AgentPublic/cnil huggingface dataset:
81. En défense, les sociétés expliquent avoir corrigé l’erreur de grammaire dans la version française du bandeau dès le 15 juillet 2022. Elles soulignent que " le bandeau relatif aux cookies était compréhensible pour l’utilisateur moyen "et que la rapidité de la mise à jour souligne leur volonté de coopérer avec la CNIL et de constamment améliorer leurs pratiques sur la base des remarques des régulateurs. Elles ajoutent que les lignes directrices de la CNIL demandent, dans leur paragraphe 24, seulement de fournir aux utilisateurs, au premier niveau d’information, " la finalité des opérations de lecture ou écriture des données , sans préciser le niveau de détail de cette information, et que la CNIL, dans sa délibération n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation sur les cookies précitée, prévoit qu’une description plus détaillée des finalités peut être accessible via un lien hypertexte fourni dans le premier niveau d’information. Or, tel était bien le cas en l’espèce selon elles puisque les finalités figurant dans le bandeau relatif aux cookies étaient précisées au sein des paramètres des cookies et de la politique sur les cookies, tous deux accessibles par un lieu hypertexte qui fournissaient des informations détaillées supplémentaires aux utilisateurs. Elles ajoutent que, sans reconnaître une quelconque violation de leur part mais dans un effort constant d’amélioration de leurs pratiques, elles ont ajouté plus de détails aux paramètres des
cookies le 16 septembre 2022. Quant à la deuxième branche du manquement, les sociétés indiquent qu’il n’existe aucune obligation ni dans la directive " ePrivacy , ni dans la loi Informatique et Libertés, ni dans les lignes directrices de la CNIL de répéter la finalité de chacun des cookies non essentiels dans les paramètres de cookies, dans la mesure où plusieurs cookies servent la même finalité. Les sociétés considèrent que, lorsqu’un certain nombre de cookies ont la même finalité, il est suffisant d’indiquer cette même finalité au-dessus de tous les cookies non essentiels concernés, avec un bouton slider on/off. Elles ajoutent en outre que la politique sur les cookies, qui est facilement accessible à partir du bandeau relatif aux cookies, fournit des informations détaillées sur la finalité de chaque cookie, et ce de manière individuelle. Les sociétés en concluent que le bandeau relatif aux cookies ainsi que la politique sur les cookies fournissent aux utilisateurs des informations suffisantes pour leur permettre de donner un consentement libre et éclairé. Elles précisent enfin que, dans la mesure où elles s’efforcent d’améliorer continuellement la transparence et la compréhension des utilisateurs, elles ont modifié les paramètres de cookies afin de préciser davantage la description des finalités de chaque cookie non essentiel listé dans les paramètres de cookies sous chaque bouton slider.
82. En premier lieu, s’agissant de la première branche du manquement, la formation restreinte rappelle que tant l’article 5, paragraphe 3, de la directive " ePrivacy "que l’article 82 de la loi Informatique et Libertés prévoient expressément que l’utilisateur doit être informé de manière complète des finalités poursuivies par les opérations de dépôt et de lecture des cookies et des moyens dont il dispose pour s’y opposer.
 
