AgentPublic/cnil huggingface dataset:
75. En second lieu, s’agissant de l’existence d’un traitement effectué dans le cadre des activités de cet établissement, la formation restreinte relève que la CJUE a, dans son arrêt Google Spain du 13 mai 2014, considéré que le traitement relatif au moteur de recherche [V] était effectué dans le cadre des activités de la société GOOGLE SPAIN, établissement de la société GOOGLE INC - devenue depuis GOOGLE LLC. -, dans la mesure où cette société est destinée à assurer en Espagne la promotion et la vente des espaces publicitaires proposés par ce moteur de recherche, qui servent à rentabiliser le service offert par ce moteur de recherche. La CJUE a précisé que l’article 4, paragraphe 1, sous a), de la directive 95/46 exige non pas que le traitement de données à caractère personnel en question soit effectué par l’établissement concerné lui-même, mais uniquement qu’il le soit dans le cadre des activités de celui-ci (pt. 52). Selon la Cour, l’article 4, paragraphe 1, sous a), de la directive 95/46 doit être interprété en ce sens qu’un traitement de données à caractère personnel est effectué dans le cadre des activités d’un établissement du responsable de ce traitement sur le territoire d’un État membre, au sens de cette disposition, lorsque l’exploitant d’un moteur de recherche crée dans un État membre une succursale ou une filiale destinée à assurer la promotion et la vente des espaces publicitaires proposés par ce moteur et dont l’activité vise les habitants de cet État membre
(pt. 60).
76. En outre, la formation restreinte relève que la CJUE a par la suite considéré, dans ses décisions Wirtschaftsakademie et Facebook Belgium, que le traitement consistant en la collecte de données à caractère personnel par l’intermédiaire de cookies déposés dans les terminaux des utilisateurs visitant, en Allemagne et en Belgique, des pages hébergées sur le réseau social Facebook était respectivement effectué dans le cadre des activités des sociétés FACEBOOK GERMANY et FACEBOOK BELGIUM, établissements allemand et belge du groupe Facebook, dans la mesure où ces établissements sont destinés à assurer, dans leur pays respectif, la promotion et la vente des espaces publicitaires proposés par ce réseau social, qui servent à rentabiliser le service offert par Facebook (CJUE, grande chambre, 5 juin 2018, Wirtschaftsakademie, C-210/16, pts. 56 à 60 ; 15 juin 2021, Facebook Belgium, C-645/19, pts. 92 à 95). Si dans l’arrêt Google Spain, la compétence espagnole avait été retenue pour un traitement dont la responsabilité effective relevait de sociétés basées aux États-Unis, en dehors de l’Union européenne, dans ces derniers arrêts, la CJUE a étendu son raisonnement au cas où la responsabilité effective du traitement relève d’une société installée dans un autre pays de l’Union européenne.
77. La formation restreinte relève que, même si ces trois arrêts concernaient plus spécialement les traitements subséquents mis en œuvre à partir des cookies déposés dans les terminaux des utilisateurs, ce qui justifiait l’application de la directive 95/46/CE pour les affaires Google Spain et Wirtschaftsakademie et du RGPD pour l’affaire Facebook Belgium, cette jurisprudence demeure pertinente pour éclairer la portée à donner à la notion de traitement effectué dans le cadre des activités d’un établissement, dans la mesure où le législateur français l’a reprise lors de la transposition de la directive ePrivacy pour fonder la compétence territoriale de la CNIL s’agissant des traitements relevant de cette directive.
78. En l’espèce, et en complément des développements précédents figurant ci-dessus au paragraphe74 la formation restreinte relève que, selon les informations mises en ligne sur son site web, la société [Z] accompagne notamment les petites et moyennes entreprises en France à travers le développement d’outils de collaboration, de solutions publicitaires ou pour leur donner les clés de compréhension de leurs marchés et de leurs consommateurs . Ensuite, elle a déjà acté, dans sa délibération n° SAN-2020-012 du 7 décembre 2020 que, dans son courrier du 30 avril 2020 la société [Y] indique que [Z] dispose d’une équipe de vente dédiée à la promotion et à la vente des services de [Y] à l’égard des annonceurs et des éditeurs basés en France, comme [V] Ads (point n° 44). Ce constat apparaît toujours valable à la date de la présente délibération. La formation restreinte relève enfin qu’il est précisé sur le site web ads.[V].com que [V] Ads permet aux entreprises françaises de mettre leurs produits ou services en avant sur le moteur de recherche et sur un large réseau publicitaire .
