AgentPublic/cnil huggingface dataset:
112. En deuxième lieu, la formation restreinte avait également relevé, dans sa délibération précitée, que malgré la participation non contestable de la société [Y] aux différentes étapes et instances liées à la définition des modalités de mise en œuvre des cookies déposés sur [V], l’organisation matricielle décrite par les sociétés […] a mis en évidence que la société [X] est également représentée dans les organes adoptant les décisions relatives au déploiement des produits au sein de l’EEE et en Suisse et aux traitements de données à caractère personnel des utilisateurs y résidant et qu’elle y exerce une influence significative ou encore que le délégué à la protection des données désigné par la société [Y] […] ainsi que ses DPO adjoints sont basés en Californie en qualité d’employés de la société [X] .
113. En troisième lieu, la formation restreinte avait considéré que, bien qu’en vertu d’une lecture formelle du contrat de sous-traitance du 11 décembre 2018, la société [X] agirait en qualité de sous-traitant de la société [Y] dans le traitement des données des utilisateurs européens recueillies via les cookies, l’implication réelle de la société [X] dans le traitement en cause va bien au-delà de celle d’un sous-traitant qui se contenterait de procéder à des opérations de traitement pour le compte de la société [Y] et sur ses seules instructions .
114. Au vu des éléments au dossier, la formation restreinte maintient que la société [X] joue un rôle fondamental dans l’ensemble du processus décisionnel portant sur les traitements en cause. Elle détermine également les moyens des traitements étant donné que, comme évoqué ci-avant, c’est elle qui conçoit et construit la technologie des cookies déposés sur les terminaux des utilisateurs européens. La formation restreinte relève que, si elle ne s’était prononcée que s’agissant du moteur de recherche [V] dans sa délibération n° SAN-2020-012 du 7 décembre 2020, elle considère que le même raisonnement est applicable, sur la base de ces mêmes éléments, pour [W], notamment dans la mesure où, lorsque l’utilisateur clique sur Règles de confidentialité et conditions d’utilisation à partir de [W].com , il est renvoyé vers les règles de confidentialité et conditions d’utilisation du groupe [V].
115. Il résulte de l’ensemble de ce qui précède que les sociétés [X] et [Y] déterminent conjointement les finalités et les moyens du traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du moteur de recherche [V] et de [W].
G. Sur le manquement aux obligations en matière de cookies
116. Aux termes de l’article 82 de la loi Informatique et Libertés , tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant : 
1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; 
2° Des moyens dont il dispose pour s'y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. […] .
117. La directive ePrivacy prévoit quant à elle en son article 2, f), que le consentement d’un utilisateur ou d’un abonné correspond au consentement de la personne concernée figurant dans la directive 95/46/CE, à laquelle s’est substitué le RGPD. 
118. Ainsi, depuis l’entrée en application du RGPD, le consentement prévu à l’article 82 précité doit s’entendre au sens de l’article 4, paragraphe 11, du RGPD, c’est-à-dire qu’il doit être donné de manière libre, spécifique, éclairée et univoque et se manifester par un acte positif clair.
119. À cet égard, le considérant 42 de ce Règlement prévoit que : le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d'une véritable liberté de choix ou n'est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice .
120. En l’espèce, dans le cadre du contrôle en ligne du 1er juin 2021, la délégation a constaté que, pour donner son consentement à la lecture et/ou à l’écriture d’informations dans son terminal, l’utilisateur se rendant sur la page d’accueil des sites [V].fr et [W].com doit uniquement cliquer sur le bouton J’accepte de la fenêtre surgissante, ce qui fait disparaître cette fenêtre et lui permet de poursuivre sa navigation. En revanche, l’utilisateur se rendant sur ces mêmes pages d’accueil et souhaitant refuser les cookies doit cliquer sur le bouton Personnaliser de cette première fenêtre, ce qui le fait accéder, à la fois sur les sites [V].fr et [W].com , à une interface lui proposant de choisir d’activer ou de désactiver les cookies, sur laquelle il a la possibilité d’effectuer différentes actions.
