AgentPublic/cnil huggingface dataset:
180. En l’espèce, la formation restreinte rappelle que le fait de recueillir le consentement des personnes concernées pour réaliser des opérations de prospection commerciale par voie électronique est clairement exigé par la législation, tant nationale qu’européenne, depuis de nombreuses années, la directive ePrivacy a ainsi été transposée en droit français en 2004. Cette exigence a en outre été rappelée par la CNIL à plusieurs reprises, tant à travers les publications sur son site web que par les multiples décisions rendues par sa formation restreinte en la matière.
181. En outre, la formation restreinte relève que l’arrêt en cause a été publié près d’un an avant les opérations de contrôle et qu’il est extrêmement clair : l’affichage dans la boîte de réception de l’utilisateur d’un service de messagerie électronique de messages publicitaires sous une forme qui s’apparente à celle d’un véritable courrier électronique et au même emplacement que ce dernier constitue une " utilisation [...] de courrier électronique à des fins de prospection directe " et n’est autorisé qu’à condition que ledit utilisateur ait été informé de manière claire et précise des modalités de diffusion d’une telle publicité et ait manifesté son consentement de manière spécifique et en pleine connaissance de cause à recevoir de tels messages publicitaires (point 63 de la décision).
182. La formation restreinte observe que l’arrêt rendu par la CJUE le 25 novembre 2021 a fait l’objet d’un communiqué de presse. Elle relève que l’intitulé de ce communiqué était particulièrement clair sur la portée de l’arrêt : " Inbox advertising : l’affichage dans la boîte de réception électronique de messages publicitaires sous une forme qui s’apparente à celle d’un véritable courrier électronique constitue une utilisation de courrier électronique à des fins de prospection directe au sens de la directive 2002/58 ". Au vu de ces éléments, il ne saurait dès lors être considéré que les règles applicables n’étaient pas prévisibles pour les sociétés.
183. Il appartenait ainsi aux sociétés, qui disposent des moyens matériels, humains et techniques pour assurer leur mise en conformité, d’adapter le cas échéant leurs pratiques.
184. Elle relève enfin que le principe de légalité ne proscrit pas " la clarification graduelle des règles de la responsabilité pénale par l’interprétation judiciaire […] " (CEDH, 22 nov. 1995, S.W. et C.R. c. Royaume-Uni, requête n° 20166/92) et que " Dans un domaine couvert par le droit écrit, la "loi" est le texte en vigueur tel que les juridictions compétentes l’ont interprété en ayant égard, au besoin, à des données techniques nouvelles. " (CEDH, 24 avril 1990, Kruslin c. France, requête n°11801/85).
185. Il apparait dès lors que les éléments constitutifs du manquement reproché aux sociétés sont définis de façon précise et complète et qu’il ne peut, dans ces conditions, être soutenu que le prononcé d’une sanction méconnaîtrait le principe de légalité des délits et des peines.
2. Sur la caractérisation du manquement à l’article L. 34-5 du CPCE 
186. La formation restreinte relève qu’en l’espèce, les constatations réalisées par la délégation de contrôle entre le 20 octobre 2022 et le 4 novembre 2022 ont permis de mettre en évidence l’affichage sur les versions mobiles et web, dans la boîte de réception du compte de messagerie électronique des utilisateurs du service Gmail ayant fait le choix d’activer les " fonctionnalités intelligentes ", de messages publicitaires dont l’apparence se rapproche de véritables courriels. Elle relève qu’il ressort des constatations et des échanges contradictoires qu’au 11 décembre 2022, puis au 13 mai 2023, et enfin au 10 septembre 2024 et sur la base des 28 jours ayant précédé ces dates, le volume de comptes ayant activé ces fonctionnalités représente, en France, environ […]% des comptes actifs au moins une fois sur les périodes.
187. Etaient en effet insérées, entre les courriels reçus dans les onglets " Promotions " et " Réseaux sociaux " de la messagerie, des entrées exactement de la même taille que les autres courriels, ne s’en distinguant, pour la version web du compte Gmail, que par l’absence de date – remplacée par l’icône " ⋮ " - de case à cocher permettant traditionnellement de sélectionner un courriel et par une mention " annonce " de couleur verte apposée entre le nom de l’expéditeur et la rubrique de l’objet du courriel. La formation restreinte relève que sur la version mobile, les messages publicitaires se distinguaient des autres messages par une mention " annonce " de couleur verte apposée sous le nom de l’expéditeur ainsi que par la présence d’une icône " ⓘ " située sur le côté du message.