83. Or, la formation restreinte relève que le bandeau d’information susmentionné affiché en page d’accueil ne contenait qu’une description générale et approximative des finalités de l’ensemble cookies déposés. En effet, les termes " améliorer votre expérience sur nos sites web "et " à des fins d’analyse et de marketing "sont particulièrement imprécis. 
84. Le terme " analyse "ne permet pas d’identifier la finalité poursuivie par cette analyse, ni la différence avec la finalité se rattachant aux termes " améliorer votre expérience sur nos sites web . De même, la formation restreinte relève que les finalités " marketing "peuvent recouper des traitements divers (statistiques, prospection commerciale, publicité ciblée, publicité contextuelle, etc.). Ainsi, à la lecture de ce bandeau, l’utilisateur n’était pas mis en mesure de comprendre quels types de contenus allaient lui être présentés et, le cas échéant, sous quelle forme.
85. De surcroît, si la formation restreinte confirme qu’il est possible de compléter l’information figurant au premier niveau via un lien hypertexte, il n’en demeure pas moins que celle présente dans le bandeau dédié doit être suffisamment claire pour permettre à l’utilisateur de faire un choix éclairé dès cette étape. Or, la formation restreinte considère qu’en l’espèce, comme expliqué ci-avant, les finalités ne sont pas développées de façon suffisamment précise. La formation restreinte relève d’ailleurs à cet égard que la nouvelle formulation employée par les sociétés dans le bandeau, telle que constatée lors du contrôle en ligne diligenté le 30 juin 2022, est plus précise, en ce que les sociétés expliquent ce que recouvre la finalité de " marketing , à savoir " pouvoir comprendre l’efficacité des campagnes publicitaires de […] .
86. En deuxième lieu, la formation restreinte relève que, si plusieurs cookies peuvent servir la même finalité ou que certains cookies peuvent poursuivre plusieurs finalités, l’utilisateur doit en être informé lorsque l’interface de recueil du consentement propose d’exprimer son choix cookie par cookie. En effet, l’article 82 de la loi Informatique et Libertés précité prévoit expressément que l’utilisateur " doit être informé de manière claire et complète . Or, en l’espèce, la formation restreinte considère qu’avant les dernières modifications effectuées par les sociétés courant septembre 2022, l’utilisateur ne savait pas si les cookies listés avaient pour finalité les " données analytiques "et/ou le " marketing , qui semblent deux finalités de nature différente (et par ailleurs désignées de façon trop imprécises) et qui devraient pouvoir être acceptées séparément. La formation restreinte considère donc que, jusqu’en septembre 2022, l’information fournie par les sociétés n’était pas suffisante et ne permettait pas à l’utilisateur de pouvoir donner un consentement libre et éclairé. 
 
87. Compte tenu de l’ensemble de ces éléments, la formation restreinte considère :
- qu’en n’informant pas l’utilisateur des finalités des opérations de lecture et/ou d’écriture d’informations dans son équipement terminal de façon précise sur le premier niveau d’informations au moment du contrôle en ligne du 3 juin 2021, les sociétés […] et […] méconnaissaient les obligations prévues à l’article 82 de la loi Informatique et Libertés ; 
- que, jusqu’en septembre 2022, l’information fournie par les sociétés relatives aux finalités des différents cookies pour lesquels l’utilisateur peut faire un choix en cliquant sur un bouton slider, accessible au deuxième niveau, était insuffisante et ne lui permettait pas de donner un consentement libre et éclairé, en violation de l’article 82 de la loi Informatique et Libertés.
 
III. Sur les mesures correctrices et leur publicité
 
88. Aux termes de l’article 20, III, de la loi du 6 janvier 1978 modifiée, " Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […]
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'État, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […] 
 
7° A l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. […] La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 .
 
89. L’article 83 du RGPD prévoit quant à lui que " chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives , avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
 
A. Sur le prononcé d’amendes administratives et leur montant
90. Les sociétés considèrent que les amendes administratives proposées sont disproportionnées et injustifiées au regard des circonstances de l’affaire et de la nature des manquements reprochés. Elles considèrent qu’un rappel à l’ordre suffirait, dans l’hypothèse où la CNIL constaterait l’existence d’un quelconque manquement. 
 
91. La formation restreinte rappelle que l’article 20, paragraphe III, de la loi Informatique et Libertés lui donne compétence pour prononcer diverses sanctions, notamment des amendes administratives dont le montant maximal peut être équivalant à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent réalisé par le responsable de traitement ou à 10 millions d’euros. Elle ajoute que la détermination du montant de ces amendes s’apprécie au regard des critères précisés par l’article 83 du RGPD.
 
