AgentPublic/cnil huggingface dataset:
114. En défense, les sociétés soutiennent d’abord recueillir valablement le consentement des utilisateurs pour le dépôt et/ou la lecture de cookies publicitaires sur leur terminal, grâce à la dernière étape du parcours de création de compte Google à partir de laquelle les utilisateurs sont invités à consentir à l’utilisation de cookies pour les finalités qui leur sont présentées. Ensuite, elles soutiennent que le parcours de création de compte Google a été mis en place conformément à l’avis n° 08/2024 du CEPD du 17 avril 2024 sur la validité du consentement dans le cadre des modèles " consentir ou payer " qui plaide en faveur du recours à des modèles moins intrusifs pour la vie privée des utilisateurs que les paywalls et prévoit l’exemple d’une alternative équivalente qui n’implique pas le versement d’une rémunération, à savoir une version gratuite mais comportant des annonces publicitaires génériques. Elles relèvent enfin que le fait d’exiger de fournir aux utilisateurs une information établissant un lien exprès entre la gratuité du service et l’acceptation de cookies publicitaires ne repose sur aucun fondement légal et, qu’en tout état de cause, ce lien est évident puisque l’utilisateur ne peut créer de compte sans accepter les cookies.
115. En outre, elles précisent avoir désactivé certains cookies publicitaires depuis septembre 2024.
1. Sur le déroulé du parcours de création d’un compte Google
116. La formation restreinte estime nécessaire de rappeler les différents parcours de création d’un compte Google ainsi que l’information communiquée aux utilisateurs afin d’apprécier la validité du consentement des utilisateurs aux dépôt et à la lecture de cookies publicitaires ainsi que la portée des modifications apportées par les sociétés en octobre 2023.
a. Le parcours de création de compte jusqu’en octobre 2023
117. La formation restreinte observe que dans le cadre des contrôles en ligne des 20 octobre 2022 et 20 avril 2023, la délégation a étudié le parcours utilisateur lors de la création d’un compte Google à son arrivée sur l’URL google.fr. Lorsqu’il clique directement sur le bouton " Se connecter " situé sur le bandeau cookies affiché sur la page à son arrivée, l’utilisateur peut créer un compte en cliquant sur " Créer un compte ". L’utilisateur doit ensuite choisir entre une " personnalisation " réalisée en une seule étape – intitulée " personnalisation express (1 étape) ", dont il est indiqué qu’elle implique la réception d’annonces personnalisées, et une " personnalisation manuelle " nécessitant cinq étapes – intitulée " personnalisation manuelle (5 étapes) ", dont il est indiqué qu’elle permet de désactiver la personnalisation des annonces.
118. L’utilisateur qui choisit la " personnalisation express (1 étape) " accède alors à une page intitulée " Confirmer les paramètres de personnalisation et les cookies ", mentionnant que des cookies sont utilisés pour " collecter des données pour : fournir et gérer des services, comme le suivi des indisponibilités et la protection contre le spam, la fraude et les abus ; […] Si vous acceptez, nous utiliserons aussi des cookies pour collecter des données pour : […] proposer des publicités personnalisées ou génériques, en fonction de vos paramètres, sur Google et sur le Web […] ". L’utilisateur peut soit cliquer sur " Confirmer " pour accepter les paramètres de personnalisation dont l’utilisation de cookies pour la réception d’annonces personnalisées, soit cliquer sur un bouton " Retour " lui permettant de revenir à l’étape précédente.
119. L’utilisateur qui choisit la " personnalisation manuelle (5 étapes) " doit choisir ses options de personnalisation à travers cinq écrans successifs : la première étape est relative à la personnalisation de l’activité de l’utilisateur sur le Web et les applications, la deuxième étape permet la personnalisation de la page d’accueil Youtube et la quatrième étape propose de recevoir des rappels occasionnels concernant la confidentialité des données. La troisième étape - intitulée " Activez le paramètre " Personnalisation des annonces " pour voir des annonces plus adaptées " - oblige l’utilisateur à choisir entre l’affichage d’annonces personnalisées ou génériques pour continuer sa navigation.