79. Ainsi, le traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs du moteur de recherche [V] et de [W] résidant en France, notamment à des fins publicitaires, est effectué dans le cadre des activités de la société [Z] sur le territoire français, laquelle est en charge de la promotion et de la commercialisation des produits [V] et de leurs solutions publicitaires en France. La formation restreinte relève que les deux critères prévus à l’article 3, paragraphe I, de la loi Informatique et Libertés sont donc réunis. 
80. Il en résulte que le droit français est applicable et que la CNIL est matériellement et territorialement compétente pour exercer ses pouvoirs, parmi lesquels celui de prendre des sanctions concernant les traitements relevant du champ d’application de la directive ePrivacy . 
D. Sur le grief tiré de l’illégalité de la présente procédure de sanction
81. Les sociétés contestent le fait de n’avoir reçu aucune mise en demeure avant que la présidente de la CNIL ne décide d’ouvrir une procédure de sanction, contrairement à d’autres acteurs, invoquant ainsi une différence de traitement entre [Y] et [X] et la soixantaine de sociétés que la CNIL a déclaré avoir mis en demeure pour des agissements similaires dans ses communiqués des 25 mai et 19 juillet 2021 diffusés sur son site web.
82. En premier lieu, s’agissant de l’argument des sociétés selon lequel les dispositions qui leur sont opposées par la rapporteure sont entrées en vigueur moins de cinq mois avant le début de la procédure de sanction, la formation restreinte rappelle que, dans le cadre de la présente délibération, elle se fonde exclusivement sur les dispositions de l’article 82 de la loi Informatique et Libertés , éclairées par les exigences renforcées en matière de consentement du RGPD, entré en application en mai 2018. Dès lors, le cadre juridique applicable aux faits à l’origine de la présente procédure de sanction est parfaitement établi. 
83. La formation restreinte rappelle en outre que, dès juin 2019 et à différentes reprises par la suite, la CNIL a communiqué sur son plan d’action qui comportait deux étapes principales : la publication de nouvelles lignes directrices en juillet 2019 et la concertation avec les professionnels pour élaborer une nouvelle recommandation, proposant des modalités opérationnelles de recueil du consentement. La CNIL avait précisé, dans un communiqué de presse du 28 juin 2019, qu’elle procèderait à des vérifications du respect de la recommandation six mois après son adoption définitive. La formation restreinte note que la CNIL avait été parfaitement transparente sur le calendrier, afin de laisser le temps aux organismes de se mettre en conformité avant d’effectuer des contrôles.
84. En deuxième lieu, la formation restreinte rappelle que, conformément à l’article 20 de la loi Informatique et Libertés , le président de la CNIL n’est pas tenu d’adresser une mise en demeure à un responsable de traitement avant d’engager une procédure de sanction à son encontre. Elle ajoute que la possibilité d’engager directement une procédure de sanction a été confirmée par le Conseil d’État (voir, notamment, CE, 4 nov. 2020, req. n° 433311, pt. 3).
85. Elle note en outre que le secrétaire général de la CNIL avait rappelé aux sociétés, dans ses courriers du 17 février 2021, qu’il doit être aussi facile de donner son consentement que de refuser de le donner ou de le retirer. Elle relève également que les sociétés [X] et [Y] ont déjà fait l’objet d’une procédure de sanction portant sur leur politique en matière de cookies. Les sociétés savaient parfaitement qu’elles s’exposaient à d’éventuelles autres sanctions puisque, aux termes d’un communiqué de presse publié le 4 mai 2021, la CNIL avait indiqué que la clôture de l’injonction ne portait que sur le périmètre de l’injonction prononcée par la formation restreinte dans sa délibération du 7 décembre 2020. Elle précisait que cette décision de clôture ne préjugeait pas de l’analyse de la CNIL quant à la conformité de [V].fr aux autres règles en matière de cookies, portant notamment sur le consentement, qui sont éclairées par les lignes directrices et la recommandation du 17 septembre 2020, selon lesquelles l’utilisateur doit désormais être en mesure de refuser les cookies aussi facilement qu’il peut les accepter. La CNIL précisait se réserver la possibilité de contrôler ces modalités de refus et, si nécessaire, de mobiliser l’ensemble de sa chaîne répressive, étant précisé que la CNIL avait reçu plusieurs plaintes à ce sujet.