92. En premier lieu, la formation restreinte souligne qu’il convient, en l’espèce, de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2, du RGPD relatif à la gravité du manquement compte tenu de la portée du traitement et du nombre de personnes concernées par ce dernier.
93. La formation restreinte relève le caractère massif du traitement. Elle rappelle que le réseau social comptabilisait 13,9 millions de visiteurs uniques en France pour le mois d’août 2021 d’après les sources publiquement disponibles, ce qui correspond à près d’un quart de la population française. Le nombre de personnes concernées par les traitements en cause est ainsi extrêmement important à l’échelle de la population française.
 
94. En outre, la formation restreinte note qu’il ressort d’informations publiquement disponibles que 38 % des utilisateurs de […] ont entre 13 et 17 ans. Les enfants étant des personnes vulnérables, ils méritent une protection particulière. 
 
95. S’agissant de la gravité du manquement, la formation restreinte relève néanmoins, comme détaillé ci-avant, qu’elle n’a pas retenu de manquement en lien avec la nécessité de recueillir un consentement en application de l’article 82 de la loi Informatique et Libertés s’agissant de l’inscription des cookies " […] "sur le terminal de l’utilisateur.
 
96. En deuxième lieu, la formation restreinte note que les sociétés ont collaboré avec les services de la CNIL et qu’elles ont répondu à toutes les demandes d’information dans les délais impartis. Ce faisant, les sociétés ont respecté les obligations issues de l’article 18 de la loi Informatique et Libertés, sans que les faits de l’espèce ne soient constitutifs d’une circonstance atténuante.
97. En troisième lieu, la formation restreinte estime qu’il convient de faire application du critère prévu à l’alinéa k) de l’article 83, paragraphe 2, du Règlement relatif à toute autre circonstance applicable aux faits de l’espèce.
 
98. La formation restreinte rappelle le contexte général dans lequel les sociétés […] et […] ont choisi de ne pas offrir à leurs utilisateurs, sur le site " […] , de faculté de refuser aisément les cookies jusqu’à fin février 2022. En effet, la CNIL a mis en œuvre un plan de mise en conformité sur la question des cookies étalés sur plusieurs années, et qui a d’ailleurs donné lieu à un contentieux devant le Conseil d’État. La CNIL a communiqué publiquement sur son site web, à plusieurs reprises, sur le fait qu’il doit être aussi facile pour l’internaute de refuser les cookies que de les accepter, en particulier le 1er octobre 2020 à l’occasion de la publication des lignes directrices et de la recommandation du 17 septembre 2020 précitées. La mise en conformité devait avoir lieu pour le 1er avril 2021 afin de garantir aux internautes un consentement libre. Des centaines de milliers d’acteurs, des plus petits sites aux plus importants, se sont mis en conformité et ont introduit sur leur interface de recueil du consentement un bouton " tout refuser "ou " continuer sans accepter .
99. La formation restreinte relève que ce n’est pourtant que le 28 février 2022 que les sociétés ont choisi de se mettre en conformité et d’insérer un bouton " Tout refuser . 
 
100. En dernier lieu, la formation restreinte rappelle qu’en application des dispositions de l’article 20, paragraphe III, de la loi Informatique et Libertés, les sociétés […] et […] encourent une sanction financière d’un montant maximum de 2% de leur chiffre d’affaires, lequel s’est élevé à près de […] de dollars en 2019 et à plus de […] en 2020, ou de 10 millions d’euros, le montant le plus élevé étant retenu. Le montant de l’amende encourue en l’espèce s’élève donc à la somme de 10 millions. 
 
101. Dès lors, au regard des responsabilités respectives des sociétés, de leurs capacités financières et des critères pertinents de l’article 83, paragraphe 2, du Règlement évoqués ci-avant, la formation restreinte estime qu’une amende de 2,5 millions d’euros à l’encontre de la société […] et une amende de 2,5 millions d’euros à l’encontre de la société […] apparaissent justifiées. 
 