121. La rapporteure relève, à titre d’éclairage, qu’aux termes de ses lignes directrices 5/2020 sur le consentement au sens du Règlement (UE) 2016/679, adoptées le 4 mai 2020, le CEPD a rappelé que l’adjectif libre implique un choix et un contrôle réel pour les personnes concernées (§13).
122. De même, dans le cadre de sa délibération n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux cookies et autres traceurs , la Commission a considéré, compte tenu des textes applicables précités, que le responsable de traitement doit offrir aux utilisateurs tant la possibilité d’accepter que de refuser les opérations de lecture et/ou d’écriture avec le même degré de simplicité .
123. Sur le fondement des constatations effectuées dans le cadre du contrôle en ligne, la rapporteure observe ainsi que, si le bandeau affiché sur les sites [V].fr et [W].com contient un bouton permettant d’accepter immédiatement les cookies, aucun moyen analogue n’est offert à l’utilisateur pour pouvoir refuser, aussi facilement, le dépôt de ces cookies. Pour refuser les cookies, il doit effectuer au moins cinq actions (le premier clic sur le bouton Personnaliser , puis un clic sur chacun des trois boutons pour sélectionner Désactivé - chaque bouton correspondant à la personnalisation de la recherche , l’ historique [W] et la personnalisation des annonces - et enfin un clic sur Confirmer ), contre une seule action pour les accepter. Un tel mécanisme ne présente donc pas, selon la rapporteure, la même facilité que celle permettant d’exprimer son consentement, en méconnaissance des exigences légales de liberté du consentement, qui impliquent de ne pas inciter l’internaute à accepter les cookies plutôt qu’à les refuser. Elle considère ainsi que rendre le mécanisme de refus des cookies plus complexe que celui consistant à les accepter, revient en réalité à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton j’accepte . La rapporteure en conclut que les modalités de refus des cookies mises en œuvre par les sociétés [X] et [Y] sur les sites [V].fr et [W].com ne sont pas conformes aux dispositions de l’article 82 de la loi
Informatique et Libertés telles qu’éclairées par les exigences renforcées en matière de consentement posées par le RGPD.
124. Les sociétés considèrent que ni la directive ePrivacy , ni le RGPD, ni l’article 82 de la loi Informatique et Libertés ne prévoient que l’action de refuser les cookies doit être aussi simple que de les accepter. Elles ajoutent que, pendant de nombreuses années, la CNIL n’avait elle-même pas déduit ce principe alors même que la réglementation en cause demeurait inchangée depuis l’entrée en application du RGPD. Elles relèvent que la CNIL ne saurait, au travers de ses lignes directrices et recommandation, introduire de nouvelles exigences relatives au refus de consentement et considèrent qu’il appartient à chaque responsable de traitement de choisir la modalité de recueil du consentement la plus appropriée. En cela, les sociétés considèrent que le mécanisme de recueil du consentement mis en place sur les sites [V].fr et [W].com respecte d’ores et déjà les dispositions de l’article 82 de la loi Informatique et Libertés . Les sociétés considèrent que le fait de ne pas proposer, au premier niveau d’information, un bouton Tout refuser n’est pas contraire au principe de liberté du consentement dans la mesure où les utilisateurs ont bien la possibilité de refuser les cookies en cliquant sur le bouton Personnaliser .
125. En premier lieu, la formation restreinte rappelle qu’en application de l’article 8 I, 2°, b) de la loi Informatique et Libertés , la CNIL établit et publie des lignes directrices, recommandations ou référentiels destinés à faciliter la mise en conformité des traitements de données à caractère personnel avec les textes relatifs à la protection des données à caractère personnel […] .
