AgentPublic/cnil huggingface dataset:
1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
2° Des moyens dont il dispose pour s’y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :
1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l’utilisateur .
 
1. Sur la nécessité d’un recueil de consentement aux opérations de lecture et/ou d’écriture
54. La rapporteure relève que les contrôles effectués selon trois parcours d’utilisateurs distincts ont permis de constater que, dès l’arrivée sur le site avant toute action, après navigation sans avoir accepté le dépôt de cookies, après refus des cookies par l’utilisateur et après retrait du consentement, plusieurs cookies étaient déposés, parmi lesquels les cookies nommés " […] . D’après les informations communiquées lors de la procédure de contrôle, les sociétés ont d’abord indiqué que le cookie " […] "avait pour finalité l’analyse interne. Puis, la société […] a précisé que les finalités de ces trois cookies étaient les suivantes : " sécurité et détection des fraudes (c.-à-d, identification des bots) ; plafonnement de la fréquence de visionnage des vidéos les plus populaires sur la plateforme ; plafonnement de la fréquence des publicités diffusées sur la plateforme et Tests A/B .
55. Dans ses premières écritures, la rapporteure a relevé que les cookies relatifs au plafonnement de l’affichage, parfois appelé " capping publicitaire , consistent à ne pas présenter à un utilisateur une même publicité de manière trop répétitive. Elle a considéré que ces cookies, dont la finalité s’inscrit dans la finalité plus large de la publicité comportementale en ligne, n’ont pas pour finalité exclusive de permettre ou faciliter la communication par voie électronique et ne peuvent pas non plus être regardés comme strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. La rapporteure a donc considéré que les sociétés […] et […] méconnaissaient les obligations de l’article 82 de la loi Informatique et Libertés en déposant de tels cookies sans consentement de l’utilisateur.
56. Dans leurs premières observations en défense, les sociétés expliquent avoir fourni des informations erronées à la délégation de contrôle s’agissant des finalités des cookies " […] . Elles précisent que la finalité annoncée comme " plafonnement de la publicité "est en réalité la lutte contre les spams et que la mauvaise information transmise à la CNIL procède " d’une erreur involontaire commise lors de la rédaction de la réponse, en raison d’une mauvaise communication interne . Elles ajoutent que cette finalité vise à empêcher les bots et les utilisateurs malveillants d’envoyer des messages indésirables aux utilisateurs (mesure anti-spam) ou de publier des annonces non autorisées par la plateforme […] par exemple dans la section " commentaires "des vidéos publiées par les utilisateurs. Elles en concluent que les cookies " […] "sont strictement nécessaires et qu’ils ne requièrent donc pas de consentement de l’utilisateur lorsqu’ils sont déposés sur son terminal.
57. Compte tenu de ces nouveaux éléments, dans ses secondes écritures, la rapporteure a considéré qu’en l’absence de documents communiqués par les sociétés décrivant les spécificités techniques des trois cookies évoqués ci-avant (usage de chaque cookie, programme du cookie, etc.), elle n’était pas en mesure de se prononcer sur la question de savoir si ces trois cookies pouvaient être inscrits sur le terminal des utilisateurs sans recueil préalable de leur consentement, conformément à l’une des deux exemptions prévues par l’article 82 de la loi Informatique et Libertés précitée. Elle a ainsi invité les sociétés […] et […] à produire des éléments complémentaires au soutien de leurs affirmations.
58. En réponse, les sociétés ont indiqué qu’au 31 août 2022, les cookies " […] "et " […] "ont été supprimés de l’ensemble des domaines […] et qu’ils avaient été retirés du domaine principal à une date antérieure. Les sociétés expliquent dorénavant utiliser uniquement le cookie " […] . Elles ont par ailleurs apporté des précisions complémentaires sur les finalités qui étaient poursuivies par lesdits cookies. Elles indiquent que ces cookies ont pour finalité la sécurité et détection des fraudes, le plafonnement de la fréquence de visionnage des vidéos les plus populaires sur la plateforme, la détection et la prévention du spam et des tests permettant de comparer deux versions d’une même page (communément appelés A/B testing) et considèrent qu’ils sont exemptés du recueil du consentement. Par ailleurs, les sociétés précisent que les cookies non essentiels, et donc soumis au recueil du consentement, ne sont placés sur le terminal de l’utilisateur que si celui-ci accède à l’un des sous-domaines […] . 
 