188. La formation restreinte relève que, sur les versions mobile et web, le nom de l’expéditeur apparaissait dans les mêmes formes que ceux des véritables courriels et que l’objet des messages s’apparentait également à ceux des autres courriels. Un clic sur ces entrées entraînait l’ouverture de la publicité complète sous la forme d’un courrier électronique.
189. Afin de déterminer si l’affichage des annonces publicitaires en cause constituent une utilisation de courrier électronique à des fins de prospection directe au sens de l’article L. 34-5 du CPCE, lu à la lumière de l’article 13 de la directive ePrivacy tel qu’interprété par la CJUE, la formation restreinte considère qu’il convient de vérifier, comme l’a fait la Cour dans son arrêt du 25 novembre 2021, " en premier lieu, si le type de communication utilisée à des fins de prospection directe figure parmi celles visées par ladite disposition ; en deuxième lieu, si une telle communication a pour finalité la prospection directe, et, en troisième lieu, si l’exigence d’obtenir un consentement préalable de la part de l’utilisateur a été respectée " (point 37).
a.  Sur le moyen de communication utilisé 
190. Il ressort de l’arrêt susvisé que les messages sur lesquels la CJUE s’est prononcée se présentaient comme " des entrées qui ne se distinguaient visuellement de la liste des autres courriels de l’utilisateur du compte que par le fait que la date était remplacée par la mention " Anzeige " (annonce), qu’aucun expéditeur n’était mentionné et que le texte apparaissait sur un fond gris. La rubrique " Objet " correspondant à cette entrée de liste contenait un texte destiné à la promotion de prix avantageux pour les services d’électricité et le gaz " (point 21 de la décision).
191. La Cour a ainsi considéré que " si des entrées publicitaires de quelque nature que ce soit apparaissent dans la boîte de réception de la messagerie Internet […] il y a lieu de considérer que cette boîte de réception constitue le moyen par lequel les messages publicitaires concernés sont communiqués à cet utilisateur, ce qui implique l’utilisation de son courrier électronique à des fins de prospection directe, au sens de l’article 13, paragraphe 1, de la directive 2002/58 " (point 44 de la décision).
192. Il est souligné par cet arrêt que " du point de vue du destinataire, ledit message publicitaire est affiché dans la boîte de réception de l’utilisateur de la messagerie électronique, à savoir dans un espace normalement réservé aux courriels privés. L’utilisateur ne peut libérer cet espace pour obtenir une vue d’ensemble de ses courriers électroniques exclusivement privés qu’après avoir vérifié le contenu de ce même message publicitaire et seulement après l’avoir supprimé activement. Si l’utilisateur clique sur un message publicitaire tel que celui en cause au principal, il est redirigé vers un site Internet contenant la publicité en question, au lieu de poursuivre la lecture de ses courriels privés (point 41). Ainsi, contrairement aux bannières publicitaires ou aux fenêtres contextuelles, qui apparaissent en marge de la liste des messages privés ou séparément de ceux-ci, l’apparition des messages publicitaires en cause au principal dans la liste des courriers électroniques privés de l’utilisateur entrave l’accès à ces courriers d’une manière analogue à celle utilisée pour les courriels non sollicités (appelés également " spam ") dans la mesure où une telle démarche requiert la même prise de décision de la part de l’abonné en ce qui concerne le traitement de ces messages (point 42). Par ailleurs, […] dans la mesure où les messages publicitaires occupent des lignes de la boîte de réception qui sont normalement réservées aux courriels privés et en raison de leur
ressemblance avec ces derniers, il existe un risque de confusion entre ces deux catégories de messages pouvant conduire l’utilisateur qui cliquerait sur la ligne correspondant au message publicitaire à être redirigé contre sa volonté vers un site Internet présentant la publicité en cause, au lieu de continuer la consultation de ses courriels privés " (point 43 de la décision).
