puis sa lecture. 
83. Dès lors, la formation restreinte considère, d’une part, que les constatations ont été effectuées dans le respect de la procédure applicable et, d’autre part, que ces constatations permettent de caractériser un manquement à l’article 82 de la loi "Informatique et Libertés ". Il appartient dès lors à la formation restreinte d’apprécier au cas d’espèce si la société a mis en œuvre suffisamment de diligences pour considérer qu’elle a rempli son obligation de moyens.
2. Sur les moyens mis en œuvre par la société pour satisfaire ses obligations
84. La rapporteure considère qu’au regard de chacune des vérifications effectuées par les services de la CNIL, les moyens mis en œuvre par la société pour éviter le dépôt et la lecture de cookies à finalité publicitaire par des partenaires en méconnaissance des règles applicables sont insuffisants, que ce soit dès l’arrivée de l’utilisateur sur le site ou après qu’il ait exprimé son refus. La société a ainsi méconnu ses obligations au regard de l’article 82 de loi "Informatique et Libertés ".
85. En défense, la société indique que l’ensemble des opérations de lecture et / ou d’écriture d’informations dans le terminal des utilisateurs visitant le site [...].fr mentionnées dans le rapport et pour lesquelles le consentement ou le refus des utilisateurs n’a pas été pris en compte est le fait de tiers et ne relève pas de sa responsabilité. Outre le fait de dispenser une information et des modalités de recueil du consentement satisfaisantes, la société ajoute qu’elle remplit son obligation en lien avec l’article 82 de la loi "Informatique et Libertés ", qui constitue une obligation de moyens, en mettant en œuvre trois solutions. Elle indique d’abord avoir mis en place une plateforme de gestion du consentement qu’elle qualifie "d’avant-gardiste ". Elle indique ensuite avoir développé un outil de veille destiné à identifier les cookies déposés par des tiers en violation de la réglementation pour ensuite effectuer les démarches nécessaires auprès de ces derniers. Sur ce point, la société ajoute que cet outil de surveillance a été principalement conçu pour le navigateur Chrome, car son usage serait le plus répandu parmi ses utilisateurs. Elle indique que cet outil ne détecterait en revanche pas le dépôt de certains cookies sur le terminal des utilisateurs visitant le site au moyen du navigateur Firefox. La société relève que les constatations de la CNIL ont été réalisées à partir de ce navigateur, qui serait très peu utilisé par les internautes visitant le site [...].fr.
La société précise que c’est en particulier le cas s’agissant du cookie dénommé "[…] " dont le dépôt par le domaine "[…] " a été constaté lors de son contrôle du 25 novembre 2020, effectué au moyen du navigateur Firefox. La société précise qu’elle se "fonde volontairement " sur le navigateur Chrome car les visiteurs du site [...].fr ne sont en moyenne que 4,42 % à utiliser le navigateur Firefox. Enfin, la troisième solution évoquée, mise en œuvre par la société jusqu’au 15 août 2020, consistait à émettre un signal de refus temporaire, en l’absence d’acte de navigation ou de refus des cookies par un utilisateur, "afin que les tiers ne puissent pas se prévaloir d’une telle inaction ou silence pour déposer des cookies publicitaires ". Enfin, la société considère que la rapporteure impose une obligation de résultat, qui revient in fine à empêcher les éditeurs de site de recourir aux cookies pour afficher de la publicité, laquelle représente une part importante de leurs revenus.
86. A titre liminaire, la formation restreinte rappelle, comme elle l’a exposé aux points 48 à 62, qu’elle considère que la société n’est pas fondée à soutenir qu’aucune obligation ni aucune responsabilité ne lui incombent quant aux opérations effectuées par des tiers tendant à accéder à des informations déjà stockées dans l’équipement terminal de communications électroniques des utilisateurs, ou à inscrire des informations dans cet équipement, sans leur consentement, lorsqu’ils visitent son site, dès lors qu’elle transmet un signal auxdits tiers pour les informer de l’absence de consentement de ces derniers.
87. En effet, dans le périmètre de sa responsabilité en tant qu’éditeur de site et en cas de dépôt de cookies par des émetteurs tiers, la formation restreinte considère qu’il revient à la société de satisfaire à différentes obligations en lien avec l’article 82 de la loi "Informatique et Libertés " et en particulier, comme l’a jugé le Conseil d’État, de "s'assurer auprès de ses partenaires qu'ils n'émettent pas, par l'intermédiaire de son site, des "cookies " qui ne respectent pas la règlementation applicable en France et d'effectuer toute démarche utile auprès d'eux pour mettre fin à des manquements ".