126. C’est dans ce cadre que la CNIL a pris la délibération n° 2019-093 du 4 juillet 2019 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture ou écriture dans le terminal d’un utilisateur (notamment aux cookies et autres traceurs), qui prévoyait en son article 2, qu’il doit être aussi facile de refuser ou de retirer son consentement que de le donner ; puis les délibérations n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et/ou d’écriture dans le terminal d’un utilisateur (notamment aux cookies et autres traceurs ) et n° 2020-092 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux cookies et autres traceurs . Ces instruments visent à interpréter les dispositions législatives applicables et à éclairer les acteurs sur la mise en place de mesures concrètes permettant de garantir le respect de ces dispositions, afin qu’ils mettent en œuvre ces mesures ou des mesures d’effet équivalent. En ce sens, il est précisé dans les lignes directrices que celles-ci ont pour objet principal de rappeler et d’expliciter le droit applicable aux opérations de lecture et/ou d’écriture d’informations […] dans l’équipement terminal de communications électroniques de l’abonné ou de l’utilisateur, et notamment à l’usage
des témoins de connexion .
127. Comme indiqué ci-avant, la Commission a considéré, dans le cadre de sa recommandation du 17 septembre 2020, que le responsable de traitement doit offrir aux utilisateurs tant la possibilité d’accepter que de refuser les opérations de lecture et/ou d’écriture avec le même degré de simplicité .
128. S’agissant des modalités de refus possibles, dans cette même recommandation, la Commission a préconisé fortement que le mécanisme permettant d’exprimer un refus de consentir aux opérations de lecture et/ou d’écriture soit accessible sur le même écran et avec la même facilité que le mécanisme permettant d'exprimer un consentement. En effet, elle estime que les interfaces de recueil du consentement qui nécessitent un seul clic pour consentir au traçage tandis que plusieurs actions sont nécessaires pour paramétrer un refus de consentir présentent, dans la plupart des cas, le risque de biaiser le choix de l’utilisateur, qui souhaite pouvoir visualiser le site ou utiliser l’application rapidement.
Par exemple, au stade du premier niveau d’information, les utilisateurs peuvent avoir le choix entre deux boutons présentés au même niveau et sur le même format, sur lesquels sont inscrits respectivement tout accepter et tout refuser , autoriser et interdire , ou consentir et ne pas consentir , ou toute autre formulation équivalente et suffisamment claire. La Commission considère que cette modalité constitue un moyen simple et clair pour permettre à l’utilisateur d’exprimer son refus aussi facilement que son consentement .
129. La formation restreinte considère que la CNIL s’est bornée, dans sa recommandation évoquée ci-dessus, à éclairer les obligations prévues par les législateurs français et européen, en tirant notamment toutes les conséquences du principe de liberté du consentement tel que défini à l’article 4, paragraphe 11, du RGPD, et en les appliquant aux hypothèses de l’acceptation et du refus par l’utilisateur au dépôt de cookies sur son terminal. En effet, ce principe de liberté du consentement implique désormais que l’utilisateur bénéficie d’une véritable liberté de choix , comme souligné au considérant 42 du RGPD, et donc que les modalités qui lui sont proposées pour manifester ce choix ne soient pas biaisées en faveur du consentement. Ainsi que le CEPD l’a rappelé dans ses lignes directrices sur le consentement, adoptées le 4 mai 2020, l’adjectif libre implique un choix et un contrôle réel pour les personnes concernées.
130. Il apparaît ainsi que la CNIL n’a pas créé dans sa recommandation de nouvelles obligations à la charge des acteurs mais s’est bornée à illustrer concrètement comment l’article 82 de la loi doit trouver à s’appliquer. 
131. En deuxième lieu, la formation restreinte relève que la position de la CNIL sur ce point, selon laquelle il doit être aussi simple pour les utilisateurs de refuser les cookies que d’y consentir, figurait déjà à l’article 2 des lignes directrices du 4 juillet 2019 - abrogées par celles du 17 septembre 2020 - et qu’elle a été entérinée par le Conseil d’État. En effet, saisi d’un recours pour excès de pouvoir formé contre ces premières lignes directrices, le Conseil d’État a jugé, dans sa décision Association des agences-conseils en communication, que la CNIL qui, en indiquant qu’il devait "être aussi facile de refuser ou de retirer son consentement que de le donner", s’est bornée à caractériser les conditions du refus de l’utilisateur, sans définir de modalités techniques particulières d’expression d’un tel refus, n’a entaché sa délibération d’aucune méconnaissance des règles applicables en la matière (CE, 19 juin 2020, n° 434684, T., pt 15).