59. Lors de la séance, compte tenu des derniers éléments communiqués par les sociétés et en l’absence de doctrine stabilisée en l’état s’agissant de certaines finalités évoquées par les sociétés la rapporteure a proposé à la formation restreinte de ne pas retenir de manquement en lien avec la nécessité de recueillir un consentement s’agissant de l’inscription des cookies " […] "sur le terminal de l’utilisateur.
60. La formation restreinte considère que les éléments du dossier soumis à son appréciation ne lui permettent pas de se prononcer sur la caractérisation du manquement relatif à l’inscription de ces trois cookies sur le terminal de l’utilisateur avant toute action de sa part. Elle relève néanmoins qu’il ressort des écritures des sociétés que d’autres cookies non exemptés du consentement sont déposés sur les sous-domaines […] .
 
2. Sur les conditions du recueil du consentement au dépôt et à la lecture des cookies non essentiels 
 
61. En droit, la directive " ePrivacy "prévoit en son article 2, f), que le consentement d’un utilisateur ou d’un abonné correspond au consentement de la personne concernée figurant dans la directive 95/46/CE, à laquelle s’est substitué le RGPD. 
 
62. Ainsi, depuis l’entrée en application du RGPD, le " consentement "prévu à l’article 82 précité doit s’entendre au sens de l’article 4, paragraphe 11, du RGPD, c’est-à-dire qu’il doit être donné de manière libre, spécifique, éclairée et univoque et se manifester par un acte positif clair. 
 
63. À cet égard, le considérant 42 de ce Règlement prévoit que " le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d'une véritable liberté de choix ou n'est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice .
64. La CNIL considère qu’il résulte de ces dispositions combinées, ainsi qu’elle les a interprétées dans ses délibérations n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et/ou d’écriture dans le terminal d’un utilisateur (notamment aux " cookies et autres traceurs ) et n° 2020-092 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux " cookies et autres traceurs "qu’il doit être aussi aisé de refuser ou retirer son consentement aux traceurs que de le donner. Ces instruments visent à interpréter les dispositions législatives applicables et à éclairer les acteurs sur la mise en place de mesures concrètes permettant de garantir le respect de ces dispositions, afin qu’ils mettent en œuvre ces mesures ou des mesures d’effet équivalent. En ce sens, il est précisé dans les lignes directrices que celles-ci " ont pour objet principal de rappeler et d’expliciter le droit applicable aux opérations de lecture et/ou d’écriture d’informations […] dans l’équipement terminal de communications électroniques de l’abonné ou de l’utilisateur, et notamment à l’usage des témoins de connexion .
65. S’agissant des modalités de refus possibles, dans cette même recommandation, la Commission a préconisé " fortement que le mécanisme permettant d’exprimer un refus de consentir aux opérations de lecture et/ou d’écriture soit accessible sur le même écran et avec la même facilité que le mécanisme permettant d'exprimer un consentement. En effet, elle estime que les interfaces de recueil du consentement qui nécessitent un seul clic pour consentir au traçage tandis que plusieurs actions sont nécessaires pour " paramétrer "un refus de consentir présentent, dans la plupart des cas, le risque de biaiser le choix de l’utilisateur, qui souhaite pouvoir visualiser le site ou utiliser l’application rapidement.
 