120. Puis à la cinquième étape l’utilisateur est informé que des cookies sont utilisés pour " collecter des données pour : fournir et gérer des services, comme le suivi des indisponibilités et la protection contre le spam, la fraude et les abus ; […] Si vous acceptez, nous utiliserons aussi des cookies pour collecter des données pour : […] proposer des publicités personnalisées ou génériques, en fonction de vos paramètres, sur Google et sur le Web […] ". Il est invité à confirmer ses choix, via un bouton " Confirmer " ou à revenir en arrière, via un bouton " Retour ".
b. Le parcours utilisateur à compter d’octobre 2023
121. La formation restreinte note qu’à partir d’octobre 2023, les sociétés ont modifié le parcours de " personnalisation express (1 étape) " désormais intitulé " sélection express (1 étape) " en y insérant les boutons " tout refuser " et " tout accepter ". Après avoir cliqué sur l’un ou l’autre des boutons précités, l’utilisateur accède à un écran de confirmation des paramètres, lui permettant soit de confirmer son choix – en cliquant sur le bouton " Confirmer " – soit de modifier son choix – en cliquant sur le bouton " Retour " qui le renvoie à l’étape précédente – et l’informant que des cookies sont utilisés pour " collecter des données pour : fournir et gérer des services, comme le suivi des indisponibilités et la protection contre le spam, la fraude et les abus ; […] Si vous acceptez, nous utiliserons aussi des cookies pour collecter des données pour : […] proposer des publicités personnalisées ou génériques, en fonction de vos paramètres, sur Google et sur le Web […] ".
122. Elle note que les sociétés ont également modifié le parcours de " personnalisation manuelle " désormais intitulé " sélection manuelle (4 étapes) ". Celui-ci permet toujours à l’utilisateur de choisir ses options de personnalisation à travers cinq écrans successifs. La formation restreinte relève que les modifications opérées ne portent pas sur le contenu des pages 3 et 5 qui sont celles liées aux annonces.
123. Ainsi, la troisième étape de la " sélection manuelle (4 étapes) " intitulée " Activez le paramètre " Personnalisation des annonces " pour voir des annonces plus adaptées ", demande toujours à l’utilisateur de choisir entre l’affichage d’annonces personnalisées ou génériques. Il est toujours précisé que les annonces sont soit personnalisées en fonction des activités ou d’autres données propres à l’utilisateur, soit génériques – c’est-à-dire qu’elles sont basées sur des facteurs généraux, tels que la position de l’utilisateur ou encore le contenu de la page consultée par celui-ci.
124. Arrivé à la cinquième étape, l’utilisateur est toujours invité à confirmer ses choix via un bouton " Confirmer " ou à revenir en arrière, via un bouton " Retour ". C’est toujours seulement à cette étape qu’il est informé que des cookies sont utilisés pour " proposer des services et nous assurer qu’ils fonctionnent correctement, par exemple en effectuant le suivi des interruptions de service et en vous protégeant contre le spam, la fraude et les abus ; […] Si vous acceptez, nous utiliserons aussi des cookies pour […] améliorer la qualité du service et en développer de nouveaux […] proposer des contenus personnalisées en fonction de vos paramètres ; proposer des publicités personnalisées ou génériques, en fonction de vos paramètres, sur Google et sur le Web […] ".
2. Sur la caractérisation du manquement à l’article 82 de la loi Informatique et Libertés
125. A titre liminaire, la formation restreinte constate que les parcours utilisateurs décrits ci-dessus – tant avant qu’après octobre 2023 – ne permettent pas à l’utilisateur de refuser le dépôt de cookies liés à l’affichage de publicités. L’utilisateur ne peut choisir qu’entre le dépôt de cookies permettant soit l’affichage de publicités personnalisées soit l’affichage de publicités génériques. Elle rappelle que les cookies liés à l’affichage de publicités ne font pas partie des cookies exemptés de consentement au titre de l’article 82 de la loi Informatique et Libertés dans la mesure où ils n’ont pas pour finalité exclusive de permettre ou faciliter la communication par voie électronique, ni ne sont strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.
126. Par une décision du 19 juin 2020, le Conseil d’Etat a jugé que l’exigence d’un consentement libre ne pouvait pas justifier une interdiction générale de la pratique des " murs de traceurs ", la liberté du consentement des personnes devant être appréciée au cas par cas, en tenant compte notamment de l’existence d’alternative réelle et satisfaisante proposée en cas de refus des cookies (CE, 10ème et 9ème chambre réunies, Association des agences-conseils en communication, 19 juin 2020, n° 434684).