Ainsi, la formation restreinte considère que les sociétés [X] et [Y] ne se trouvaient pas dans la même situation que d’autres organismes faisant l’objet de mises en demeure de la part de la CNIL et que le grief tiré de l’illégalité de la procédure de sanction doit être écarté.
E. Sur la demande de question préjudicielle
86. Les sociétés demandent subsidiairement à la formation restreinte de saisir la Cour de justice de l’Union européenne (ci-après la CJUE ) d’une question préjudicielle en ces termes : l’absence d’un bouton "tout refuser" à côté d’un bouton "tout accepter" doit-elle être considérée comme une violation de l’article 4, paragraphe 11 et de l’article 7 du RGPD, lus conjointement avec l’article 5, paragraphe 3 de la directive e-Privacy alors que le responsable de traitement donne à la personne concernée le droit de refuser ledit traitement dans le second niveau du bandeau cookies et par le biais des paramètres du navigateur et l’informe de cette possibilité de refuser le traitement et des moyens dont il dispose pour le faire dès le premier niveau du bandeau cookies ? . Les sociétés estiment que la formation restreinte est une juridiction au sens de l’article 267 du traité pour le fonctionnement de l’Union européenne (ci-après TFUE ) et qu’elle répond aux critères d’une juridiction : elle est établie de manière permanente par la loi Informatique et Libertés ; elle a une juridiction obligatoire lorsque le président de la CNIL décide d’initier une procédure de sanction ; elle suit une procédure de nature contradictoire opposant le rapporteur et le mis en cause ; elle applique des règles de droit et est indépendante et impartiale.
87. La formation restreinte rappelle que, pour qu’un organe puisse adresser une question préjudicielle à la CJUE, il doit bénéficier de la qualité de juridiction au sens de l’article 267 TFUE, notion autonome en droit de l’Union. Pour apprécier cette qualité, la CJUE prend en considération les critères suivants : origine légale de l’organe, sa permanence, son caractère obligatoire, nature contradictoire de sa procédure, application des règles de droit, son indépendance et nature juridictionnelle de ses décisions. 
88. La formation restreinte relève qu’elle n’est pas qualifiée de juridiction en droit interne : aucune disposition législative ne lui a reconnu cette qualité. Si, ainsi que le relèvent les sociétés, le Conseil d’État a déjà jugé qu’ eu égard à sa nature, à sa composition et à ses attributions , la formation restreinte peut être qualifiée de tribunal au sens de l’article 6-1 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales (ci-après la CESDH ) (Conseil d'État, juge des référés, 19 février 2008, n° 311974), cette décision ne lui reconnaît pas pour autant la qualité de juridiction.
89. La formation restreinte considère, contrairement à ce que soutiennent les sociétés, que les critères retenus par la CJUE sur la notion de juridiction au sens de l’article 267 TFUE, notamment dans son récent arrêt ANESCO (CJUE, 16 sept. 2020, Anesco, C-462/19), ne sont pas remplis par la formation restreinte. En effet, dans cet arrêt, la CJUE a indiqué que, force est de constater que les décisions que la CNMC [l’autorité de la concurrence espagnole] est amenée à adopter dans les affaires telles que celle en cause au principal s’apparentent à des décisions de nature administrative, excluant qu’elles soient adoptées dans l’exercice de fonctions juridictionnelles (§41). Or, il en va de même s’agissant des décisions prises par la formation restreinte, qui sont des décisions de nature administrative puisqu’il s’agit de décisions de sanction qui participent à l’effectivité de l’action de la CNIL dans son pouvoir de régulation. La décision de sanction met fin à la procédure administrative engagée et un recours contentieux administratif peut ensuite être engagé à son encontre devant le Conseil d’État.