88. En l’espèce, en premier lieu, la formation restreinte souligne que les services de la CNIL ont réalisé cinq opérations de contrôle et qu’à chacune de ces vérifications, il a été constaté que des cookies à finalité publicitaire étaient déposés sur le terminal de l’internaute sans le recueil de son consentement dès son arrivée sur la page d’accueil du site [...].fr et avant toute action de sa part.
89. Ainsi, s’agissant des cookies dénommés "tb_t_ppg " et "tb_sess_r " déposés par le domaine de validité "www.[...].fr " ayant pour finalité la diffusion de publicité ciblée, la délégation a constaté son dépôt sur le terminal de l’utilisateur lors de son arrivée sur le site [...].fr et avant toute action de sa part lors des opérations de contrôle des 14 janvier 2020 et 9 septembre 2020. La formation restreinte en déduit que ce cookie aura été déposé sans action de la part de l’utilisateur et en l’absence de consentement pendant a minima deux opérations de contrôle et huit mois.
90. S’agissant du cookie dénommé "[…] " déposé par le domaine "www.[...].fr " ou le domaine "player-video.[...].fr " ayant pour finalité la diffusion de publicité ciblée, son dépôt a été constaté lors des quatre autres opérations de contrôle des 14 janvier 2020, 9 septembre 2020, 25 novembre 2020 et 18 février 2021. La formation restreinte en déduit que ce cookie aura été déposé sans action de la part de l’utilisateur et en l’absence de consentement pendant a minima quatre opérations de contrôle et un an.
91. Enfin, s’agissant du cookie dénommé "[…] " déposé par le domaine "[…] " ou le domaine "[…] " pour lequel la société a indiqué qu’il avait pour finalité la "publicité ciblée ", la délégation a constaté son dépôt lors de l’arrivée de l’utilisateur sur le site [...].fr et avant toute action de sa part lors de trois des cinq opérations de contrôle effectuées les 14 janvier, 9 septembre et 25 novembre 2020. La formation restreinte en déduit que ce cookie aura été déposé sans action de la part de l’utilisateur et en l’absence de consentement pendant a minima trois opérations de contrôle et dix mois. La formation restreinte relève que ce traceur est déposé par l’organisme "[…] ", qui a été contacté à plusieurs reprises par courriel par la société pour avoir effectué des opérations de lecture et / ou d’écriture d’informations dans le terminal des utilisateurs visitant le site [...].fr en violation des règles applicables, sans pour autant qu’une mesure soit rapidement prise pour mettre fin au dépôt récurrent de ce cookie en particulier.
92. Dès lors, la formation restreinte considère qu’au regard de ces constats, les moyens mis en œuvre par la société sont manifestement insuffisants pour respecter les dispositions de l’article 82 de la loi "Informatique et Libertés ".
93. En deuxième lieu, la formation restreinte observe d’abord que, pour répondre à l’argument soulevé en défense par la société - selon lequel la délégation de la CNIL aurait effectué à tort ses constatations uniquement à partir d’un navigateur Firefox, alors qu’aucun cookie ou autre traceur ne serait déposé en contravention des règles applicables lorsque l’internaute se rend sur le site au moyen du navigateur Chrome - les services de la CNIL ont procédé à de nouvelles constatations le 1er juin 2021. La formation restreinte relève qu’à cette occasion, la délégation a constaté, tant sur le navigateur Chrome que sur le navigateur Firefox et à partir d’un historique de navigation vierge, le dépôt dans l’espace de stockage en local du navigateur d’un traceur nommé "[…] " et contenant un identifiant unique dès l’arrivée de l’utilisateur sur la page d’accueil du site [...].fr et avant toute action de sa part.
94. La formation restreinte relève ensuite qu’après que l’utilisateur a manifesté son refus au dépôt des cookies, les services de la CNIL ont constaté la présence de requêtes contenant l’identifiant de ce traceur et la page visitée par ce dernier, à destination du domaine "[…] ", identifié par la société comme un domaine en lien avec la diffusion de publicité ciblée. Dès lors, la formation restreinte relève que ces constats démontrent l’existence d’opérations effectuées par des tiers tendant à accéder à des informations déjà stockées dans l’équipement terminal des utilisateurs, ou à inscrire des informations dans cet équipement, en violation du refus exprimé par les utilisateurs, que celui-ci navigue au moyen des navigateurs Firefox ou Chrome.