127. La formation restreinte observe que si le fait de lier l’utilisation d’un service à l’inscription de cookies non strictement nécessaires à la fourniture du service fourni, pratique qui est assimilable à un mur de traceurs (cookie wall), n’est pas en soi illégal, c’est à la condition que le consentement soit libre – ce qui implique que tant le refus du consentement que son retrait n’entrainent pas de préjudice pour l’utilisateur. Dans cette perspective, la liberté du consentement doit être appréciée en tenant notamment compte de l’existence d’alternatives réelles et satisfaisantes.
128. Elle relève ainsi que dès 2020, la notion d’alternative équivalente était évoquée dans le cadre de l’affaire précitée devant le Conseil d’État et portant sur les murs de traceurs (cookie wall). Le Rapporteur public indiquait ainsi que " La clé nous paraît résider dans la nature du besoin que l’utilisateur cherche à satisfaire et, surtout, dans l’existence, la disponibilité et l’accessibilité d’alternatives raisonnables permettant d’atteindre un résultat équivalent. ". Le Rapporteur public indiquait également que cette notion d’alternative reprenait la position du CEPD dans son avis n° 1/2017 (WP 247) du 4 avril 2017 sur la proposition de règlement ePrivacy. Le CEPD indiquait en effet que " L’existence d’un libre choix pour les personnes concernées pourrait également être appréciée en fonction de l’existence d’alternatives. Dans le cadre des " services gratuits ", le Groupe de travail a déjà reconnu que " tant que ces autres services ne sont pas disponibles, il est plus difficile de prétendre qu’un consentement valide (donné librement) a été obtenu ". Ce qui est considéré comme une alternative dans ce contexte pourrait dépendre, entre autres, de la position du fournisseur sur le marché ou de l’existence véritable de choix équivalents pour la personne concernée " (§60).
129. La formation restreinte considère que les organismes décidant de recourir à un mur de traceurs (cookie wall), doivent démontrer que celui-ci est justifié dans la mesure où il a pour objectif de préserver un équilibre économique entre le fait de proposer un service et le coût de celui-ci.
130. En l’espèce, la formation restreinte relève qu’il ressort des pièces du dossier que le service Gmail est un service de messagerie électronique fourni sans contrepartie financière aux titulaires d’un compte Google et sa maintenance et son développement sont financés par les recettes publicitaires du groupe GOOGLE, lesquelles sont donc intrinsèquement liées au dépôt de cookies.
131. Dans ces conditions, elle considère que le fait pour les sociétés de conditionner l’accès au service Gmail au dépôt de cookies n’est pas illégal, pour autant que les conditions de validité du consentement énoncés précédemment soient respectées.
132. En l’espèce, la formation restreinte relève que les parcours de création d’un compte Google proposent aux utilisateurs le dépôt de cookies relatifs à deux modèles de publicités ayant des impacts très différents sur le traitement de données à caractère personnel des personnes concernées. Or, comme développé aux points 109 et 110 de la présente délibération, compte tenu de ce que la publicité personnalisée est beaucoup plus intrusive en termes de collecte de données personnelles et de profilage que la publicité dite générique ou contextuelle, il convient notamment de vérifier que le choix de l’utilisateur n’est pas biaisé en faveur de la publicité personnalisée pour s’assurer du caractère libre du consentement donné par ce dernier.
a) Sur le caractère libre du consentement
133. En premier lieu, s’agissant du caractère libre du consentement, la formation restreinte observe qu’avant les modifications apportées en octobre 2023, en cliquant sur le parcours de " personnalisation express (1 étape) ", puis sur le bouton " Confirmer ", deux clics suffisaient à l’utilisateur créant un compte Google pour accepter le dépôt et/ou l’écriture de cookies permettant l’affichage de publicité personnalisée dans son terminal. Or, dans le cas où l’utilisateur souhaitait refuser la personnalisation des annonces via ces cookies, il devait nécessairement effectuer six clics pour opter en faveur de la publicité générique, en basculant vers le parcours de " personnalisation manuelle ", composé de cinq étapes (décrites au § 112).