193. En premier lieu, la formation restreinte relève qu’en l’espèce, les caractéristiques des messages publicitaires en cause dans le cadre de la présente procédure présentent de très fortes similitudes avec celles des messages examinés par la CJUE dans son arrêt. Dans les deux cas, il s’agit de publicités insérées entre les courriels privés reçus par l’utilisateur, la date est remplacée par la mention " annonce ", il y a la présence d’un texte destiné à la promotion d’un produit dans la rubrique " objet ", et il existe un risque de confusion compte tenu de l’emplacement des messages et de leur ressemblance avec de véritables courriels. Si de légères différences existent entre les messages examinés par la Cour et ceux affichés au sein de la boîte de réception des utilisateurs du service Gmail, la formation restreinte considère que celles-ci ne sont pas de nature à remettre en cause l’analyse qui doit en être faite. Ainsi, s’agissant de l’affichage de la publicité concernée par l’annonce, lorsque l’utilisateur cliquait sur la ligne correspondant au message publicitaire examiné par la CJUE il était directement redirigé vers un site web présentant la publicité en question alors que dans le cas présent, l’utilisateur voit apparaitre la publicité complète sous la forme d’un courrier électronique. La formation restreinte relève néanmoins que la CJUE a souligné à cet égard que l’apparition de tels messages entravait l’accès aux courriels privés de l’utilisateur, dans la mesure où
leur suppression requérait, comme pour les courriers indésirables (ou " spams "), une prise de décision de la part de la personne concernée. De surcroît, la formation restreinte relève que certaines distinctions montrent que les messages publicitaires Gmail sont plus proches des courriels classiques que ceux visés dans l’affaire de la CJUE : ainsi le texte des annonces examinées par la CJUE apparaissait sur fond grisé, se distinguant des autres courriels, alors que les messages publicitaires dans le cas présent apparaissent sur fond blanc, de manière identique aux autres courriers électroniques.
194. En deuxième lieu, la formation restreinte relève que les sociétés soutiennent que les annonces ne répondent pas à la définition légale d’un courrier électronique – puisqu’elles ne sont pas stockées dans l’espace de stockage des courriers électroniques des utilisateurs, elles ne restent pas dans la boite de réception des utilisateurs car elles se renouvellent à intervalles réguliers et changent au fil des sessions d’utilisation, elles ne sont pas échangées entre " deux personnes identifiables " et ne constituent pas une " correspondance ". Les sociétés précisent qu’elles ne répondent pas non plus aux critères techniques d’un courrier électronique - elles apparaissent dans l’interface visuelle de l’utilisateur mais ne sont pas conservées dans sa boite de réception ou dans l’espace de stockage des courriers électroniques, elles ne peuvent faire l’objet d’une recherche, ne contiennent pas d’informations telles que l’adresse email de l’expéditeur ou d’autres métadonnées associées à un courrier électronique, ne peuvent pas être organisées ou déplacées, les utilisateurs ne peuvent y répondre, elles sont dynamiques puisqu’elles peuvent varier selon que l’utilisateur utilise Gmail sur Android, iOS ou un ordinateur et elles évoluent entre chaque utilisation de Gmail puisque leur affichage est attribué selon un système d’enchères.
195. Comme elle l’a relevé dans la présente délibération, la formation restreinte considère qu’il ressort de l’arrêt de la CJUE qu’il est indifférent que les annonces en cause ne constituent pas, d’un point de vue technique, de véritables courriels. Dès lors que les annonces publicitaires en cause sont insérées dans un espace normalement spécifiquement réservé aux courriels privés - messages qui s’adressent directement et individuellement aux utilisateurs en ce qu’ils apparaissent dans leur boîte de messagerie électronique à laquelle ils n’obtiennent l’accès qu’après s’être authentifiés à l’aide de leur identifiant et de leur mot de passe - la Cour considère qu’ils caractérisent une utilisation de courrier électronique à des fins de prospection.
196. En troisième lieu, la formation restreinte relève que l’argument des sociétés selon lequel l’affichage des annonces non sollicitées dans Gmail a été restreint aux seuls onglets " Promotions " et " Réseaux sociaux " dans le but de préserver une expérience utilisateur qualitative est sans incidence sur la portée de l’obligation en cause.
197. En effet, il ressort de l’arrêt de la CJUE que " Ces annonces publicitaires sont apparues dans la boîte de réception des boîtes à lettres électroniques privées de ces utilisateurs, à savoir dans la rubrique dans laquelle les courriels reçus figurent sous la forme d’une liste, en étant insérées entre les courriels reçus " (point 20 de la décision).
198. La formation restreinte relève que lorsqu’il fait le choix d’activer les " fonctionnalités intelligentes " dans Gmail, l’utilisateur accepte uniquement que ses courriels soient classés dans trois onglets distincts. Ce choix n’a pas d’incidence sur le fait que les courriers électroniques regroupés dans ces trois onglets demeurent des courriels privés qui ont pu être sollicités par l’utilisateur telles que les newsletters auxquelles l’utilisateur est inscrit ou encore comme l’ont démontrées les opérations de contrôles, des alertes du site web Seloger auxquelles la délégation s’était inscrite. La formation restreinte renvoie ici à la notion de courriels privés développée précédemment.