132. La formation restreinte considère que cette lecture s’impose d’autant plus au regard des conclusions du rapporteur public sur cet arrêt, lequel relevait : Comme l’indique la CNIL, les lignes directrices attaquées n’imposent aucune modalité technique de recueil de ce refus. Elles se bornent à exiger, de manière générale et à juste titre, qu’il ne soit pas plus compliqué de refuser que d’accepter (CE, conclusions du rapporteur public sur l’arrêt n° 434684, p. 17).
133. En troisième lieu, la formation relève qu’en l’espèce, les utilisateurs résidant en France se rendant sur le moteur de recherche [V] et/ou sur [W] doivent effectuer une seule action pour accepter les cookies, alors qu’ils doivent en effectuer cinq pour les refuser. Il n’est donc pas aussi simple de refuser les cookies que de les accepter. 
134. Or, il ressort de plusieurs études récentes que les organismes ayant mis en place un bouton tout refuser sur l’interface de recueil du consentement au premier niveau ont vu le taux de consentement relatif à l’acceptation des cookies diminuer. Ainsi, selon le baromètre Privacy – édition 2021 publié par la société COMMANDERS ACT, le taux de consentement sur ordinateur est passé de 70% à 55% en avril-mai 2021, depuis que la collecte du consentement est explicite. De même, selon une étude 366-Kantar, il apparaît que 41% des internautes en France ont refusé, systématiquement ou partiellement, le dépôt de cookies en juin 2021.
135. La formation restreinte considère ainsi que le fait de rendre le mécanisme de refus des cookies plus complexe que celui consistant à les accepter revient en réalité à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton Tout accepter . En effet, un utilisateur d’internet est généralement conduit à consulter de nombreux sites. La navigation sur internet se caractérise par sa rapidité et sa fluidité. Le fait de devoir cliquer sur Personnaliser et de devoir comprendre la façon dont est construite la page permettant de refuser les cookies est susceptible de décourager l’utilisateur, qui souhaiterait pourtant refuser le dépôt des cookies. Il n’est pas contesté qu’en l’espèce, les sociétés offrent un choix entre l’acceptation ou le refus des cookies, mais les modalités par lesquelles ce refus peut être exprimé, dans le contexte de la navigation sur internet, biaise l’expression du choix en faveur du consentement de façon à altérer la liberté de choix.
136. Au regard de ce qui précède, la formation restreinte considère qu’un manquement aux dispositions de l’article 82 de la loi Informatique et Libertés , interprétées à la lumière du RGPD, est constitué, dans la mesure où les sociétés ne mettent pas à disposition des utilisateurs situés en France, sur les sites internet [V].fr et [W].com , un moyen de refuser les opérations de lecture et/ou d’écriture d’informations dans leur terminal présentant le même degré de simplicité que celui prévu pour en accepter l’usage.
III. Sur les mesures correctrices et la publicité
137. L’article 20, paragraphe III, de la loi Informatique et Libertés dispose : Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […]
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'Etat, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […] 
7° A l'exception des cas où le traitement est mis en œuvre par l'Etat, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. […] La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 .
138. L’article 83 du RGPD, tel que visé par l’article 20, paragraphe III, de la loi Informatique et Libertés , prévoit quant à lui que Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives , avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
A. Sur le prononcé d’amendes administratives et leur montant
139. Les sociétés font valoir que le montant des amendes proposées par la rapporteure est imprévisible, disproportionné et injustifié. Elles contestent le fait que, contrairement à d’autres autorités administratives françaises ou européennes disposant d’un pouvoir de sanction, la CNIL n’a pas fourni de lignes directrices pour le calcul de ses amendes. Les sociétés ajoutent par ailleurs que la rapporteure n’explique pas la répartition du montant de l’amende entre [X] et [Y].