134. La formation restreinte estime que le fait de rendre le mécanisme de refus des cookies liés à la personnalisation des annonces plus complexe que celui consistant à les accepter revient en réalité à décourager les utilisateurs de refuser ces cookies et à les inciter à privilégier la facilité du bouton " Confirmer ". En effet, le fait de devoir cliquer sur " personnalisation manuelle " et comprendre la façon dont est construit le parcours en cinq étapes permettant de refuser les cookies liés à la personnalisation des annonces, est susceptible de décourager l’utilisateur qui souhaiterait pourtant refuser le dépôt de ces cookies mais qui va choisir l’option lui permettant d’accéder le plus rapidement au service. Il n’est pas contesté qu’en l’espèce, les sociétés offraient un choix entre l’acceptation ou le refus des cookies liés à la personnalisation des annonces, mais la formation restreinte considère que les modalités par lesquelles ce refus pouvait être exprimé dans le contexte de création d’un compte Google biaisaient l’expression du choix en favorisant le consentement au dépôt de cookies permettant la publicité personnalisée, altérant ainsi la liberté de choix.
135. La formation restreinte relève que dans sa sanction n°SAN-2021-023 du 31 décembre 2021 précitée concernant les deux sociétés, elle avait déjà rappelé le principe selon lequel lorsqu’un responsable de traitement offre aux utilisateurs deux options différentes emportant des conséquences en matière de traitement de données à caractère personnel, les modalités d’expression de son choix, notamment en termes de nombre d’actions à effectuer pour chacune des options, doivent être équivalentes.
136. En second lieu, la formation restreinte note qu’à partir d’octobre 2023, les sociétés ont modifié le parcours utilisateur et qu’il est désormais possible de refuser la personnalisation des annonces aussi facilement que de l’accepter grâce à l’insertion des boutons " tout refuser " et " tout accepter " sur le parcours de " personnalisation express (1 étape) " désormais intitulé " sélection express (1 étape) ". Elle considère que le caractère libre du consentement ne fait plus défaut depuis cette date.
137. Au regard de ce qui précède, la formation restreinte considère qu’un manquement aux dispositions de l’article 82 de la loi Informatique et Libertés, interprétées à la lumière du RGPD, est constitué, dans la mesure où le consentement n’était pas libre jusqu’en octobre 2023, puisque l’utilisateur n’avait pas la possibilité de refuser le dépôt et/ou la lecture de cookies liés à la personnalisation des annonces avec le même degré de simplicité qu’il avait de les accepter.
b) Sur le caractère éclairé du consentement
138. La formation restreinte observe que l’ensemble du parcours utilisateur mis en place par les sociétés que ce soit avant ou après octobre 2023, est incompatible avec les caractéristiques d’un consentement valide, celui-ci n’étant pas éclairé. Elle note qu’à l’exception de certains intitulées d’étapes et de quelques phrases reformulées, le contenu des informations transmises à l’utilisateur demeure inchangé.
139. Comme rappelé dans l’avis du CEPD précité, les personnes concernées doivent avoir une compréhension complète et claire de la valeur, de la portée et des conséquences des différents choix qui s’offrent à elles, et il y a lieu d’éviter toute forme de conception trompeuse ou manipulatrice conformément au principe de loyauté.
140. Sur ce point, la formation restreinte relève que les parcours présentent plusieurs défaillances majeures.
141. Tout d’abord, quels que soient la période et le parcours étudié, elle relève qu’à aucun moment les sociétés n’indiquent aux utilisateurs de manière explicite que la création d’un compte Google implique nécessairement le dépôt de cookies à finalité publicitaire. Ainsi, s’agissant du parcours " personnalisation express (1 étape) ", si les deux pages affichées successivement à l’utilisateur comporte des mentions liées aux caractéristiques de chacune des formes de publicités affichées grâce aux cookies, telles que les catégories de données collectées à cette fin, elles ne contiennent aucune information sur le fait que l’accès au service est conditionné par le dépôt de cookies. Le constat est similaire s’agissant des pages affichées dans le cadre du parcours manuel, que ce soit avant ou après octobre 2023.
142. Or, le fait pour la personne concernée de savoir qu’il est impossible d’accéder aux services Google sans que des cookies ne soient déposés sur son terminal est une information fondamentale qui doit être portée à sa connaissance de manière claire afin qu’elle puisse décider, en toute connaissance de cause, de finaliser ou non la création de son compte. A défaut d’avoir une compréhension complète et claire des traitements mis en œuvre, de leur portée et, par conséquent, des conséquences des différents choix qui s’offrent à elle, la formation restreinte considère que le consentement donné n’est pas éclairé et, dès lors, pas valide.