Par exemple, au stade du premier niveau d’information, les utilisateurs peuvent avoir le choix entre deux boutons présentés au même niveau et sur le même format, sur lesquels sont inscrits respectivement " tout accepter "et " tout refuser , " autoriser "et " interdire , ou " consentir "et " ne pas consentir , ou toute autre formulation équivalente et suffisamment claire. La Commission considère que cette modalité constitue un moyen simple et clair pour permettre à l’utilisateur d’exprimer son refus aussi facilement que son consentement .
66. La formation restreinte rappelle que la recommandation de la CNIL évoquée ci-dessus a pour objet d’éclairer les obligations prévues par les législateurs français et européen, en tirant notamment toutes les conséquences du principe de liberté du consentement tel que défini à l’article 4, paragraphe 11, du RGPD, et en les appliquant aux hypothèses de l’acceptation et du refus par l’utilisateur au dépôt de cookies sur son terminal. En effet, ce principe de liberté du consentement implique que l’utilisateur bénéficie d’une " véritable liberté de choix , comme souligné au considérant 42 du RGPD, et donc que les modalités qui lui sont proposées pour manifester ce choix ne soient pas biaisées en faveur du consentement.
67. La rapporteure a observé qu’au jour du contrôle en ligne effectué le 3 juin 2021, si le bandeau affiché sur le site " […] "contenait un bouton permettant d’accepter immédiatement les cookies, aucun moyen analogue n’était offert à l’utilisateur pour pouvoir refuser, facilement et en un seul clic, le dépôt de ces cookies. Il devait effectuer au moins trois actions (un premier clic sur " Gérer les paramètres , puis un clic sur " Ouvrir les paramètres de cookies "et un clic sur " Enregistrer ). Un tel mécanisme ne présentait donc pas, selon la rapporteure, la même facilité que celle permettant d’exprimer son consentement, en méconnaissance des exigences légales de liberté du consentement, qui impliquent de ne pas inciter l’internaute à accepter les cookies plutôt qu’à les refuser. La rapporteure a donc considéré que les conditions de recueil du consentement mises en œuvre par les sociétés […] et […] sur le site " […] "n’étaient pas conformes aux dispositions de l’article 82 de la loi Informatique et Libertés telles qu’éclairées par l’article 4, paragraphe 11, du RGPD sur la liberté du consentement, au moment du contrôle en ligne du 3 juin 2021 et jusqu’au 28 février 2022, date à laquelle les sociétés ont mis en place un bouton " Tout refuser .
68. En défense, les sociétés expliquent qu’avant la mise en place de ce bouton " Tout refuser , […] ne se basait pas sur un consentement implicite de ses utilisateurs pour l’utilisation de cookies non essentiels et qu’aucun cookie non essentiel n’était placé sur le terminal des utilisateurs avant qu’ils ne cliquent sur le bouton " Tout accepter . En ce sens, lorsque l’utilisateur s’abstenait de cliquer sur le bouton " Tout accepter , cela avait pour conséquence qu’aucun cookie non essentiel n’était inscrit sur son terminal et qu’ainsi, il était aussi facile de refuser que de consentir aux opérations de lecture et/ou d’écriture. Elles précisent que les lignes directrices de la CNIL prévoyaient elles-mêmes que l’absence de toute action de la part de l’utilisateur est un mécanisme acceptable pour que l’utilisateur refuse les cookies non essentiels : " La Commission observe que si le consentement doit se traduire par une action positive de l’utilisateur, le refus de ce dernier peut se déduire de son silence. L’expression du refus de l’utilisateur ne doit donc nécessiter aucune démarche de sa part ou doit pouvoir se traduire par une action présentant le même degré de simplicité que celle permettant d’exprimer son consentement "(§30 des lignes directrices précitées). Les sociétés considèrent que " le Bandeau relatif aux Cookies indiquait explicitement aux utilisateurs que […] n’utiliserait des cookies non essentiels que lorsqu’ils cliqueraient sur le bouton [" Accepter tout ].
Toute action de l’utilisateur autre que l’acceptation explicite des cookies étant considérée comme un refus par […] ses pratiques étaient conformes aux Lignes directrices de la CNIL .
69. En premier lieu, la formation restreinte relève que, si les sociétés […] et […] font aujourd’hui valoir que l’absence de choix exprimé par l’utilisateur avait pour effet qu’aucun cookie non essentiel ne soit inscrit sur son terminal, le bandeau d’information affiché à l’utilisateur ne contenait aucune information en ce sens.
 