90. En outre, la formation restreinte relève que la Cour de cassation a considéré qu’ il résulte de ces textes du droit de l’Union européenne, tels qu’interprétés par la Cour de justice de l'Union européenne, que l’Autorité de la concurrence n’est pas une juridiction apte à lui poser une question préjudicielle en application de l'article 267 du TFUE (CJUE, arrêt du 16 septembre 2020, Anesco, C-462/19, à propos de la Comisión Nacional de los Mercados y la Competencia, autorité de la concurrence espagnole) (Cass. 2ème civ., 30 septembre 2021, n° 20-18.302). Or, l’Autorité de la concurrence, en tant qu’autorité administrative indépendante, présente de grandes similitudes organisationnelle et procédurale avec la formation restreinte.
91. Dès lors, la formation restreinte ne saurait être qualifiée de juridiction au sens de l’article 267 TFUE, de sorte qu’elle n’est pas apte à poser une question préjudicielle à la CJUE. 
F. Sur la détermination du responsable de traitement
92. La formation restreinte relève, tout d’abord, que les articles 4, paragraphe 7, et 26, paragraphe 1, du RGPD sont applicables à la présente procédure en raison du recours à la notion de responsable de traitement dans l’article 82 de la loi Informatique et Libertés , lequel est justifié par le renvoi opéré par l’article 2 de la directive ePrivacy à la directive 95/46/CE sur la protection des données personnelles à laquelle s’est substitué le RGPD.
93. Aux termes de l’article 4, paragraphe 7, du RGPD, le responsable de traitement est la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement . Aux termes de l’article 26, paragraphe 1, du RGPD, lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement .
94. La rapporteure considère que les sociétés [Y] et [X] sont responsables conjoints du traitement en cause en application de ces dispositions dès lors que les sociétés déterminent toutes les deux les finalités et les moyens du traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation moteur de recherche [V] et de [W].
95. Les sociétés répondent que la société [Y] serait seule responsable des traitements de données à caractère personnel des utilisateurs situés dans l’espace économique européen et en Suisse.
96. La formation restreinte rappelle, que la CJUE s’est prononcée, à plusieurs reprises, sur la notion de responsabilité conjointe du traitement, notamment dans son arrêt Témoins de Jéhovah. Aux termes de celui-ci, elle a considéré que, selon les dispositions de l’article 2, sous d), de la directive 95/46 sur la protection des données personnelles, la notion de responsable du traitement vise la personne physique ou morale qui, seule ou conjointement avec d’autres , détermine les finalités et les moyens du traitement de données à caractère personnel. Cette notion ne renvoie, dès lors, pas nécessairement à une personne physique ou morale unique et peut concerner plusieurs acteurs participant à ce traitement, chacun d’entre eux devant alors être soumis aux dispositions applicables en matière de protection des données […]. L’objectif de cette disposition étant d’assurer, par une définition large de la notion de responsable , une protection efficace et complète des personnes concernées, l’existence d’une responsabilité conjointe ne se traduit pas nécessairement par une responsabilité équivalente, pour un même traitement de données à caractère personnel, des différents acteurs. Au contraire, ces acteurs peuvent être impliqués à différents stades de ce traitement et selon différents degrés, de telle sorte que le niveau de responsabilité de chacun d’entre eux doit être évalué en tenant compte de toutes les circonstances pertinentes du cas d’espèce (CJUE, 10 juillet 2018, C 25/17,
97. La formation restreinte considère que ces développements permettent d’éclairer utilement la notion de responsabilité de traitement conjointe invoquée par la rapporteure à l’égard des sociétés [X] et [Y] concernées par les traitements en cause. 
98. La formation restreinte souligne, enfin, que si la présente procédure ne porte pas sur les mêmes faits que ceux évoqués dans le cadre de la délibération n° SAN-2020-012 du 7 décembre 2020 pour les raisons développées ci-avant, elle concerne toujours les opérations de lecture et d’écriture mises en œuvre dans le terminal de l’utilisateur situé en France par les sociétés [X] et [Y], pour lesquelles le rôle des deux sociétés a déjà été examiné par la formation restreinte dans la délibération évoquée ci-dessus. 
99. La formation restreinte rappelle par ailleurs qu’elle a, dans cette même délibération du 7décembre 2020, considéré que les sociétés [X] et [Y] déterminent conjointement les finalités et les moyens du traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du moteur de recherche [V] (pts. 47 à 66 de la délibération). Elle estime que ce constat est toujours valable à la date de la présente délibération et peut être étendu aux cookies utilisés sur le site [W].com , comme le démontrent les éléments développés ci-après. 