140. En outre, les sociétés soutiennent qu’en refusant d’engager des discussions avec elles, la rapporteure les a privées de la possibilité de coopérer avec la CNIL, et, partant, de se prévaloir de la circonstance atténuante de l’article 83-2 f) du RGPD pour réduire le montant de l’amende.
141. La formation restreinte rappelle, à titre général, que l’article 20, paragraphe III, de la loi Informatique et Libertés lui donne compétence pour prononcer diverses sanctions, notamment des amendes administratives dont le montant maximal peut être, en l’espèce, équivalant à 2 % du chiffre d'affaires annuel mondial total de l’exercice précédent réalisé par le responsable de traitement. Elle ajoute que la détermination du montant de ces amendes s’apprécie au regard des critères précisés par l’article 83 du RGPD.
142. La formation restreinte relève que le rapporteur n’est pas tenu de préciser la manière dont les amendes qu’elle propose à la formation restreinte sont calculées. Le Conseil d’État a d’ailleurs jugé que la formation restreinte n’était pas soumise à cette obligation (CE, 10e/9e, 19 juin 2020, req. n° 430810). La formation restreinte relève que les juridictions européennes partagent cette position, puisqu’elles ont déjà jugé qu’ il n’incomb[e] pas à la Commission au titre de l’obligation de motivation, d’indiquer dans sa décision les éléments chiffrés relatifs au mode de calcul des amendes (arrêt de la Cour du 16 novembre 2000, Stora Kopparbergs Bergslags/Commission, C‑286/98 P, Rec. p. I‑9925, point 66). La jurisprudence exige uniquement que la formation de sanction fasse apparaître de façon claire et détaillée le raisonnement qu’elle a suivi, permettant ainsi à la requérante de connaître les éléments d’appréciation pris en compte pour mesurer la gravité de l’infraction aux fins du calcul du montant de l’amende et au Tribunal d’exercer son contrôle (arrêt du Tribunal de première instance, troisième chambre, 8 juillet 2008, BPB plc contre Commission des Communautés européennes, arrêt ECLI:EU:T:2008:254, paragraphe 337, recueil de la jurisprudence 008 II-01333). Cette position est justifiée, d’une part, par le fait que les amendes constituent un instrument de la politique d’une institution qui doit pouvoir disposer d’une marge d’appréciation dans la fixation de leur montant
afin d’orienter le comportement des entreprises dans le sens du respect des règles et, d’autre part, parce qu’ il importe d’éviter que les amendes ne soient facilement prévisibles par les opérateurs économiques. En effet, si la Commission avait l’obligation d’indiquer dans sa décision les éléments chiffrés relatifs au mode de calcul du montant des amendes, il serait porté atteinte à l’effet dissuasif de celles-ci. Si le montant de l’amende était le résultat d’un calcul obéissant à une simple formule arithmétique, les entreprises auraient la possibilité de prévoir l’éventuelle sanction et de la comparer aux bénéfices qu’elles tireraient de l’infraction aux règles du droit .
143. En premier lieu, la formation restreinte souligne qu’il convient, en l’espèce, de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2, du RGPD relatif à la gravité du manquement compte tenu de la nature, de la portée du traitement et du nombre de personnes concernées par ce dernier.
144. La formation restreinte relève que, si les sociétés [Y] et [X] ont refusé de communiquer la volumétrie du nombre de visiteurs uniques à partir des sites [V].fr et [W].com au cours des douze derniers mois depuis la France, il ressort des chiffres disponibles sur internet qu’en juin 2020, [V] comptait plus de […] millions de visiteurs uniques résidant en France par mois et [W] plus de […] millions (communiqué de presse […] publié sur le site web de […]). Le nombre de personnes concernées par les traitements en cause est ainsi extrêmement important à l’échelle de la population française.