199. En outre, la formation restreinte relève que le classement des courriels privés, réalisé lorsque les " fonctionnalités intelligentes " sont activées, est opéré directement par les sociétés et à leur discrétion, de sorte que l’utilisateur n’a aucun contrôle sur le tri effectué et sur l’orientation de ses courriels privés dans l’un ou l’autre des onglets. L’utilisateur demeure donc contraint de consulter les trois onglets existants pour prendre connaissance de l’ensemble de ses courriels privés. A titre d’exemple, la formation restreinte relève que les annonces non sollicitées qui sont affichées dans l’onglet " Réseaux sociaux " sont insérées entre des courriels qui sont adressés par les réseaux sociaux auxquels l’utilisateur est abonné et qui l’informent que des contenus pouvant l’intéresser sont consultables. Ainsi, si l’utilisateur souhaite consulter les courriels provenant des réseaux auxquels il est abonné pour être informé des contenus qui pourraient l’intéresser, il devra se rendre sur l’onglet " Réseaux sociaux ", dans lequel sont également affichées les annonces non sollicitées. De manière analogue aux courriers indésirables (ou " spam "), l’affichage d’annonces non sollicitées dans les onglets " Promotions " et " Réseaux sociaux " perturbe nécessairement l’utilisateur dans la lecture de ses courriels privés.
200. Ainsi, la formation restreinte considère que malgré leurs intitulés " Promotions " et " Réseaux sociaux ", ces onglets constituent bien un espace de messagerie privé au même titre que l’onglet intitulé " Principale ". Elle relève ainsi que les annonces non sollicitées qui sont diffusées par les sociétés dans les onglets " Promotions " et " Réseaux sociaux " des boites électroniques des utilisateurs du service Gmail sont bien insérées au sein de la boite de réception et dans la liste permettant de visualiser les courriels – dans un espace destiné à recevoir des courriels privés.
201. Au regard de l’ensemble de ces éléments, la formation restreinte considère que les messages en cause ont bien été diffusés aux utilisateurs du service Gmail, au moyen de leur boîte de réception, ce qui implique l’utilisation de leur courrier électronique.
b. Sur la finalité des communications visées 
202. Pour déterminer si les messages en cause ont bien pour finalité la prospection directe, la Cour a précisé qu’il convenait de vérifier si de telles communications poursuivent un but commercial et s’adressent directement et individuellement au consommateur (point 47 de la décision).
203. En l’espèce, la formation restreinte relève qu’à l’instar de l’affaire examinée par la CJUE, les messages affichés dans la boîte de réception des utilisateurs du service Gmail, en ce qu’ils visent la promotion de produits ou services proposés par des annonceurs tiers, poursuivent bien un but commercial, ce que les sociétés ne contestent pas. La délégation a ainsi constaté dans la messagerie créée à l’occasion du contrôle, l’affichage de messages poursuivant un but commercial, dont notamment la promotion de produits bancaires.
204. En outre, ces messages s’adressent directement et individuellement aux utilisateurs, en ce qu’ils apparaissent dans leur boîte de messagerie électronique, à laquelle ils n’obtiennent l’accès qu’après s’être authentifiés à l’aide de leur identifiant et de leur mot de passe. Tel était également le cas des messages examinés par la CJUE.
205. Dans ces conditions, la formation restreinte considère que les annonces publicitaires insérées entre les courriels reçus caractérisent une utilisation de courrier électronique à des fins de prospection.
c. Sur l’absence de recueil du consentement 
206. La formation restreinte rappelle que l’organisme souhaitant procéder à de telles opérations de prospection est tenu de recueillir le consentement libre, spécifique et informé des personnes concernées, en application de l’article L. 34-5 du CPCE.
207. La formation relève que l’argument des sociétés selon lequel, s’agissant des publicités personnalisées, un tel consentement était bien recueilli préalablement lors de la création d’un compte Google, ne saurait prospérer. En effet, la formation restreinte rappelle qu’elle a démontré supra que, lors de la création d’un compte Google – quel que soit le parcours de création de compte utilisé, l’utilisateur n’est pas informé qu’il recevra de la publicité au sein de sa messagerie Gmail, les sociétés se contentant d’expliquer que des publicités seront affichées sur les services Google, sans davantage de précisions. Elle considère dans ces conditions qu’aucun consentement à recevoir de la prospection commerciale dans la boite électronique Gmail n’est recueilli par les sociétés.