B. Sur le prononcé d’une injonction
 
102. La rapporteure proposait à la formation restreinte, dans son rapport initial, de prononcer une injonction de mise en conformité, laquelle pourrait consister en :
- la cessation du dépôt de cookies et traceurs soumis au recueil du consentement des personnes résidant en France lors de l’arrivée sur le site " […] , avant même qu’elles n’aient eu la possibilité d’effectuer un choix quant aux opérations d’accès ou d’inscription d’informations dans leur terminal, après leur refus des opérations de lecture et écriture ou après retrait de leur consentement ; 
- l’information des personnes concernées relative aux finalités des différents cookies pour lesquels l’utilisateur peut faire un choix en cliquant sur un bouton slider, accessible au deuxième niveau, afin de lui permettre de donner un consentement libre et éclairé.
 
103. Compte tenu des modifications effectuées par les sociétés courant septembre 2022, la rapporteure a proposé, dans ses secondes écritures, de ne pas retenir la deuxième branche de l’injonction puisque, dorénavant, les personnes concernées sont bien informées des finalités des différents cookies pour lesquels l’utilisateur peut faire un choix en cliquant sur un bouton slider. En outre, lors de la séance, la rapporteure a également abandonné la première branche de l’injonction initialement proposée.
 
104. Les sociétés soutiennent que la première partie de l’injonction proposée par la rapporteure est inappropriée, le cookie " […] "étant strictement nécessaire. 
 
105. Compte tenu des éléments développés ci-avant, la formation restreinte considère qu’il n’y a pas lieu de prononcer d’injonction. 
 
C. Sur la publicité
106. Les sociétés contestent la proposition de la rapporteure de rendre publique la présente décision. Pour justifier cette demande de publicité, la rapporteure invoque notamment le nombre de personnes concernées. Les sociétés contestent ce point, considérant que les cookies non essentiels ne sont pas déposés sur le domaine principal, mais seulement sur les sous-domaines […] pertinents et que le nombre d’utilisateurs français qui visitent ces sous-domaines est beaucoup moins élevé. 
 
107. La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité des manquements en cause, de la portée du traitement et du nombre de personnes concernées. 
 
 
 
 
PAR CES MOTIFS
 
 
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
 
• prononcer à l’encontre de la société […] une amende administrative d’un montant de 2,5 millions d’euros ( deux millions cinq cent mille euros), au regard du manquement constitué à l’article 82 de la loi Informatique et Libertés ; 
 
• prononcer à l’encontre de la société […] une amende administrative d’un montant de 2,5 millions d’euros (deux millions cinq cent mille euros), au regard du manquement constitué à l’article 82 de la loi Informatique et Libertés ; 
 
• adresser cette décision à la société x en vue de son exécution ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément les sociétés à l’expiration d’un délai de deux ans à compter de sa publication.
 
 
 
Le président
 
 
 
Alexandre LINDEN
 
 
 