95. Ainsi qu’il l’a été mentionné au point 91, la formation restreinte relève à nouveau que ce traceur est relatif à l’organisme "[…] ", qui a été contacté à plusieurs reprises par courriel la société pour avoir effectué des opérations de lecture et / ou d’écriture d’informations dans le terminal des utilisateurs visitant le site [...].fr en violation des règles applicables.
96. En conséquence, la formation restreinte considère qu’il s’ensuit que, tant sur le navigateur Firefox que sur le navigateur Chrome, les outils et moyens mis en œuvre par la société, à savoir une plateforme de gestion du consentement, un outil de veille et l’émission d’un signal de refus sont manifestement insuffisamment efficaces et ne permettent pas de faire cesser le manquement.
97. En troisième lieu, s’agissant du paramétrage de l’outil de veille mis en œuvre par la société qui contrôle uniquement les cookies déposés en violation des règles applicables lors de la navigation pour les utilisateurs au moyen du navigateur Chrome (ce qui correspond à […] des utilisateurs du site, selon la société), la formation restreinte relève d’abord que, parmi les […] de visiteurs en moyenne par mois du site internet [...].fr, l’outil tel qu’il est paramétré ne permet pas de s’assurer du respect des règles applicables par les partenaires pour, a minima, environ […] de ses utilisateurs qui ont recours au navigateur Firefox (ce qui correspond à […] des utilisateurs du site, selon la société). La formation restreinte précise que ce nombre semble en outre être une hypothèse basse, compte tenu de l’existence d’autres navigateurs que les deux susmentionnés, que les internautes peuvent utiliser pour se rendre sur le site [...].fr. En ce sens, le navigateur Chrome n’étant utilisé, d’après la société, que par environ 45 % des utilisateurs du site, la formation restreinte en déduit donc qu’environ 55 % des utilisateurs de ce site ne sont pas concernés par cet outil. La formation restreinte considère enfin qu’un outil qui détecte si des cookies sont déposés dès l’arrivée de l’utilisateur sur un site et avant toute action ne présente pas, dans son principe, de difficulté particulière à mettre en œuvre. La CNIL propose ainsi l’outil de visualisation dénommé "Cookieviz " en accès
libre pour mesurer l'impact des cookies et autres traceurs lors de la navigation d’un utilisateur, et plusieurs autres outils gratuits sont disponibles par ailleurs sur le marché. Si la formation restreinte considère que le dispositif mis en œuvre par la société est sans doute adapté à ses besoins et au fonctionnement de son site, il ne semble pour autant pas hors de portée d’avoir un outil qui fonctionne avec les principaux navigateurs.
98. La formation restreinte rappelle ensuite que même avec cet outil de veille, le non-respect des règles applicables a également été constaté sur le navigateur Chrome, comme en attestent les constatations effectuées le 1er juin 2021. En conséquence, la formation restreinte observe qu’il ressort de ces constats que des opérations de lecture et d’écriture d’une information sur le terminal de l’utilisateur sont effectuées en violation des règles applicables – en l’espèce, malgré le refus de l’utilisateur -, que celui-ci navigue au moyen de Firefox ou de Chrome. En tout état de cause, la formation restreinte rappelle que les obligations résultant de l’article 82 de la loi "Informatique et Libertés " doivent s’appliquer indépendamment du navigateur utilisé par le visiteur du site [...].fr, ce qui n’est manifestement pas le cas en l’espèce.
99. Dès lors, la formation restreinte considère que l’outil de veille mis en œuvre par la société, qui n’est paramétré que pour effectuer un contrôle à partir du navigateur Chrome et qui concerne donc moins de la moitié des utilisateurs du site, est un moyen manifestement insuffisant pour s’assurer du respect des dispositions de l’article 82 de la loi "Informatique et Libertés ".
100. En quatrième lieu, la formation restreinte considère d’abord que c’est bien l’éditeur du site - en l’espèce la SOCIETE [...] -, qui choisit ses partenaires et les autorise, à la fois juridiquement et par le codage informatique du site, à déposer des cookies sur les terminaux des utilisateurs. Si la société fait valoir que le fonctionnement de son site ne lui permet pas de bloquer les cookies déposés par des tiers, la formation restreinte relève que cela résulte d'un choix technique qu'elle a fait, d'autres choix permettant d'offrir une plus grande maîtrise du site à l'éditeur. Si la formation restreinte ne remet pas en cause ce choix technique, elle considère que celui-ci n'exonère pas la société de sa responsabilité et qu'il lui appartient de mettre en place des moyens en phase avec le choix qu'elle a opéré, tant dès l’arrivée de l’utilisateur sur le site qu’après avoir exprimé son refus. 