70. La formation restreinte considère, ainsi que la Commission l’a rappelé dans ses lignes directrices précitées, que si le refus de l’utilisateur de consentir aux cookies peut se déduire de son silence, c’est à la condition que l’utilisateur en soit pleinement informé. À défaut, l’équilibre entre les modalités d’acceptation et de refus n’est pas respecté. Or, tel n’était pas le cas en l’espèce : en visualisant le bandeau, l’utilisateur n’était pas informé des moyens dont il disposait pour ne pas consentir simplement aux cookies.
71. La formation restreinte estime au contraire qu’il n’était pas intuitif pour l’utilisateur de considérer qu’il pouvait continuer à naviguer sans effectuer d’action sur le bandeau cookies. Elle relève par ailleurs que, lorsque l’utilisateur n’effectuait aucun choix et naviguait sur le site, le bandeau restait alors affiché. La persistance du bandeau au bas de la page, bien que n’empêchant pas l’utilisateur d’utiliser les fonctions du site web, était de nature à inciter la personne à faire un choix, ne serait-ce que pour faire disparaître le bandeau afin de faciliter sa navigation. Dès lors, le choix le plus simple pour un internaute était l’acceptation des cookies via le bouton " Tout accepter , puisque le bandeau disparaissait aussitôt dans ce cas. Ainsi, la formation restreinte considère qu’en l’absence d’information sur les conséquences de son inaction, l’utilisateur souhaitant refuser les cookies était fortement incité à cliquer sur le bouton " Gérer les paramètres , puis à effectuer les trois actions décrites ci-avant.
72. De surcroît, la formation restreinte relève le caractère peu explicite du bouton " Gérer les paramètres "proposé dans le cadre de la première fenêtre, qui ne mentionnait pas clairement l’existence de moyens permettant de refuser les cookies. Elle estime que le fait que les cookies n’étaient au demeurant pas déposés est sans incidence sur la confusion générée par le parcours informationnel qui pouvait donner à l’utilisateur le sentiment qu’il n’était pas possible de refuser le dépôt de cookies et qu’il ne disposait pas de modalités de contrôle à cet égard.
 
73. En deuxième lieu, la formation restreinte note qu’il ressort de plusieurs études que les organismes ayant mis en place un bouton " tout refuser "sur l’interface de recueil du consentement au premier niveau ont vu le taux de consentement relatif à l’acceptation des cookies diminuer. Ainsi, selon le " baromètre Privacy – édition 2021 "publié par la société COMMANDERS ACT, le taux de consentement sur ordinateur est passé de 70% à 55% en avril-mai 2021, depuis que la collecte du consentement est explicite. De même, selon une étude 366-Kantar, il apparaît que 41% des internautes en France ont refusé, systématiquement ou partiellement, le dépôt de cookies en juin 2021.
74. La formation restreinte considère ainsi que le fait de rendre le mécanisme de refus des cookies plus complexe que celui consistant à les accepter revient en réalité à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton " Tout accepter . En effet, un utilisateur d’Internet est généralement conduit à consulter de nombreux sites. La navigation sur internet se caractérise par sa rapidité et sa fluidité. Le fait de devoir cliquer sur " Gérer les paramètres "et de devoir comprendre la façon dont est construite la page permettant de refuser les cookies est susceptible de décourager l’utilisateur, qui souhaiterait pourtant refuser le dépôt des cookies. Il n’est pas contesté qu’en l’espèce, les sociétés offraient un choix entre l’acceptation ou le refus des cookies avant l’insertion du bouton " Tout refuser , mais les modalités par lesquelles ce refus pouvait être exprimé, dans le contexte de la navigation sur Internet, biaisait l’expression du choix en faveur du consentement de façon à altérer la liberté de choix.
75. En dernier lieu, la formation restreinte relève que, si les sociétés indiquent dans leurs écritures que les cookies non essentiels ne sont pas placés sur les terminaux des utilisateurs lorsqu’ils visitent le domaine principal, le consentement éventuellement recueilli par le bandeau du site principal entraîne le dépôt de cookies lors de la visite de certains sous-domaines […] , sans qu’un nouveau bandeau de recueil du consentement s’affiche à l’entrée de ces sous-domaines. Elle souligne que l’inscription de cookies non essentiels en dehors du domaine principal est corroboré tant par les termes utilisés dans le bandeau constaté lors du contrôle en ligne du 3 juin 2021, en l’occurrence " Nous utilisons des cookies et d’autres technologies pour améliorer votre expérience sur nos sites web. En cliquant sur " Accepter tout , vous accepter que nous utilisions des cookies tiers à des fins d’analyse et de marketing "que par ceux figurant dans la politique de […] relative aux cookies : " Avec ton accord, nous utilisons les cookies tiers décrits ci-dessous à des fins d’analyse pour promouvoir nos services sur d’autres plateformes et sites web, et pour mesurer l’efficacité de nos propres campagnes marketing.
76. Les sociétés précisent également dans leurs écritures que les choix des utilisateurs en matière de cookies exprimés lors de l’arrivée sur le domaine principal " […] "sont enregistrés et gardés en mémoire pour toute la navigation sur l’ensemble des domaines […] . Ainsi, le choix exprimé par l’utilisateur sur le domaine principal en matière de cookies vaut pour l’ensemble des opérations d’inscriptions de cookies réalisées sur les sous-domaines. La présence d’une modalité permettant de refuser aussi facilement que d’accepter les cookies était donc primordiale, afin que le consentement de l’utilisateur soit donné de manière libre, à la fois sur le domaine principal et sur les sous-domaines. 
 