208. De même, la formation restreinte considère que la fenêtre proposant aux utilisateurs d’activer les " fonctionnalités intelligentes " apparaissant lors de la première utilisation de la boite électronique Gmail, ne constitue pas un recueil valable du consentement, dans la mesure où l’activation de cette option n’est accompagnée d’aucune information sur l’affichage des publicités au sein des boites de réception de la messagerie électronique Gmail.
209. La formation restreinte rappelle que peu importe le fait que les annonces en cause ne constituent pas, d’un point de vue technique, des courriels à proprement parler. Le seul affichage d’" entrées publicitaires de quelque nature que ce soit " dans un espace normalement spécifiquement réservé aux courriels privés suffit à considérer que ces messages sont communiqués au moyen de la boîte aux lettres électronique des personnes concernées, et donc de leur courrier électronique, au sens de l’article L. 34-5 du CPCE.
210. Au regard de ces éléments, il ressort des constatations réalisées par la délégation que le consentement de l’utilisateur à voir s’afficher des publicités au sein de la boîte de réception de sa messagerie électronique n’était à aucun moment recueilli – ni au moment de la création du compte, ni au moment de la connexion audit compte, par exemple par l’intermédiaire d’une case à cocher ou d’un bouton poussoir – et qu’en outre, les réglages du compte de messagerie ne permettaient pas de s’opposer à cet affichage.
211. En conséquence, en procédant à l’affichage, dans la boîte de réception des utilisateurs de son service de messagerie électronique Gmail, de messages publicitaires insérés entre les courriels reçus, sans recueillir le consentement préalable desdits utilisateurs, les sociétés ont commis un manquement à l’article L. 34-5 du CPCE.
3. Sur les modifications relatives à l’affichage des annoncées réalisées en avril 2023
212. La formation restreinte relève que le 11 avril 2023, au cours de la procédure de contrôle, les sociétés ont indiqué avoir modifié l’affichage des annonces sur la version mobile de Gmail en France et dans l’EEE et que des changements similaires sur ordinateur seraient progressivement déployés en France et dans l’EEE. Les sociétés ont produit dans le cadre de la procédure, un sondage démontrant, depuis ces changements, le faible risque de confusion pour les utilisateurs entre les courriels électroniques et les annonces non sollicitées sur Gmail.
213. La formation restreinte relève que des modifications visuelles ont en effet été apportées par les sociétés depuis le 11 avril 2023 : sur les versions mobile et web, la mention " annonce " est à présent de couleur noire (et non verte comme précédemment), une image est présentée, les annonces Gmail présentent une icône carrée avec une flèche vers la droite (à la place de l’heure sur les autres courriers électroniques) et lorsque l’utilisateur passe sa souris sur une annonce il voit apparaitre l’option de suppression (alors que sur un courrier électronique, quatre boutons de commande apparaissent), l’objet et le texte des annonces sont décalés par rapport à ceux des courriers et enfin le logo de l’annonceur apparaît. Sur la version web uniquement, les lignes électroniques correspondant aux annonces non sollicitées sont plus larges que les autres messages et sur la version mobile l’annonce est dorénavant présentée dans un encadré, au milieu de la liste des autres messages.
214. La formation restreinte relève qu’il ressort des points 44 à 46 et 63 précités de l’arrêt de la CJUE que peu importe le fait que les annonces en cause présentent quelques différences avec les courriels à proprement parler – qu’elles soient visuelles ou techniques, leur seul affichage dans un espace normalement spécifiquement réservé aux courriels privés suffit à considérer que ces messages, s’ils ont pour finalité la prospection directe, sont soumis aux dispositions de l’article L. 34-5 du CPCE.
215. La formation restreinte relève que les annonces sont toujours affichées dans la boite de réception des utilisateurs (onglet " Promotions " et " Réseaux sociaux "), au début et au milieu de la liste des messages privés. Elle relève que l’utilisateur ne peut libérer cet espace pour obtenir une vue d’ensemble de ses courriers électroniques privés qu’après avoir pris connaissance de l’intitulé de ces messages publicitaires et seulement après les avoir supprimés activement. Les annonces continuent donc d’entraver l’accès à ces courriers d’une manière analogue à celle utilisée pour les courriels non sollicités évoqués par la CJUE.