 
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de quatre mois à compter de sa notification.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Anne DEBET, Madame Christine MAUGÜÉ et Monsieur Alain DRU, membres ; 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2021-194C de la présidente de la CNIL du 29 juin 2021 de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société X ou pour son compte ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 20 juin 2022 ;
Vu le rapport de Monsieur Claude CASTELLUCCIA, commissaire rapporteur, notifié à la société X le 22 juillet 2022 ;
Vu les observations écrites versées par la société X le 26 septembre 2022 ;
Vu la réponse du rapporteur à ces observations notifiée le 21 octobre 2022 au conseil de la société ;
Vu les observations écrites de la société X reçues le 21 novembre 2022 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 8 décembre 2022 :
- Monsieur Claude CASTELLUCCIA, commissaire, entendu en son rapport ;
En qualité de représentants de la société X :
- […]
La société X ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. Créée en 2013, la société X (ci-après " la société "), spécialisée dans l’édition de jeux pour téléphone, est une société par actions simplifiée dont le siège social est situé […]. En septembre 2021, le groupe X, qui comporte une vingtaine de sociétés, employait […] personnes en France, dont […] au sein de la société X. La société détient plusieurs filiales au sein de plusieurs États membres de l’Union européenne dont l’activité exclusive est le développement de jeux mobiles qui sont ensuite publiés et exploités par la société X. 
2. En 2020, la société X a réalisé un chiffre d’affaires de plus de […] euros pour un résultat de près de […] euros. En 2021, son chiffre d’affaires s’est élevé à environ […] euros pour un résultat net supérieur à […] euros.
3. En application de la décision n° 2021-194C de la présidente de la CNIL du 29 juin 2021, une délégation de la Commission a procédé à un contrôle en ligne le 19 août 2021 à la fois sur " www.X.io " à partir d’un ordinateur et sur l’application "X" à partir d’un téléphone de marque APPLE. Il avait notamment pour objet de constater les cookies et traceurs déposés et/ou lus par la société X. A cette occasion, la délégation a suivi le parcours d’un utilisateur qui télécharge une application éditée par la société X puis l’ouvre pour la première fois sur son téléphone. Elle a constaté qu’à l’ouverture de l’application, une première fenêtre conçue par la société APPLE et dénommée " App Tracking Transparency " (ci-après " la sollicitation ATT ") est présentée à l’utilisateur afin d’obtenir son consentement au suivi de ses activités sur les applications téléchargées sur son téléphone. Ensuite, elle a constaté que quel que soit le choix exprimé par l’utilisateur en réponse à la " sollicitation ATT " une seconde fenêtre relative au suivi publicitaire effectué par X lui est présentée. La délégation a alors suivi deux scénarios, l’un dans lequel l’accord est donné à la " sollicitation ATT " et l’autre dans lequel la " sollicitation ATT " est refusée. Le procès-verbal n° 2021-194/1, dressé par la délégation à l’issue du contrôle, a été notifié à la société X le jour-même.
4. Le 2 septembre 2021, une mission de contrôle sur pièces a également été réalisée par l’envoi d’un questionnaire auquel la société a répondu le 21 septembre 2021. 
5. Une demande de complément d’informations a été adressée à la société le 17 janvier 2022, laquelle y a répondu le 31 janvier 2022. 
6. Aux fins d’instruction de ces éléments, la présidente de la Commission a désigné Monsieur Claude CASTELLUCCIA en qualité de rapporteur, le 20 juin 2022, sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 modifié.
7. Le 18 juillet 2022, à la demande du rapporteur et sur décision de la présidente de la CNIL, de nouvelles vérifications en ligne ont été réalisées à la fois sur le site " www.X.io " à partir d’un ordinateur et sur onze applications à partir d’un téléphone de marque APPLE, à savoir " X " ; " X " ; " X " ; " X " ; " X " ; " X " ; " X " ; " X " ; " X " ;" X" et " X ", présentées sur le site web précité comme étant les plus téléchargées.
8. Le 22 juillet 2022, le rapporteur a fait notifier à la société un rapport détaillant le manquement à l’article 82 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la " loi Informatique et Libertés ") qu’il estimait constitué en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société, ainsi qu’une injonction, assortie d’une astreinte, de cesser d’utiliser l’" identifier for vendors " (ci-après " IDFV ") des terminaux à des fins publicitaires en l’absence de consentement de l’utilisateur. Il proposait également que la décision de sanction soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
9. Le 26 septembre 2022, la société a produit ses observations en réponse au rapport de sanction.
10. Le rapporteur a répondu aux observations de la société le 21 octobre 2022. 
11. Le 21 novembre 2022, la société a produit de nouvelles observations en réponse à celles de la rapporteure.
12. Par courrier du 22 novembre 2022, le rapporteur a informé le conseil de la société que l’instruction était close, en application de l’article 40, III, du décret modifié n°2019-536 du 29 mai 2019.
13. Par courrier du même jour, le conseil de la société a été informé que le dossier était inscrit à l’ordre du jour de la formation restreinte du 8 décembre 2022.