77. Au regard de ce qui précède, la formation restreinte considère qu’un manquement aux dispositions de l’article 82 de la loi Informatique et Libertés, interprétées à la lumière du RGPD, est constitué, dans la mesure où l’utilisateur n’avait pas la possibilité de refuser les opérations de lecture et/ou d’écriture avec le même degré de simplicité qu’il avait de les accepter au moment du contrôle en ligne du 3 juin 2021 et jusqu’à la mise en place d’un bouton " Tout refuser "le 28 février 2022. 
 
3. Sur le défaut d’information des personnes
78. Comme indiqué précédemment, l’article 82 de la loi Informatique et Libertés prévoit que " tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant : 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement […] .
 
79. Les lignes directrices de la CNIL du 17 septembre 2020 précitées, ayant pour objet de rappeler et d’expliciter le droit applicable, prévoient que " l’information doit être rédigée en des termes simples et compréhensibles par tous et qu’elle doit permettre aux utilisateurs d’être dûment informés des différentes finalités des traceurs utilisés […]. L’information doit être complète, visible et mise en évidence. Un simple renvoi vers les conditions générales d'utilisation ne saurait suffire "(§§ 22 et 23). La Commission ajoute que " A minima, la fourniture des informations suivantes aux utilisateurs, préalablement au recueil de leur consentement, est nécessaire pour assurer le caractère éclairé de ce dernier : […] la finalité des opérations de lecture ou écriture des données […] "(§24).
80. La rapporteure a relevé que, sur le bandeau figurant lors du contrôle en ligne effectué le 3 juin 2021, parmi les finalités poursuivies par les cookies figurent " des fins d’analyse et de marketing , sans plus de précisions. Selon elle, ces finalités n’étaient pas assez déterminées et précises pour considérer que l’information est conforme aux obligations découlant de l’article 82 la loi Informatique et Libertés. Le contrôle diligenté le 30 juin 2022 a mis en lumière que les sociétés ont ajouté un bouton " Tout refuser "sur leur bandeau cookies au premier niveau et ont complété l’information relative aux finalités. Néanmoins, la rapporteure a relevé que le bandeau modifié contenait une erreur matérielle (" Tu peux gestion des cookies à tout moment ). Par ailleurs, la rapporteure a noté que, dans le cadre de ce second contrôle, lorsque l’utilisateur cliquait sur " gestion des cookies "sur le bandeau qui lui était présenté à son arrivée sur le site " […] , une nouvelle fenêtre apparaissait avec une liste de " cookies d’analyse et de marketing . Une telle fenêtre avec une liste de cookies de " données analytiques et marketing "était également présente au moment du contrôle en ligne effectué le 3 juin 2021. La rapporteure a considéré que, si les sociétés offrent à l’utilisateur la possibilité d’exprimer leur consentement pour chaque cookie, il n’est toutefois pas indiqué quelle est la finalité poursuivie par chaque cookie (analyse ou marketing ou bien les deux à la fois),
plaçant ainsi l’utilisateur dans l’impossibilité de savoir exactement ce à quoi il consent. La rapporteure en a conclu que l’information fournie par les sociétés n’est donc pas suffisante et ne permettait pas à l’utilisateur de pouvoir donner un consentement libre et éclairé.