101. Ainsi et en complément de ce qui précède, la formation restreinte observe que c’est bien la SOCIETE [...], en ayant le contrôle sur son site et en permettant que des opérations de lecture et / ou d’écriture d’informations puissent être effectuées par des tiers sous ses noms de domaine, qui peut, en l’espèce, décider si l’un de ses partenaires ne respecte pas la réglementation, de mettre en œuvre tous les moyens nécessaires pour faire cesser le manquement, puis, en dernier recours, de mettre fin à la relation du contrat ou d’engager des actions à son encontre.
102. La formation restreinte considère ensuite que, lorsqu’une société constate qu’un de ses partenaires continue d’effectuer de telles opérations en violation des règles applicables malgré les outils qu’elle a mis en œuvre pour éviter cette situation et ses demandes ultérieures pour que de telles violations ne se reproduisent plus, il lui appartient d’envisager les différents moyens juridiques à sa disposition qui sont nécessaires pour faire cesser ces manquements, en prévoyant par exemple contractuellement la possibilité d’engager des actions contre ses partenaires et en l’activant (par exemple une action en responsabilité ou la suspension temporaire du contrat jusqu’au respect de ses engagements par le partenaire), et, en dernier recours, en appréciant l’opportunité de mettre un terme aux relations commerciales. Or, la formation restreinte relève au titre des moyens mobilisés que, si la société a mis en œuvre des outils et a contacté certains de ses partenaires, il n’en demeure pas moins qu’un manquement à l’article 82 de la loi "Informatique et Libertés " a perduré pendant plusieurs mois s’agissant de certains cookies, notamment s’agissant des opérations de lecture et / ou d’écriture d’informations dans le terminal des utilisateurs visitant le site [...].fr relatives à l’organisme "[…] ". La formation restreinte estime que ce manquement est aggravé par le fait que le comportement des partenaires ne s’effectue pas à l’insu de la société puisque tout un chacun, et a
fortiori la société, a la possibilité de vérifier les cookies et traceurs déposés sur un site. Au demeurant, la formation restreinte estime que pour que les règles relatives aux opérations de lecture et / ou écriture d’informations dans le terminal des utilisateurs visitant un site soient appliquées et respectées, chacun des acteurs doit s’acquitter à son niveau de ses obligations, et s’assurer du respect des règles ou prendre les mesures nécessaires pour faire cesser tout manquement, au risque sinon que ces règles ne soient pas respectées, chaque acteur rejetant sa propre responsabilité sur les autres. La formation restreinte considère en outre que souscrire à l’analyse selon laquelle la société n’aurait aucune responsabilité dans les opérations de lecture et / ou d’écriture d’informations effectuées par des tiers dans le terminal des utilisateurs visitant le site [...].fr reviendrait à accepter que la société n’ait aucune maîtrise de son site et qu’elle ne soit en rien responsable des opérations réalisées sur son site tant qu’elle met en œuvre des outils – en l’espèce une plateforme de gestion du consentement, un outil de veille et l’émission d’un signal de refus, qui sont au demeurant manifestement inefficaces – et qu’elle effectue des démarches auprès de ses partenaires, indépendamment des effets réels de ces démarches.
103. Enfin, il résulte de tout ce qui précède que la formation restreinte n’impose pas une obligation de résultat qui empêcherait la société de recourir aux opérations de lecture et / ou d’écriture pour diffuser de la publicité sur son site mais qu’elle impose en revanche une obligation de moyens qui implique qu’une mise en conformité puisse être atteinte par la mise en œuvre d’un ensemble d’aménagements nécessaires. La formation restreinte considère en l’espèce que la société ne satisfait pas à cette obligation de moyens.
104. Dès lors, au vu de tout ce qui précède, la formation restreinte considère que la société a méconnu ses obligations au regard de l’article 82 de la loi "Informatique et Libertés " en permettant le dépôt de cookies sur le terminal des utilisateurs avant toute action de leur part et en privant d’effet leur refus au dépôt et / ou à la lecture des cookies soumis à consentement. La société a manqué à ses obligations en ne s’assurant pas que ses partenaires n'émettent pas, par l'intermédiaire de son site, des cookies qui ne respectent pas la règlementation applicable et en n’effectuant pas les démarches nécessaires pour faire cesser le manquement constaté.
III. Sur les mesures correctrices et la publicité
105. Aux termes de l’article 20, paragraphe III, de la loi "Informatique et Libertés " :