1. Sur la responsabilité de la société [Y]
100. Les sociétés soutiennent que la société [Y] agit en qualité de responsable des traitements en cause, ce que considère également la rapporteure.
101. La formation restreinte partage cette analyse. 
102. En premier lieu, elle relève qu’elle a retenu dans sa délibération n° SAN-2020-012, que les représentants des sociétés ont déclaré que la société [Y] participe au développement et à la supervision des politiques internes qui guident les produits et leur conception, à la mise en place des paramètres, à la détermination des règles de confidentialité et à toutes les vérifications réalisées avant le lancement des produits, en application du principe privacy by design .
103. En second lieu, elle rappelle qu’elle a également souligné que, s’agissant plus particulièrement des cookies, les représentants ont déclaré […] que [Y] applique, par exemple, des durées de conservation des cookies plus courtes par rapport à d’autres régions du monde et qu’elle limite l’étendue des traitements liés à la personnalisation de la publicité en Europe par rapport au reste du monde. Par exemple, [Y] n’utilise pas certaines catégories de données pour effectuer de la publicité personnalisée telles que les ressources du foyer supposées. La société [Y] ne met pas en place de publicité personnalisée pour les enfants dont elle suppose qu’ils sont mineurs au sens du RGPD .
104. La formation restreinte en a conclu que la société [Y] est, au moins pour partie, responsable du traitement contrôlé consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du moteur de recherche [V] . 
105. La formation restreinte considère qu’aucune modification du rôle de la société [Y] n’apparaît avoir eu lieu depuis ce récent constat, qui demeure donc valable. Elle considère qu’il en va de même s’agissant du site [W].com dès lors que, dans les conditions d’utilisation de [V], accessibles à la fois via les sites [V].fr et [W].com , il est indiqué de manière identique que : Dans l'Espace économique européen (EEE) et en Suisse, les services [V] vous sont fournis par la société ci-dessous avec laquelle vous concluez un contrat : [Y] .
106. Ainsi, la société [Y] est, au moins pour partie, responsable des traitements consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du moteur de recherche [V] et de [W]. 
2. Sur la responsabilité de la société [X]
107. Les sociétés contestent l’analyse de la rapporteure selon laquelle la société [X] partagerait la responsabilité des traitements en cause avec la société [Y].
108. La formation restreinte a déjà pris position à ce sujet, dans sa délibération n° SAN-2020-012 du 7 décembre 2020.
109. En premier lieu, elle avait relevé que, lors de l’audition du 22 juillet 2020, les représentants des sociétés avaient affirmé que la société [X] conçoit et construit la technologie des produits [V] et qu’en ce qui concerne les cookies déposés et lus lors de l’utilisation du moteur de recherche [V], il n’existe aucune différence de technologies entre les cookies déposés à partir des différentes versions du moteur de recherche. De même, les sociétés, dans l’information qu’elles proposent aux utilisateurs français dans les règles d’utilisation accessibles depuis [V].fr , n’opèrent aucune distinction dans leur présentation des cookies utilisés par le groupe [V] dès lors qu’elles indiquent utiliser différents types de cookies pour les produits associés aux annonces et les sites Web de [V] , ce qui inclut bien également le site [W].com selon la formation restreinte.
110. Elle relève qu’aujourd’hui encore, il n’existe aucune différence dans la présentation des cookies utilisés par [V] (information fournie aux utilisateurs français à partir de l’onglet Technologies , comment [V] utilise les cookies , après avoir cliqué sur le bouton conditions d’utilisation , accessible tant sur [V].fr que sur [W].com ). La société décrit les types de cookies utilisés par [V] , précisant que une partie ou l'ensemble des cookies décrits ci-dessous peuvent être stockés dans votre navigateur . La formation restreinte relève également que les règles de confidentialité accessibles tant depuis [V].fr que depuis [W].com confirment ce point dès lors qu’il est indiqué que Les présentes Règles de confidentialité s'appliquent à tous les services proposés par [X] et par ses sociétés affiliées, y compris [W] et Android, ainsi qu'aux services proposés sur des sites tiers, tels que les services publicitaires . 
111. Ainsi, dans l’information qu’elles proposent aux utilisateurs français, les sociétés [X] et [Y] n’opèrent toujours aucune distinction dans leur présentation des cookies utilisés par le groupe [V].