143. Dans le cadre des parcours " personnalisation manuelle (5 étapes)" et " Sélection manuelle (4 étapes) ", la formation restreinte considère que ce n’est que de façon largement implicite que les sociétés présentent le recours aux cookies comme étant consubstantiel au service Gmail, alors qu’aucun refus global des cookies n’est possible. En effet, la formation restreinte observe que les informations susceptibles de faire comprendre à l’utilisateur que le service est conditionné à l’acceptation des cookies sont réparties dans deux étapes distinctes et qu’il revient à l’utilisateur d’établir le lien entre ces deux étapes pour comprendre qu’il n’a d’autre choix que celui d’accepter les cookies lorsqu’il crée un compte Google. Ce n’est qu’en parvenant à l’étape n° 5, présentée comme une étape de récapitulation et confirmation des choix, que les sociétés font état du lien entre l’utilisation de cookies et l’affichage de publicités, personnalisées ou génériques. Cette information est donc fournie tardivement à l’utilisateur puisqu’il aura déjà obligatoirement exprimé son choix entre l’affichage de publicités génériques ou personnalisées à l’étape n° 3 intitulée " Personnalisation des annonces ", sans être dès ce stade en mesure d’appréhender les implications de ce choix sur les cookies qu’il devra accepter. A cet égard, la formation restreinte relève qu’il n’est jamais clairement indiqué à l’utilisateur qu’il se trouve en présence d’un mur de traceurs (cookie wall).
144. La formation restreinte considère que si la multiplicité des paramètres proposés à l’utilisateur lorsqu’il crée un compte Google peut justifier une présentation du parcours en plusieurs étapes, cette circonstance ne saurait aucunement justifier le manque d’intelligibilité des informations fournies et de la portée des choix qui s’offrent à elle.
145. Elle relève que ce manque de clarté entourant l’utilisation des cookies est renforcé par le choix des termes employés dans ce parcours. En effet, à l’étape n°5, il est indiqué " […] Si vous acceptez, nous utiliserons aussi des cookies pour collecter des données pour : […] proposer des publicités personnalisées ou génériques, en fonction de vos paramètres, sur Google et sur le Web […] ". Or, l’emploi des termes " Si vous acceptez " en début de phrase devrait logiquement impliquer qu’il est possible de refuser l’ensemble des cookies liés à la publicité. Pourtant, comme démontré auparavant, les sociétés n’offrent pas la possibilité de refuser l’entièreté des cookies.
146. La formation restreinte considère qu’une présentation plus claire des deux options proposées, à l’aide de termes dénués de toute ambiguïté, aurait été conforme aux exigences et compatible avec le parcours utilisateur mis en place par les sociétés. Les sociétés auraient par exemple pu afficher au sein de leurs parcours, une étape comportant deux options telles que :
- créer gratuitement un compte en acceptant le dépôt et / ou la lecture des cookies afin de vous proposer des publicités et contenu personnalisés,
- créer gratuitement un compte en acceptant le dépôt et / ou la lecture des cookies ne permettant que l’affichage de publicités génériques.
147. Plutôt que d’opter pour un mur de traceurs (cookie wall), dénué de toute ambiguïté pour les personnes concernées, leur permettant de donner un consentement éclairé au dépôt de cookies à des fins publicitaires et de choisir entre deux alternatives claires – publicités personnalisées ou génériques – les sociétés ont opté pour un parcours complexe et ambigu.
148. Ensuite, la formation restreinte note que les informations fournies incitent l’utilisateur à choisir la publicité personnalisée au détriment de la publicité générique.
149. Par exemple, au sein du parcours " Sélection manuelle (1 étape) " " après les modifications d’octobre 2023, la formation restreinte observe qu’au sein de la page intitulée " Sélectionnez vos paramètres ", une très large place est consacrée à la présentation de la personnalisation des services Google, dont les annonces personnalisées, et aux avantages qu’elle représente. En effet, les sociétés mettent en avant le fait que les annonces seront plus pertinentes et que les utilisateurs pourront contrôler les informations utilisées à cette fin. A l’inverse, la formation restreinte relève que cette page ne contient aucune information sur la publicité générique. Or, c’est à la fin de cette étape que l’utilisateur est invité à exprimer son choix, lequel sera nécessairement fait à la lumière des informations qui viennent de lui être fournies. Elle note encore qu’à la page suivante, intitulée " Confirmer vos paramètres ", la publicité générique est présentée en une phrase expliquant quelles données sont utilisées à cette fin. Ainsi, compte tenu du net déséquilibre dans la présentation des deux types de publicités, la formation restreinte considère que le consentement recueilli ne peut pas être qualifié d’éclairé.